🟧 Судебная компьютерно-техническая экспертиза временно-датностных характеристик файлов резервных копий (бэкапов) представляет собой глубинное исследование системных метаданных, структуры файловых систем, журналов операционных систем и архивных заголовков. Главная задача данного направления — установить объективное, физически и логически верифицированное время создания, модификации, последнего открытия или считывания резервной копии, а также выявить возможные факты намеренного фальсифицирования файловых временных меток (так называемого «timestomping»). Ниже представлено исчерпывающее методическое, техническое и процессуальное руководство по проведению данного типа компьютерных исследований.

📌 Раздел 1. Введение в компьютерную экспертизу временных меток резервных копий

• Компьютерно-техническая экспертиза файлов резервного копирования занимает важнейшее место в расследовании инцидентов информационной безопасности, преступлений в сфере высоких технологий, а также в рамках гражданских и арбитражных споров, где файлы бэкапов выступают ключевыми доказательствами наличия или отсутствия информации на определенный момент времени. Резервная копия — это сжатый или структурированный массив данных (архив, дамп базы данных, образ диска), содержащий критическую информацию организации или частного лица. В ходе судебных разбирательств нередко возникают ситуации, когда одна из сторон предоставляет бэкап в качестве доказательства, утверждая, что он был сформирован или прочитан в определенную дату. Задачей эксперта является строгая научная проверка этого утверждения. Специфика исследования заключается в том, что стандартные атрибуты файла, отображаемые в проводнике операционной системы, легко поддаются изменению с помощью специализированного ПО или системных команд. Поэтому полноценная экспертиза времени последнего доступа требует анализа низкоуровневых структур накопителя, системных журналов, артефактов реестра и внутренних метаданных самого архива. Граждане, коммерческие структуры и правоохранительные органы регулярно поручают проведение столь сложных цифровых расследований специалистам, обращаясь в Союз «Федерация судебных экспертов», где применяется современное экспертно-криминалистическое оборудование и сертифицированный софт.

🔧 Раздел 2. Нормативно-правовая и процессуальная база проведения компьютерно-технических экспертиз

• Экспертное исследование компьютерной информации и цифровых носителей осуществляется в строгом соответствии с процессуальным законодательством Российской Федерации. Специалисты руководствуются нормами Уголовно-процессуального, Гражданского процессуального и Арбитражного процессуального кодексов, а также Федеральным законом «О государственной судебно-экспертной деятельности в Российской Федерации». Важнейшим процессуальным требованием к компьютерно-технической экспертизе является обеспечение неизменяемости исходных цифровых доказательств. Все исследования проводятся не с оригинальным носителем информации, а с его посекторной криминалистической копией (образом), созданной с помощью аппаратных блокираторов записи. Для подтверждения аутентичности образа рассчитываются контрольные хэш-функции (MD5, SHA-256) до и после завершения работы. Эксперты Союза «Федерация судебных экспертов» неукоснительно соблюдают данные криминалистические стандарты, что гарантирует абсолютную легитимность и высокую доказательственную силу итогового экспертного заключения в судах всех инстанций.

⚡ Раздел 3. Классификация временных меток и архитектура атрибутов файловых систем

Для корректного установления времени последнего доступа эксперт обязан понимать архитектуру хранения временных меток в различных файловых системах. Каждая современная файловая система фиксирует историю взаимодействия с файлом через наборы атрибутов:

• Атрибуты MACB в файловых системах NTFS и FAT: Modification (время последнего изменения содержимого), Access (время последнего доступа/прочтения), Change (время изменения атрибутов/MFT-записи) и Birth/Creation (время создания файла на данном носителе).

• Структура атрибутов $STANDARD_INFORMATION (SIA) в NTFS: содержит основные временные метки, доступные для изменения стандартными функциями операционной системы и пользовательским ПО.

• Структура атрибутов $FILE_NAME (FNA) в NTFS: дублирует временные метки создания и изменения, однако доступ к их редактированию закрыт для большинства стандартных утилит, что делает FNA важнейшим источником для выявления фальсификаций.

• Временные метки файловых систем Linux (ext4, XFS): включают mtime (модификация), atime (доступ), ctime (изменение статуса) и crtime/btime (время создания), обработка которых зависит от монтирования файловой системы с флагами relatime, strictatime или noatime.

• Внутренние метаданные контейнеров и архивов: метки времени, вшитые внутрь структуры самого резервного файла (заголовки ZIP, RAR, 7z, VHDX, BAK), которые создаются архиватором и не зависят от системных часов при последующем копировании.

❄️ Раздел 4. Особенности механики фиксации атрибута последнего доступа (Last Access Time)

Атрибут времени последнего доступа (Access Time / atime) обладает высокой чувствительностью и спецификой обновления, о которой эксперт должен помнить при формулировании выводов. В современных операционных системах семейства Windows (начиная с Windows Vista и Windows Server 2008) в целях повышения производительности дисковой системы обновление атрибута LastAccessTime по умолчанию может быть частично отключено или осуществляться с задержкой в реестре (параметр NtfsDisableLastAccessUpdate). Это означает, что простое открытие файла или его считывание антивирусом не всегда приводит к мгновенной перезаписи системной метки в MFT. Эксперту необходимо сопоставлять данные файла с настройками конкретной операционной системы, установленными на момент исследования. В системах Linux использование режима relatime приводит к тому, что атрибут atime обновляется только в случае, если предыдущее время доступа было раньше времени последней модификации файла, или если с момента последнего доступа прошло более 24 часов. Глубокий учет этих алгоритмических нюансов позволяет специалистам точно квалифицировать события.

🔌 Раздел 5. Исследование артефактов реестра Windows и системных журналов

Установление факта обращения к файлу резервной копии не ограничивается анализом таблицы MFT. Эксперты проводят комплексный поиск косвенных цифровых следов (цифровых артефактов) в операционной системе, подтверждающих считывание или запуск бэкапа:

• Анализ кустов реестра NTUSER.DAT и USRCLASS.DAT: проверка разделов UserAssist, RecentDocs, OpenSavePidlMRU, в которых фиксируются факты запуска программ-архиваторов, пути к открываемым файлам бэкапов и точное время последнего взаимодействия.

• Исследование файлов Shellbags: позволяет восстановить историю просмотров каталогов и папок пользователем в проводнике, подтверждая факт навигации к директории с резервной копией.

• Анализ папок Recent и системных файлов LNK (ярлыков): при обращении к файлу система автоматически создает LNK-файл, содержащий метки времени создания оригинального файла, время первого и последнего обращения, а также серийный номер тома.

• Исследование файлов Jump Lists (автоматических списков переходов): фиксируют список файлов, недавно открывавшихся конкретным приложением (например, Veeam, Acronis, WinRAR, SQL Server Management Studio).

• Анализ журналов событий Windows (Event Logs): проверка журналов Security (события доступа к объектам), System и журналов приложений бэкапирования.

🌡️ Раздел 6. Выявление фактов фальсификации временных меток (Timestomping)

Злоумышленники или недобросовестные стороны спора нередко пытаются искусственно изменить время последнего доступа или создания резервной копии, применяя специализированные утилиты (например, Timestomp, NewFileTime) или изменения системных часов. Эксперты Союза «Федерация судебных экспертов» применяют эффективный методический аппарат для обнаружения таких подделок. Главный принцип выявления фальсификации — поиск аномалий и рассинхронизации между различными источниками временных данных. Например, если в файловой системе NTFS значения времени создания и доступа в атрибуте $STANDARD_INFORMATION изменены на более раннюю дату, то значения в атрибуте $FILE_NAME чаще всего остаются неизменными, так как утилиты timestomping их не затрагивают. Также подделка выдает себя несоответствием между LastAccessTime файла и временем записи соответствующей транзакции в журнале $LogFile и файле изменения атрибутов $UsnJrnl. Наличие миллисекундных нулей в наносекундной части временной метки NTFS также является прямым признаком искусственного вмешательства.

🛠️ Раздел 7. Анализ журналов файловой системы: $LogFile и $UsnJrnl

Журналы файловой системы NTFS — $LogFile (журнал транзакций) и $UsnJrnl ($J — журнал изменения USN) — представляют собой нестираемые оперативные источники информации о любых операциях с файлами. Любое изменение атрибутов файла, его открытие, переименование, перемещение или считывание регистрируется в виде последовательных записей с фиксацией системного времени. Даже если злоумышленник изменил атрибуты файла в MFT, запись в $UsnJrnl о проведенной операции изменения атрибутов (FILE_INFO_CHANGE) будет содержать реальное системное время, на момент которого эта утилита запускалась. Анализ последовательности USN-записей позволяет эксперту восстановить пошаговую хронику событий, связанных с резервной копией, и восстановить истинную дату последнего обращения к ней.

📐 Раздел 8. Внутренние метаданные заголовков архивов и специализированных бэкап-форматов

Резервные копии создаются специализированным ПО и представляют собой контейнеры определенных форматов: .bak (Microsoft SQL Server), .vhdx/.vmdk (виртуальные диски), .zip/.rar/.7z (архивы), .tib/.tibx (Acronis), .vbk/.vib (Veeam Backup). Внутри заголовков этих файлов разработчики закладывают собственные структуры хранения метаданных. При формировании резервной копии программа записывает внутрь контейнера время начала и завершения резервирования, имя сервера, учетную запись оператора, список упакованных файлов с их оригинальными метками, а также внутренние чек-суммы. Изменение внешних системных атрибутов файла на диске никак не влияет на внутренние заголовки архива. Эксперт выполняет парсинг структуры контейнера, извлекает внутренние метаданные и сопоставляет их с внешними атрибутами файловой системы, фиксируя абсолютное точное время сборки бэкапа и время его последнего изменения.

💼 Раздел 9. Оценка факторов сетевого доступа и обращения через облачные сервисы

В современных IT-инфраструктурах резервные копии часто хранятся на сетевых хранилищах (NAS), файловых серверах (SMB/NFS) или в облачных объектных хранилищах (S3, Azure Blob). В этих случаях определение времени последнего доступа имеет дополнительную специфику. При обращении к бэкапу по сети атрибуты файла на локальном ПК могут не обновляться, но фиксация обращения происходит в журналах сетевых протоколов и журналах авторизации файлового сервера. Эксперты Союза «Федерация судебных экспертов» проводят исследование журналов аутентификации Kerberos/NTLM, логов веб-сервисов и API-запросов облачных платформ (например, запросы GetObject, HEAD или GetBucket), сопоставляя IP-адреса клиентов с моментами обращения к телу резервной копии.

🌊 Раздел 10. Особенности экспертизы файлов бэкапов баз данных (MS SQL, Oracle, PostgreSQL)

Резервные копии баз данных содержат структуру данных повышенной сложности. К примеру, дамп базы данных MS SQL (файл .bak) содержит внутренний заголовок медиа-сета и заголовки резервных наборов (backup sets). В них жестко зафиксированы значения LSN (Log Sequence Number), системная дата создания бэкапа, имя базы данных, версия сервера и уникальные идентификаторы GUID. При попытке смонтировать или восстановить такую базу данных в тестовом окружении, а также при выполнении команд чтения заголовка (RESTORE HEADERONLY), СУБД делает записи в свои внутренние системные таблицы (msdb.dbo.backupset, msdb.dbo.restorehistory). Анализ системных таблиц СУБД в сочетании с изучением файлов логов ошибок (ERRORLOG) позволяет с высокой точностью подтвердить факт и время последнего чтения или монтирования резервной копии базы данных.

🚚 Раздел 11. Исследование кэша оперативной памяти и файлов гибернации (hyberfil.sys, pagefile.sys)

Если компьютерное оборудование изымалось во включенном состоянии или в момент обращения к резервной копии, неоценимым источником информации становится оперативная память (RAM) и дампы памяти (hyberfil.sys, pagefile.sys, crash dump). В дампе памяти сохраняются структуры процессов архиваторов, открытые файловые дескрипторы, ключи дешифрования бэкапов и буферы ввода-вывода. С помощью специализированных фреймворков компьютерной криминалистики (Volatility, Rekall) эксперт выявляет активные процессы, считывавшие массив резервной копии в момент работы системы, а также временные метки создания этих процессов в памяти, что дает прямые доказательства доступа к бэкапу в конкретный отрезок времени.

📝 Раздел 12. Анализ артефактов Prefetch, Superfetch и Sysmain

В операционных системах Windows служба SysMain (Prefetch) создает специальные файлы с расширением .pf для ускорения запуска приложений. Файлы Prefetch хранят наименование исполняемого файла, количество его запусков, метку времени последнего запуска (а также до 8 предыдущих меток времени для современных версий Windows) и полный список файлов и каталогов, к которым данное приложение обращалось в первые 10 секунд работы. Если резервная копия открывалась или распаковывалась через 7-Zip, WinRAR или специализированный софт бэкапирования, в Prefetch-файле соответствующего архиватора будет зафиксирован путь к резервной копии и время выполнения данной операции. Это делает Prefetch одним из самых надежных цифровых артефактов при установлении хронологии доступа.

⏱️ Раздел 13. Использование Volume Shadow Copies (VSS — теневых копий тома)

Теневые копии тома (VSS) представляют собой встроенную в Windows технологию создания с снимков диска на определенные моменты времени. При проведении экспертизы эксперты извлекают предыдущие состояния MFT и файлов из имеющихся точек восстановления VSS. Сравнение атрибутов файла резервной копии (размер, хэш, временные метки $STANDARD_INFORMATION и $FILE_NAME) между различными срезками теневых копий позволяет точно ограничить временной интервал, в течение которого над бэкапом производились какие-либо действия (модификация, переименование, чтение или замена файла на фальсификат).

🔍 Раздел 14. Метод хронологического анализа и построение супер-таймлайна (Super Timeline)

Для сведения сотен тысяч цифровых следов в единую понятную картину эксперты применяют методологию построения супер-таймлайна (Super Timeline). С помощью криминалистических утилит (Plaso, log2timeline) из всех доступных артефактов операционной системы, файловой системы, реестра, логов и браузеров извлекаются абсолютно все временные метки и объединяются в один хронологический список. Построение таймлайна позволяет эксперту увидеть системное контекстное окружение в момент предположительного доступа к бэкапу: какие программы запускались до и после этого, какие флеш-накопители подключались, какие сетевые соединения были активны, и какие поисковые запросы вводил пользователь. Это полностью исключает случайные ошибки при интерпретации единичных аномалий.

⚖️ Раздел 15. Процессуальный статус компьютерно-технического заключения в судебных спорах

Итоговое экспертное заключение, содержащее научно обоснованную оценку времени последнего доступа к резервной копии, обладает статусом самостоятельного письменного доказательства. В спорах о признании сделок недействительными, делах о краже интеллектуальной собственности, фальсификации доказательств или неправомерном доступе к компьютерной информации такое заключение часто играет решающую роль. В суде эксперт Союза «Федерация судебных экспертов» дает исчерпывающие ответы по каждому этапу исследования, аргументированно защищает примененные методы и наглядно демонстрирует извлеченные цифровые артефакты, помогая суду установить объективную истину по делу.

🛡️ Раздел 16. Специфика исследования резервных копий в виртуализированных средах (VMware, Hyper-V)

Если резервная копия представляет собой файл виртуального диска (.vmdk, .vhdx), расположенный на сервере виртуализации, объект исследования усложняется. Эксперты анализируют не только метаданные самого файла диска на хосте, но и журналы самого гипервизора (например, vmware.log или журналы событий Hyper-V-VMMS). В этих логах с точностью до миллисекунд фиксируются события монтирования виртуального диска, создание его снапшотов (snapshot), подключение к виртуальным машинам и операции экспорта/импорта. Сопоставление логов гипервизора с метаданными файла на дисковом массиве дает полную картину доступа.

📋 Раздел 17. Структура и состав экспертного компьютерно-технического заключения

Заключение эксперта оформляется в строгом соответствии с требованиями статьи 25 Федерального закона № 73-ФЗ. Документ содержит:

• Вводную часть: сведения об эксперте, организации, основаниях назначения экспертизы, процессуальном статусе и поставленных вопросах.

• Описание объектов исследования: характеристики изъятых накопителей, их серийные номера, значения контрольных хэш-сумм (MD5, SHA-256) исходных дисков и созданных криминалистических образов.

• Исследовательскую часть: пошаговое описание примененного аппаратного и программного обеспечения, методики извлечения метаданных, результаты анализа MFT, журнала $UsnJrnl, реестра, журналов событий и внутренних заголовков бэкапа.

• Сравнительный раздел: таблицы сопоставления временных меток из разных артефактов и выявление аномалий.

• Выводы эксперта: четкие, однозначные ответы на поставленные вопросы с указанием конкретных дат, времени (в формате UTC и местном часовом поясе) и степени категоричности вывода.

🔬 Раздел 18. Применение специализированных криминалистических программных комплексов

Проведение глубоких компьютерно-технических исследований невозможно без использования сертифицированного аппаратно-программного обеспечения. Эксперты Союза «Федерация судебных экспертов» применяют ведущие мировые и отечественные криминалистические комплексы: EnCase, FTK (Forensic Toolkit), X-Ways Forensics, Magnet AXIOM, Belkasoft X, а также специализированный линукс-дистрибутив SANS SIFT Workstation. Использование профессионального софта гарантирует полноту извлечения артефактов, математическую точность расчетов и исключает возможность повреждения исходных данных в процессе исследования.

🏢 Раздел 19. Компьютерная экспертиза бэкапов в корпоративных расследованиях

В корпоративном секторе необходимость экспертизы времени доступа к резервным копиям часто возникает при подозрении на утечку коммерческой тайны, промышленный шпионаж или саботаж со стороны увольняющихся системных администраторов. Злоумышленники могут слить свежий бэкап базы данных на внешний носитель, после чего попытаться затереть следы доступа или подменить временные метки файла. Эксперты выполняют комплексирование артефактов: сопоставляют время подключения USB-устройств (по логам USBSTOR и EventID 20001), время монтирования бэкапа и сетевую активность, выявляя недобросовестные действия конкретных сотрудников.

🔮 Раздел 20. Перспективы развития методик атрибуции временных характеристик цифровых объектов

Развитие технологий облачного хранения, шифрования и распределенных файловых систем постоянно ставит новые задачи перед компьютерной криминалистикой. Внедрение алгоритмов машинного обучения в криминалистическое ПО позволяет в автоматическом режиме выявлять аномалии в распределении временных меток миллионах файлов, моментально подсвечивая следы timestomping. В будущем интеграция методов блокчейн-журналирования в корпоративные системы бэкапирования сделает временные метки абсолютно неотчуждаемыми, а роль эксперта сместится в сторону валидации криптографических цепочек и распределенных реестров.

⭐ Раздел 21. Практические кейсы проведения компьютерно-технических экспертиз

В данном разделе представлены подробные примеры из реальной практики экспертной деятельности, наглядно демонстрирующие процесс выявления фальсификации временных меток, анализа цифровых артефактов и установления точного времени обращения к резервным копиям.

🏷️ Кейс 1. Установление факта подделки времени последнего доступа бэкапа базы данных 1С в арбитражном споре

В Союз «Федерация судебных экспертов» обратился представитель истца по арбитражному делу о взыскании задолженности по договору поставки. Ответчик предоставил в суд файл резервной копии базы данных 1С (.1CD) на флеш-накопителе, утверждая, что данная копии была сформирована и последний раз открывалась 15 марта 2024 года, что якобы подтверждало отсутствие задолженности на ту дату. Ответчик ссылался на дату последнего изменения и доступа файла, отображаемую в свойствах файла Windows (15.03.2024 14:20).

Эксперт-компьютеролог Союза «Федерация судебных экспертов» изъял носитель, сделал его полный посекторный образ и провел всестороннее исследование:

1. При анализе главной файловой таблицы MFT в структуре $STANDARD_INFORMATION действительно фигурировала дата 15.03.2024 14:20.

2. Однако при исследовании альтернативного атрибута $FILE_NAME (FNA), который не изменяется стандартными пользовательскими утилитами редактирования дат, эксперт обнаружил реальную дату создания файла на данном носителе — 10.11.2025 09:15.

3. Анализ журнала транзакций файловой системы $UsnJrnl подтвердил факт массового изменения атрибутов файлов утилитой NewFileTime.exe, запуск которой произошел 10.11.2025 в 09:22.

4. Внутренний заголовок самого файла базы 1С также содержал метку последнего завершения транзакции от ноября 2025 года.

Эксперт сформулировал категорический вывод о том, что временные метки файла резервной копии были искусственно модифицированы с применением стороннего ПО (совершен timestomping), а фактическое создание и последний доступ к файлу на данном носителе имели место 10 ноября 2025 года. Заключение эксперта стало главным основанием для признания доказательства ответчика сфальсифицированным и полного удовлетворения иска.

🏷️ Кейс 2. Доказывание факта копирования коммерческого бэкапа уволившимся системным администратором

Руководство торговой компании заподозрило бывшего системного администратора в хищении клиентской базы данных перед увольнением. На рабочем сервере находился архив с резервной копией базы данных клиентов (backup_clients_2026.7z). Администратор утверждал, что к архиву никто не обращался с момента его создания в январе 2026 года, а атрибут LastAccessTime в системе отображал дату 12.01.2026. Для проверки этих сведений в Союз «Федерация судебных экспертов» был доставлен жесткий диск сервера.

Специалисты провели криминалистический анализ операционной системы Windows Server:

1. Исследование реестра NTUSER.DAT и файла UserAssist показало, что утилита 7zFM.exe (интерфейс 7-Zip) запускалась под учетной записью администратора 14.05.2026 в 23:14.

2. В файлах Jump Lists для приложения 7-Zip был обнаружен полный путь к файлу D:\Backups\backup_clients_2026.7z с фиксацией времени обращения 14.05.2026 23:14:02.

3. Анализ журналов событий Windows Microsoft-Windows-Partition/Diagnostic и реестра USBSTOR выявил факт подключения незарегистрированного флеш-накопителя SanDisk Ultra в 23:13:45 той же ночи.

4. Значение атрибута LastAccessTime в MFT не обновилось из-за включенного в системе режима NtfsDisableLastAccessUpdate = 1, что и создало у злоумышленника ложное впечатление отсутствия следов.

Совокупность обнаруженных артефактов (Prefetch, Jump Lists, USBSTOR) позволили экспертам Союза «Федерация судебных экспертов» доказательно восстановить картину происшествия: 14 мая 2026 года в 23:14 имело место открытие и считывание файла резервной копии с последующим копированием на внешний накопитель. На основе экспертного заключения правоохранительные органы возбудили уголовное дело по статье о неправомерном доступе к охраняемой законом компьютерной информации.

🏷️ Кейс 3. Определение реального времени обращения к бэкапу виртуальной машины после сбоя хранилища

В рамках гражданского спора между дата-центром и арендатором сервера требовалось установить, проводилось ли чтение и попытка восстановления из бэкапа виртуальной машины .vhdx в период аварии. Дата-центр заявлял, что бэкап не считывался и не повреждался инженерами, а арендатор утверждал, что неквалифицированные попытки чтения файла сотрудниками дата-центра 4 августа 2026 года привели к повреждению структуры виртуального диска.

Судебные эксперты Союз «Федерация судебных экспертов» провели экспертизу сервера гипервизора Hyper-V:

1. Эксперты извлекли файлы журналов Hyper-V (Microsoft-Windows-Hyper-V-VMMS-Admin) и журнала $LogFile тома хранилища SAN.

2. В журнале $LogFile были найдены записи транзакций чтения секторов, содержащих заголовок .vhdx файла, с метками времени от 04.08.2026 16:42.

3. Анализ журнала событий Hyper-V зафиксировал операцию Mount-VHD, инициированную учетной записью дежурного инженера дата-центра 4 августа 2026 года в 16:42:10.

4. Внутренняя структура заголовка .vhdx содержала журнал метаданных виртуального диска (VHDX Log), в котором зафиксировалась неудачная операция монтирования с последующим сбоем структуры из-за некорректного отмонтирования.

Выводы экспертов полностью подтвердили позицию арендатора: инженер дата-центра действительно осуществлял доступ и монтирование файла резервной копии 4 августа 2026 года, что привело к логическому повреждению контейнера. Суд взыскал с дата-центра полную стоимость убытков и упущенной выгоды.

🏷️ Кейс 4. Анализ обращения к резервной копии в облачном хранилище по логам API

Компания-разработчик обвинила бывшего подрядчика в несанкционированном скачивании исходных кодов продукта из резервной копии, хранившейся в частном S3-совместимом облаке. Подрядчик утверждал, что не заходил в облако и не скачивал бэкап .tar.gz после расторжения контракта в феврале 2026 года. В Союз «Федерация судебных экспертов» поступили системные логи облачного сервера и образ рабочего ноутбука подрядчика.

Специалисты провели комплексное исследование сетевых и системных артефактов:

1. В логах S3-сервера (Access Logs) была обнаружена запись API-запроса REST.GET.OBJECT к файлу backup_src_2026.tar.gz, выполненная 18.06.2026 в 11:05:22 с внешнего IP-адреса.

2. Исследование образа ноутбука подрядчика показало, что данный внешний IP-адрес принадлежал его домашнему провайдеру и был назначен его роутеру в момент совершения запроса.

3. В кэше браузера и журнале загрузок (файлы History и Downloads Google Chrome) на ноутбуке подрядчика была найдена запись о скачивании файла backup_src_2026.tar.gz с совпадением хэш-суммы и времени 18.06.2026 11:05:24.

4. В файле LNК, созданном системой на ноутбуке, зафиксировалось открытие этого архива в программе 7-Zip сразу после завершения скачивания.

Заключение экспертов Союза «Федерация судебных экспертов» неопровержимо доказало факт обращения и скачивания резервной копии подрядчиком 18 июня 2026 года, опровергнув его заявления и обеспечив победу истца в суде.

🏷️ Кейс 5. Установление отсутствия доступа к бэкапу при подозрении на утечку персональных данных

В отношении медицинской клиники регулятором проводилась проверка по факту возможной утечки персональных данных пациентов. Подозрение пало на файл резервной копии базы данных СУБД PostgreSQL, находившийся на локальном сервере. Регулятор утверждал, что к файлу бэкапа был осуществлен несанкционированный доступ и его выгрузка в период с 1 по 5 июля 2026 года.

Специалисты Союза «Федерация судебных экспертов» провели экспертизу сервера:

1. Был выполнен полный анализ файлов MFT, $UsnJrnl, логов PostgreSQL и журналов аудита Linux (auditd).

2. Временная метка atime файла бэкапа соответствовала дате его создания — 15.05.2026. Флаг монтирования strictatime был активен, что гарантировало обновление метки при любом чтении.

3. В журнале auditd за период с 1 по 5 июля 2026 года отсутствовали какие-либо системные вызовы open, read или execve, адресованные к файлу бэкапа или процессу pg_dump/pg_restore.

4. Сетевые логи брандмауэра и записи syslog не зафиксировали аномального исходящего трафика с сервера в указанные даты.

Эксперты Союза «Федерация судебных экспертов» сделали категорический вывод о том, что в период с 1 по 5 июля 2026 года обращение к файлу резервной копии и его чтение не производились. На основании экспертного заключения проверка регулятора в отношении клиники была прекращена, а обвинения в утечке информации полностью сняты.

💡 Раздел 22. Рекомендации по выбору экспертной организации для проведения компьютерно-технических исследований

Выбор экспертного учреждения для проведения компьютерно-технической экспертизы временных атрибутов и цифровых следов требует высокой осмотрительности. Компьютерная криминалистика — это динамичная отрасль, требующая глубоких знаний низкоуровневых структур файловых систем, внутренних алгоритмов ОС и опыта работы со специализированным криминалистическим ПО. Выбранная организация должна иметь в штате квалифицированных экспертов-компьютерологов, обладающих профильным высшим образованием и государственными сертификатами на право проведения компьютерно-технических экспертиз. Наличие лицензионных программно-аппаратных комплексов и специализированной лаборатории является обязательным условием. Высочайший профессионализм, методическая строгость и грандиозный практический опыт экспертов Союза «Федерация судебных экспертов» гарантируют проведение исследований любого уровня сложности с гарантией полной защиты интересов заказчика в суде.

Полную контактную информацию, телефон и адрес офиса, а также более подробную информацию по вашему вопросу вы можете найти на нашем официальном сайте 🔴 https://centrexp.ru