Для некоторых термин «компьютерная экспертиза» — нечто неизвестное и непонятное. Что же это такое? Как можно получить улики из недр компьютера? Компьютерная экспертиза находит все данные-улики, которые хранятся на компьютере. Обычно это информация на жестком диске, но также сюда включается и содержимое съемных дисков, дискет, CD и DV. Многие даже не подозревают, что почти все производимые на компьютере действия оставляют следы. Будь это просмотр web-страниц, удаление файлов или общение в ICQ.

С помощью соответствующих знаний и правильных инструментов эксперты компьютерной экспертизы могут вычислить преступника. Наиболее часто встречаются такие случаи компьютерной экспертизы, которые связаны с детским порно, взломом платежных серверов, кражей данных и терроризмом. При своевременном обнаружении улик с помощью компьютерной экспертизы можно сэкономить и немало денег, и человеческие жизни. Злоумышленники считают, что вся информация бесследно удаляется при нажатии клавиши Delete. Среди специалистов популярность приобрела утилита EnCase. Она довольно успешно восстанавливает стертые данные.

Компьютерная экспертиза разбита на три фазы. Первая – это поиск улик, вторая – их анализ, а третья – отчет. Эти три этапа должны проводиться по специально разработанной методике, в противном случае улики окажутся недостоверными. На этапе поиска на компьютер эксперта переносят данные с носителя (жесткого диска, флэш-носителя, дискеты и т.п.). При этом необходима гарантия, что запись не будет производиться на оригинальный носитель. Также компьютерная экспертиза требует проверки корректности копирования, проведения верификации.

После того, как копирование данных завершено, эксперту нужно проанализировать их на предмет поиска необходимых файлов, папок, писем и других улик. На данном этапе компьютерной экспертизы с помощью программного обеспечения находят удаленные письма, документы, незашифрованные файлы по ключевым словам. Учитывая немалые размеры современных винчестеров, для анализа данных разрабатываются довольно простые и удобные инструменты поиска. Когда будут найдены необходимые улики, составляется отчет. В нем перечисляются улики, которые были получены в ходе компьютерной экспертизы. А также указываются причины, по которым их посчитали важными и по которым они были записаны в разряд улик.