4-1 Основи цифрової криміналістики / Книга по форензіці ОС Windows-20201211 / chapter_5_windows_copy

71

чтобы подтвердить это значение, – это отметки даты и времени в записях файла «setuplog.txt», отметки времени LastWrite в разделах реестра Service и т. д. Также не забудьте проверить отметки времени LastWrite разделов реестра для учетной записи пользователя в файле «SAM». Дополнительные сведения об извлечении информации из реестра (из разделов UserAssist и т. п.) см. в главе 4. К другим областям, подлежащим исследованию, относятся каталог «Prefetch» в ОС Windows XP и отметки времени создания, доступа и изменения в каталогах профиля пользователя.

Вопрос: Я слышал о таком понятии, как антикриминалистика – когда кто-то прилагает особые усилия и использует специальные средства, чтобы скрыть улики от судебного эксперта. Что можно предпринять в таких случаях?

Ответ: Теории и выводы судебных экспертов никогда не должны основываться на каком- то отдельном элементе данных. Наоборот, выводы по мере возможности должны быть подтверждены различными фактами. Во многих случаях попытки скрыть данные создают свои собственные артефакты. Эксперт должен понимать, как ведет себя операционная

система и какие обстоятельства и события становятся причиной создания определенных артефактов, чтобы обнаружить признаки различных действий. (Обратите внимание, что, если значение изменено, это все равно считается артефактом). Также имейте в виду, что факт отсутствия артефакта в том месте, где он должен находиться, сам по себе является артефактом.

73

http://computer-forensics-lab.org

Перевод: Бочков Д.С. Капинус О.В. Михайлов И.Ю.