Компьютерная криминалистика

Компьютерная криминалистика — совокупность методов работы с цифровыми носителями, системами и журналами для установления обстоятельств события на основе проверяемых данных. Её результатом служат воспроизводимые выводы и материалы, происхождение и целостность которых могут быть подтверждены. Процесс включает фиксацию состояния, получение образов или экспортов данных, расчёт контрольных сумм, безопасное хранение оригиналов, анализ артефактов и документирование цепочки передачи доказательств. Сбор энергозависимых или быстро изменяющихся данных, например содержимого оперативной памяти и сведений о сетевых соединениях, требует учитывать, что они изменяются при работе системы. Криминалистика применяется после инцидентов, при внутренних расследованиях, аудите и подготовке материалов для юридических процедур. Для инфраструктуры существенны возможности централизованного хранения журналов, синхронизация времени, неизменяемое хранение и контроль доступа к доказательствам. Компьютерная криминалистика отличается от реагирования на инцидент: реагирование сосредоточено на сдерживании угрозы и восстановлении, а криминалистика — на корректном сохранении и исследовании доказательств. Она также не сводится к резервному копированию, поскольку резервная копия может не сохранять требуемые метаданные, а её создание, хранение, использование и передача — не документироваться как работа с доказательством.