Ответы:
Если они сделали это судебно-правильным способом, то НЕТ СПОСОБА определить, что было исследовано. Правильным способом для криминалистов было бы вытащить жесткий диск, клонировать его, вернуть жесткий диск в машину и затем изучить образ клона. На диске не останется никаких следов, поскольку он никогда не загружался. Они будут работать строго по образу клона, и вы должны рассматривать все на жестком диске как скомпрометированное, и вы также должны знать, что они могли сохранить изображение или его части. Надеюсь, у вас там ничего не было, вы пожалеете.
Вы можете использовать скрипт для рекурсивной сортировки файлов в системе по времени последнего доступа. Однако, поскольку все действия в файловой системе постоянно происходят, например, индексация, почти невозможно точно определить, на что они смотрели.
Насколько я знаю, самый быстрый способ просмотреть время последнего доступа к вашим файлам:
Скачать инструмент поиска Все: http://www.voidtools.com/
Установите его и запустите программу и дождитесь индексации диска (это займет не более минуты)
Рихт-клик по заголовкам столбцов (где написано «дата изменения») и включите «Последний доступ»
Теперь ищите что-то случайное, например windows
Нажмите на новый заголовок столбца «Последний доступ», чтобы отсортировать результаты поиска, чтобы последние были сверху.
Удалите свой старый поиск и выполните поиск *.*. Это займет много времени, особенно если вы впервые используете Все; это может занять до 10 минут, я не знаю, как долго: это зависит от вашего ПК; просто продолжай ждать, мне понадобилось 3 минуты на этом старомодном ПК
Теперь у вас есть список всех файлов на вашем компьютере, перечисленных по времени их последнего доступа, с датами и временем.
Обратите внимание, что Windows также получает доступ к некоторым файлам, когда компьютер включен без внешнего вывода, поэтому вы не можете быть уверены, что именно они получили доступ к файлу.