Analyse og fortolkning: fra rådata til konklusion

Et moderne forensisk værktøj kan på få timer udtrække hundredtusindvis af spor fra en enkelt computer. Det er ikke dér, sagen afgøres. Den afgøres i fortolkningen: hvilke spor der er relevante, hvad de faktisk viser, hvilke andre forklaringer der passer lige så godt, og hvor sikker konklusionen kan blive. Analyse i digital forensics er derfor lige så meget en metode til at undgå fejlslutninger som en metode til at finde noget.

Det centrale skel går mellem tre udsagn, der let blandes sammen: at en fil findes, at den blev åbnet, og at en bestemt person åbnede den. Hvert trin kræver flere og uafhængige spor end det forrige. En god analyse siger tydeligt, hvilket trin den når op på, og hvad der skal til for at nå det næste.

Analysen sker altid på en arbejdskopi, og hvert fund bør kunne føres tilbage til en bestemt fil, en bestemt post og et bestemt værktøj med version. Det gør det muligt for en anden fagperson at finde præcis det samme spor og vurdere, om fortolkningen holder. Når en analyse senere bliver udfordret, er det sjældent selve fundet, der angribes. Det er vejen fra fund til konklusion: Var tidszonen rigtig, var der en anden forklaring, og blev det kontrolleret, om systemet selv kunne have skabt sporet?

Metoderne og hvornår de bruges

Analyseplan og hypoteser · Hvornår: Før analysen, så spørgsmålene styrer arbejdet · Begrænsning: Hypoteser, der ikke formuleres, testes ikke · Læs mere: Analyseplan og hypoteser
Tidslinjeanalyse · Hvornår: Rækkefølge og sammenhæng mellem hændelser · Begrænsning: Tidszoner, urafvigelse og forskellige tidstyper · Læs mere: Tidslinjeanalyse
Logkorrelation · Hvornår: Hændelser på tværs af systemer · Begrænsning: Kun så god som tidssynkroniseringen · Læs mere: Logkorrelation
Søgning og søgetermer · Hvornår: Store datamængder og dokumentgennemgang · Begrænsning: Bøjninger, OCR og filtyper giver huller · Læs mere: Søgetermer teknisk
File carving · Hvornår: Gendannelse af filer uden filsystemets metadata · Begrænsning: Ingen tidsstempler eller stier · Læs mere: File carving
Hashfiltrering · Hvornår: Fjernelse af kendte filer og fund af kendte filer · Begrænsning: Én ændret byte giver en ny hash · Læs mere: Hashlister og kendte filer
Fuzzy hashing · Hvornår: Filer, der næsten er ens · Begrænsning: Lighed er ikke identitet · Læs mere: Fuzzy hashing
Metadataanalyse · Hvornår: Dokumenters og billeders egne oplysninger · Begrænsning: Metadata kan ændres og forsvinder ved deling · Læs mere: Metadata i Office-filer
Attribution · Hvornår: Kobling fra konto til person · Begrænsning: Kræver uafhængige spor · Læs mere: Hvem sad ved tastaturet?

Fejlkilderne

Systemaktivitet læst som brugerhandling. Indeksering, antivirus, synkronisering og opdateringer efterligner brugeradfærd. Se Systemet eller brugeren?.
Bekræftelsesbias. Den, der ved, hvad opdragsgiveren håber at finde, ser lettere det. Se Bias i forensisk analyse.
Fravær tolket som bevis. At intet blev fundet kan skyldes indstillinger, rotation eller sletning. Se Fravær af spor.
Forkert tidskonvertering. Formater som FILETIME, Unix-tid og WebKit-tid tolkes forskelligt. Se Tidsstempelformater.
Værktøjets output tages for givet. Centrale fund skal kontrolleres manuelt eller med et andet værktøj. Se Verifikation af forensiske værktøjer.

En samlet oversigt står i Fejlkilder i digital forensics.

Fra fund til konklusion

En konklusion bør angive både, hvad sporene viser, og hvor stærkt de viser det. Det kan gøres med en verbal skala, der går fra “ikke understøttet” til “stærkt understøttet”, og som altid ses i forhold til en alternativ forklaring. Konklusionsgrader beskriver skalaerne, og Fra artefakt til konklusion viser vejen fra enkeltspor til samlet vurdering. Hvordan fundene præsenteres, så de ikke vildleder, står i Visualiseringer i forensiske rapporter.

Hvor man starter

Begynd med spørgsmålet og et teknisk kommissorium, der omsætter det til afgrænsede analyseopgaver; se Teknisk kommissorium. Skriv derefter hypoteserne ned, også den, der ville frikende, og vælg kilder ud fra dem. Handler sagen om en slettet fil, er Hvem slettede filen? et konkret eksempel på metoden i praksis. Skal store mængder dokumenter gennemgås, ligger den særlige metode på eDiscovery teknisk.

Analyse og fortolkning

Anti-forensics: spor efter sletning og manipulation Sletteværktøjer, ændrede tidsstempler og ryddede logs efterlader ofte egne spor. Her er, hvad der kan påvises på Windows, og hvordan fundene bør tolkes.
Fejlkilder i digital forensics: oversigt De typiske fejl i forensiske undersøgelser: tid, værktøjer, fortolkning, omfang, kontaminering og bias. Hvordan de opstår, opdages og forebygges.
Fra artefakt til konklusion: hvad et spor faktisk viser Filen findes, filen blev åbnet, brugeren åbnede den: tre forskellige påstande. Sådan holdes artefakt, observation og konklusion adskilt i en sag.
Hvem sad ved tastaturet? Attribution af brugerhandlinger En konto er ikke en person. Sådan kobles en handling til en person med logon-sessioner, MFA, enheder og fysiske spor, og hvor attributionen typisk svigter.
Systemet eller brugeren? Aktivitet, der ligner brugeradfærd Antivirus, indeksering, synkronisering og backup ændrer tidsstempler og skaber spor, der ligner brugeradfærd. Sådan skelnes system fra bruger i analysen.
Bias i forensisk analyse: bekræftelsesbias og kontekstinformation Bekræftelsesbias og irrelevant kontekst påvirker også digital forensics. Sådan virker de, og sådan bygges værn som blind verifikation ind i analysen.
Hvem slettede filen? Spor på fil-, server- og cloudniveau Kan man se, hvem der har slettet en fil? Det afhænger af auditing. Sporene i NTFS, papirkurven, filserverens sikkerhedslog og Microsoft 365 gennemgået.
Memory forensics: hvad en RAM-kopi kan vise Hvad en RAM-kopi kan vise om processer, kommandolinjer, netværksforbindelser og åbne filer, hvor fortolkningen fejler, og hvordan fund dokumenteres.

Hash, tid og tidslinjer

Hashalgoritmer i forensic: MD5, SHA-1 og SHA-256 MD5 og SHA-1 har kendte kollisioner, men en forensisk kopi kan ikke derfor forfalskes. Forskellen på kollision og second preimage, og hvad der bør bruges.
Tidslinjeanalyse: metode, kilder og faldgruber En tidslinje samler tidsstempler fra filsystem, logs, cloud og telefoner i én rækkefølge. Sådan bygges den, og her opstår fejlene typisk i fortolkningen.
Når hashværdien ikke stemmer: årsager og håndtering Når to hashværdier ikke passer, er kopien ikke nødvendigvis forkert. De typiske årsager, hvordan afvigelsen fejlsøges, og hvordan den dokumenteres.
Mobiludtræk og cloud-eksporter: hvorfor hashværdien ikke kan gentages Et nyt udtræk af samme telefon eller konto giver en ny hashværdi. Hvorfor det er normalt, og hvordan integriteten vises på fil- og elementniveau.
Tidsstempelformater: FILETIME, Unix, Apple og WebKit, og konvertering Et tidsstempel er et tal fra en bestemt epoke i en bestemt enhed. Oversigt over FILETIME, Unix, Apple og WebKit, og fejlene ved konvertering.
Hvad sker der med tidsstemplerne ved kopiering, zip, upload og mail? Kopiering, zip, upload og mail ændrer filens tidsstempler på hver sin måde. Hvad der bevares, hvad der skifter, og hvordan det undgås at blive fejltolket.
Oprettet, ændret, åbnet: hvad fildatoerne betyder Oprettet er, hvornår filen kom til på drevet, ændret er seneste indholdsændring, og åbnet er ofte upålidelig. Sådan læses fildatoerne rigtigt.
Hash af en fil: Get-FileHash, certutil og sha256sum Sådan beregnes SHA-256 af en fil i Windows, macOS og Linux med indbyggede kommandoer, og sådan dokumenteres resultatet, så det kan efterprøves.

eDiscovery

Deduplikering: global, pr. person og near-duplicates Deduplikering fjerner identiske dokumenter, men hvad er identisk? Hashgrundlag for mails og filer, global eller pr. person, near-duplicates og risici.
Søgetermer teknisk: syntaks, wildcards, nærhed og danske bøjningsformer Søgetermer virker kun, hvis syntaksen passer til søgemotoren. Boolske operatorer, wildcards, nærhed, sammensatte ord, bøjninger og æ, ø og å på dansk.
OCR og ikke-søgbare filer: det, søgningen ikke finder Scannede PDF’er, billeder og ukendte formater findes ikke ved tekstsøgning. Sådan virker OCR, hvor den fejler på dansk, og sådan rapporteres undtagelser.
Technology Assisted Review (TAR) og kontinuerlig aktiv læring TAR bruger menneskers vurderinger til at træne en model, der rangerer dokumenter efter relevans. Forskellen på TAR 1.0 og kontinuerlig aktiv læring (CAL).
Validering af AI-assisteret gennemgang: recall, præcision og elusion-test Sådan valideres AI-assisteret dokumentgennemgang statistisk: recall, præcision, elusion-test, stikprøvestørrelse, konfidensintervaller og dokumentation.

Dokumenter og metadata

Dokumentforfalskning: tekniske tegn i Office- og PDF-filer Metadata, rsid i Word, fonte, XMP og inkrementelle opdateringer i PDF kan afsløre et ændret eller tilbagedateret dokument. Her er tegnene og deres styrke.
Hvornår er billedet taget? EXIF, XMP og IPTC forklaret Hvornår er billedet taget? EXIF-tider uden tidszone, kameraets ur, GPS-tid, XMP-historik og IPTC. Felterne, fejlkilderne og hvordan de læses korrekt.
Metadata, der forsvinder ved upload og deling Fjerner WhatsApp EXIF? Beskedapps og sociale medier ændrer billeder og metadata. Hvorfor den modtagne kopi sjældent er originalen, og hvad der overlever.
Falske chatbilleder: verifikation mod kildeenheden og appens database Et skærmbillede af en sms eller chat afgøres bedst mod kildeenheden. Sådan sammenholdes billedet med appens database, tidsstempler og kontaktdata.
Audit trail i e-signaturløsninger Underskriftsrapporten fra en e-signaturplatform viser hændelser, IP og signeringsmetode. Sådan valideres den, og her kan den fejltolkes i en tvist.

Apps, browsere og databaser

Browserhistorik som bevis: Chrome, Edge, Safari og Firefox Browserens SQLite-databaser viser besøg, søgninger og downloads med tidsstempler. Her er placering, tidsformater, synkronisering og korrekt sikring.
SQLite i forensic: WAL-filer, frie sider og slettede rækker Beskeder, browserhistorik og appdata ligger i SQLite. Sådan virker WAL, frie sider og slettede rækker, og sådan undgår du at ødelægge spor ved sikringen.
Databaser som bevis: transaktionslogs, audittabeller og binlogs Hvem ændrede tallet i databasen, og hvornår? Sådan bruges audittabeller, transaktionslogs, binlogs og backup som bevis, og hvor sporene typisk mangler.
Download dine data: platformenes udtræk som bevis Meta, Google, Apple og LinkedIn udleverer data som JSON eller HTML. Hvad udtrækket indeholder, hvad der mangler, og hvordan det sikres og verificeres.
ChatGPT, Claude og Gemini: historik og workspace-eksport Chathistorik fra ChatGPT, Claude og Gemini kan eksporteres lovligt fra egne konti og virksomhedens workspace. Formater, forgreninger, huller og sikring.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.