Документація
Документація, яка потрібна системному адміністратору і фахівцеві з комп'ютерно-технічнної експертизи, повинна бути дуже докладною. Потрібно задокументувати не тільки зібрані докази, але також способи і засоби їх отримання. У документації, що відноситься до інциденту, повинні використовуватися узгоджені правила іменування даних комп'ютерно-технічної експертизи. На штампі повинні бути вказані час, дата і особа співробітника, що виконує комп'ютерно-технічну експертизу. Зафіксуйте в документі якомога більше інформації про інцидент. Найкраще письмово зафіксувати всю послідовність дій по збору інформації.
Навіть якщо ви не є системним адміністратором або співробітником комп'ютерно-технічної експертизи, вміння докладно документувати виконувану роботу − корисний навик. Виявивши незаконну діяльність на комп'ютері та в мережі, де ви працюєте в даний момент, інвентаризуйте щонайменше наступну інформацію:
- Початкова причина доступу до комп'ютера або до мережі
- Дата і час
- Підключені до комп'ютера периферійні пристрої
- Всі мережеві підключення
- Фізичне місце розташування комп'ютера
- Виявлені незаконні матеріали
- Незаконна діяльність, свідком якої ви стали (або про яку ви підозрюєте)
- Які процедури ви виконували на комп'ютері або в мережі
Оперативним співробітникам важливо знати, які дії були чи не були виконані. Ваша документація може стати частиною доказів у судовому переслідуванні злочину. Під час внесення доповнень або змін у цю документацію надзвичайно важливо проінформувати про це всі зацікавлені сторони.
Облік зберігання речових доказів
Щоб докази були прийняті, їх достовірність повинна бути засвідчена. Системний адміністратор може дати свідчення щодо зібраних доказів. Він також повинен бути здатний вказати спосіб збору доказів, місце їх фізичного зберігання та осіб, що мали до них доступ в період між їх збиранням і пред'явленням в суді. Цей процес називається урахуванням зберігання речових доказів. Для доказу збереження речових доказів оперативні співробітники проводять на місці процедури документування для відстеження зібраних матеріалів. Ці процедури також дозволяють запобігти фальсифікації доказів і гарантувати їх цілісність.
Включення процедур комп'ютерно-технічної експертизи в план безпеки комп'ютера та мережі забезпечить цілісність даних. Ці процедури дозволяють перехопити необхідні дані у разі порушень безпеки в мережі. Забезпечення життєздатності та цілісності перехоплених даних допоможе в переслідуванні зловмисника.