Компьютерно-сетевая экспертиза основывается на функциональном предназначении компьютерных средств, реализующих какую-либо сетевую информационную технологию.
Основные задачи компьютерно-сетевой экспертизы:
а) определение свойств и характеристик аппаратного средства и программного обеспечения, установление места, роли и функционального предназначения исследуемого объекта в сети (например, для программного средства в отношении к сетевой операционной системе; для аппаратного средства - отношение к серверу, рабочей станции, активного сетевого оборудования и т.д.);
б) выявление свойств и характеристик вычислительной сети, установление ее архитектуры, конфигурации, выявление установленных сетевых компонент, организации доступа к данным;
в) определение соответствия выявленных характеристик типовым для конкретного класса средств сетевой технологии, определение принадлежности средства к серверной или клиентской части приложений;
г) определение фактического состояния и исправности сетевого средства, наличия физических дефектов, состояния системного журнала, компонент управлением доступа;
д) установление первоначального состояния вычислительной сети в целом и каждого сетевого средства в отдельности, возможного места покупки (приобретения), уточнение изменений, внесенных в первоначальную конфигурацию (например, добавление дополнительных сетевых устройств, устройств расширения на сервере либо рабочих станциях и проч.);
е) определение причин изменения свойств вычислительной сети (например, по организации уровней управления доступом), установление факта нарушения режимов эксплуатации сети, фактов (следов) использования внешних ("чужих") программ и т.п.;
ж) определение свойств и состояния вычислительной сети по ее отображению в информации носителей данных (например, RAID-массивы; жесткие диски, флоппи-диски, CD-ROM, ZIP-накопители и т.п.);
з) определение структуры механизма и обстоятельства события в сети по его результатам (например, сценария несанкционированного доступа, механизма распространения в сети вредоносных функций и т.д.);
и) установление причинной связи между использованием конкретных аппаратно-программных средств вычислительной сети и результатами их применения.
Вопросы, которые могут быть поставлены перед специалистом, осуществляющим производство компьютерно-сетевой экспертизы:
1. Имеются ли признаки работы данного компьютерного средства в сети Интернет?
2. Какие аппаратные средства использовались для подключения к Интернету?
3. Имеются ли заготовленные соединения с узлом сети Интернет, и каковы их свойства (номера телефонов провайдера, имена и пароли пользователя, даты создания)?
4. Каково содержание установок программы удаленного доступа к сети и протоколов соединений?
5. Какие имеются адреса Интернета, по которым осуществлялся доступ с данного компьютерного средства?
6. Имеется ли какая-либо информация о проведении электронных платежей и использовании кодов кредитных карт?
7. Имеются ли почтовые сообщения, полученные (а также отправленные) по электронной почте?
8. Имеются ли сообщения, полученные (отправленные) посредством использования программ персональной связи через Интернет, и каково их содержание?
и другие.