19. Цифровые носители и компьютерные данные

102 19. Цифровые носители и компьютерные данные Зачем это адвокату Адвокату не нужно становиться компьютерным кри- миналистом. Его задача - понять, какой носитель иссле- довали, как получили копию, чем подтверждается неиз- менность и из какого цифрового объекта сделан вывод. Что подготовить или загрузить • Протокол изъятия носителя. • Заключение/отчет специалиста или эксперта. • Сведения об образе, хешах, найденных файлах и экс- портированных данных. Жесткие диски Для HDD важны модель, серийный номер, объем, ин- терфейс, разметка, состояние и способ подключения при приобретении образа. ИИ может индексировать содержи- мое образа и строить временную шкалу, но не должен рабо- тать с оригиналом в режиме записи. Ключевой риск. Риск возникает, если анализ начат на рабочем диске без фикса- ции исходного состояния или если в деле отсутствует опи- сание способа копирования. SSD SSD требуют отдельной осторожности из-за контролле- ра, wear leveling и TRIM : логика сохранения удаленных дан- ных отличается от классического HDD . ИИ может анализи- ровать уже полученный образ, но не способен компенсиро- вать данные, физически утраченные до или во время при- обретения. Ключевой риск. Категоричный вывод «файл был удален пользователем» недопустим без учета механизма удаления, TRIM , приложения и времени. Флеш - накопители USB -накопители часто используются как переносные контейнеры. Анализируются файловая система, серийные признаки, временные метки, ярлыки, списки последних файлов и следы подключения к компьютерам. Ключевой

103 риск. Наличие файла на флешке не всегда показывает, кто и когда его скопировал; временные поля могут меняться при копировании. Карты памяти Карты памяти встречаются в телефонах, регистраторах, фотоаппаратах и иных устройствах. ИИ полезен для массо- вой сортировки фото/видео и метаданных, но происхожде- ние каждого файла должно быть привязано к устройству и каталогу. Ключевой риск. Экспорт из карты или перекоди- рование видео может скрыть исходную структуру и слу- жебные файлы. Компьютеры Компьютер - совокупность накопителей, операционной системы, учетных записей, приложений, сетевых и перифе- рийных следов. ИИ может собирать единую хронологию из нескольких источников, но идентичность пользователя нельзя выводить только из имени учетной записи. Ключе- вой риск. Системные процессы, синхронизация и автомати- ческие приложения создают действия без непосредствен- ного участия пользователя. Образы носителей Образ носителя - рабочая основа воспроизводимого анализа. Следует знать формат, размер, наличие сегментов, журнал ошибок, инструмент и настройки копирования дан- ных. ИИ получает производные данные из образа, но не за- меняет проверку целостности. Ключевой риск. Если анализ выполнялся на неполном экспорте, выводы нельзя автома- тически распространять на весь носитель. Что написать ИИ ГОТОВЫЙ ПРОМПТ Проведи компьютерно-криминалистический анализ только по предоставленным источникам. Сначала по- строй карту устройство → образ носителя → файл/цифровой объект → производные экспорты. Для

104 каждого образа укажи способ получения, формат, раз- мер, хеши, ошибки чтения и инструмент, если они отра- жены в материалах. Отдельно анализируй файловую си- стему, журналы, удаленные данные, системные следы операционной системы и облачные источники. Не трак- туй временные метки без указания их семантики и не выдавай отсутствие записи за отсутствие события. Все выводы должны быть воспроизводимы и иметь точная ссылка на том/лист/страницу/тайм-код до первичного цифрового объекта. Как проверить результат • Откройте первоисточник и перепроверьте все фами- лии, даты, суммы, номера, цитаты, тома, листы и тайм-коды, на которых строится важный вывод. • Отделите то, что прямо видно или написано в мате- риале, от объяснения, предложенного ИИ. • Различайте исходный носитель, его образ, рабочую копию и экспорт отдельных файлов. • Не делайте вывод «файла не было» только потому, что он не найден в доступном отчете. • Не переносите вывод ИИ в ходатайство, жалобу, во- просы участнику процесса или прения, пока его нельзя быстро подтвердить первичным материалом. Когда нужен специалист Исследование файловой системы, удаленных данных, логов, образов носителя и технических метаданных тре- бует профильного специалиста, если вывод имеет суще- ственное доказательственное значение.