- диагностирование аппаратных средств компьютерной системы;
- определение функционального предназначения, характеристик и реализуемых требований, алгоритма и структурных особенностей, текущего состояния представленного системного и прикладного обеспечения;
- поиск, обнаружение, анализ и оценка информации (данных), подготовленной пользователем или порождённой (созданной) программами для организации определённых информационных процессов в компьютерной системе;
- установление свойств и вида представления информации в компьютерной системе при её непосредственном исследовании;
- определение фактического состояния информации, выяснение наличия или отсутствия в неё каких-либо отклонений (например, нарушение целостности, нетипичный формат данных и пр.);
- установление первоначального (до внесения каких-либо изменений) состояния информации на носителе данных;
- определение условий изменений свойств исследуемой информации (например, выяснение условий внесения изменений в содержимое файла);
- определение механизма и обстоятельств события (дела), установление отдельных этапов (стадий, фрагментов) события по имеющейся информации на носителе данных или её копиям (например. Подготовка нескольких копий делового письма и его рассылка факсимильной программой в разные адреса);
- определение времени (периода), хронологической последовательности воздействия на информацию (например, установление стадий подготовки изображений денежных знаков, оттисков печатей и т.п.)
- выявление следов возможных участников событий по признакам, характеризующим определённые профессиональные и пользовательские навыки, умения, привычки; установление условий, при которых была создана (модифицирована, удалена, скопирована) информация;
- установление причинной связи между имевшими место манипуляциями с компьютерной информацией и наступившими последствиями (например, связь между удалением информации и нарушением работоспособности компьютерной системы);
- диагностирование возможных последствий по совершённому действию и возможности его совершения.
