APFS: snapshots, kloner og betydningen for sikringen

Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen

APFS, Apples filsystem siden 2017, skriver aldrig oven i eksisterende data, men lægger ændringer nye steder (copy-on-write). Det gør det muligt at fastfryse volumenets tilstand i snapshots og at lave kloner af filer, der deler de samme datablokke. For en undersøgelse betyder det, at en Mac kan rumme tidligere versioner af filer i lokale snapshots, og at filers tidsstempler og pladsforbrug skal fortolkes anderledes end på andre filsystemer. Snapshots kommer dog ikke automatisk med i en logisk kopi og kan forsvinde inden for timer, så de skal identificeres og sikres bevidst.

Opbygningen i korte træk

En APFS-disk har én container, som deler sin plads mellem flere volumener. På en moderne Mac er der typisk et forseglet, skrivebeskyttet systemvolumen, et datavolumen med brugernes filer og nogle hjælpevolumener. De to hovedvolumener vises for brugeren som ét, fordi bestemte mapper forbindes på tværs (firmlinks).

Metadata ligger i B-træer, og hver ændring skaber en ny version af de berørte strukturer med et stigende transaktionsnummer. Containeren gemmer med jævne mellemrum kontrolpunkter, så filsystemet kan genoprettes efter et nedbrud. Ældre kontrolpunkter og strukturer kan i princippet pege på tidligere tilstande, men på en krypteret SSD med TRIM er de frie blokke sjældent læsbare. → SSD, TRIM og gendannelse

Snapshots

Et APFS-snapshot er en skrivebeskyttet, punktvis kopi af et volumen. Det koster ingen plads ved oprettelsen, fordi det blot holder fast i de blokke, der eksisterede. Først når filer ændres eller slettes, bliver de gamle blokke holdt tilbage for snapshottets skyld.

Snapshots på en Mac opstår typisk på tre måder:

Lokale Time Machine-snapshots. Er Time Machine slået til, laver macOS jævnligt lokale snapshots af datavolumenet, også når backupdisken ikke er tilsluttet. Ifølge Apple oprettes de cirka hver time og beholdes i 24 timer. Derudover bevares et snapshot af den seneste vellykkede backup, indtil pladsen skal bruges, og der laves et snapshot før installation af en macOS-opdatering. Alle kan fjernes tidligere ved pladsmangel.
Systemopdateringer. macOS opretter snapshots i forbindelse med opdateringer, og systemvolumenet startes fra et forseglet snapshot.
Tredjepartsprogrammer til backup eller sikkerhed kan oprette egne snapshots.

Et lokalt snapshot kan indeholde en fil, som brugeren har slettet efter snapshottets tidspunkt, eller en tidligere version af et dokument. Det svarer i funktion til Volume Shadow Copies på Windows, men med kortere levetid. → Volume Shadow Copies: tidligere versioner som bevis

Sikring af snapshots

Snapshots sikres ikke af sig selv:

Registrér, hvilke snapshots der findes, med navn, dato og volumen, så tidligt som muligt. Notér det med tidspunkt i sikringsloggen.
Undgå handlinger, der får systemet til at rydde op. Store skrivninger til disken, fx et logarkiv eller en indsamling gemt lokalt, kan udløse automatisk sletning af lokale snapshots ved pladsmangel.
Montér snapshottet skrivebeskyttet og indsaml det som en selvstændig logisk kopi, eller brug et forensisk værktøj, der understøtter APFS-snapshots i den indsamlede kopi.
Hash hvert snapshots indsamling særskilt, og angiv i rapporten, hvilket snapshot hver fil stammer fra.

På en Mac med Apple silicon eller T2-chip er en fysisk kopi normalt ikke mulig, og snapshots skal derfor sikres via den kørende maskine. → Sikring af moderne Mac

Montering af snapshots og oprettelse af nye snapshots ændrer selv systemets tilstand. Opretter man et nyt snapshot som led i sikringen for at få et fastfrosset udgangspunkt, skal det fremgå af dokumentationen, og det må ikke forveksles med de eksisterende snapshots.

Time Machine-disken

Den eksterne Time Machine-disk er en selvstændig og ofte værdifuld kilde. Fra macOS Big Sur formateres en ny backupdisk med APFS, og hver backup gemmes som et snapshot på backupdisken. Disken kan derfor rumme mange tidligere tilstande af brugerens filer, langt længere tilbage end de lokale snapshots. Backupdiske oprettet af ældre versioner bruger Mac OS Extended med hårde links mellem backups og kan fortsat være i brug, fordi en eksisterende disk ikke konverteres automatisk.

En ekstern backupdisk har ikke Macens sikkerhedschip og kan normalt kopieres fysisk med skrivebeskytter. Er backuppen krypteret, kræver adgangen backupadgangskoden, som brugeren eller virksomheden skal udlevere. Når backupdisken analyseres, skal hvert snapshot behandles som en tidsangivet version, og det skal dokumenteres, hvilken backup en fil stammer fra. Backuppen viser filernes tilstand på backuptidspunktet. Ændringer mellem to backups kan ikke ses.

Kloner og pladsdeling

Kopieres en fil inden for samme APFS-volumen med Finder, laves som udgangspunkt en klon. Den nye fil peger på de samme datablokke som originalen, indtil en af dem ændres. Konsekvenser for undersøgelsen:

Pladsforbrug: Summen af filstørrelser kan overstige den brugte plads. Det er ikke tegn på fejl i kopien.
Tidsstempler: En klon får nye tidsstempler for oprettelse, men kan bevare ændringstiden fra originalen, afhængigt af værktøjet, der kopierer.
Identisk indhold: To filer med samme hash kan være kloner af hinanden. Det siger ikke, om de er opstået ved kopiering, download eller uafhængig oprettelse.

Apple dokumenterer ikke samlet, hvilke tidsstempler Finder og de enkelte kommandolinjeværktøjer bevarer ved kloning, og adfærden afhænger af værktøj og valgte parametre. Bærer en klons tidsstempler en konklusion, afprøves den konkrete kopieringsmåde på en tilsvarende macOS-version.

Har kopieringsadfærden betydning for konklusionen, afprøves den på et testsystem med samme macOS-version. Mere om tidsstempler ved kopiering: → Tidsstempler ved kopiering, zip, upload og mail

Tidsstempler i APFS

APFS gemmer tidsstempler i nanosekunder siden 1. januar 1970 UTC for oprettelse, ændring af indhold, ændring af metadata og seneste adgang. Desuden findes et felt for tilføjelse til mappen. Seneste adgang opdateres ikke altid, ligesom på andre moderne filsystemer. Den høje opløsning gør rækkefølgen af hændelser tydeligere, men kun inden for samme volumen og samme ur.

Kryptering pr. volumen

APFS kan kryptere hvert volumen for sig, og på Mac-computere med sikkerhedschip er det interne lager altid krypteret i hardware. Snapshots arver volumenets kryptering, så adgang til et snapshot kræver de samme nøgler som adgang til volumenet. Et eksternt APFS-drev kan være krypteret med en adgangskode, der er uafhængig af brugerens login. Notér krypteringsstatus for hvert volumen, før sikringsmetoden vælges.

Fejlkilder

Snapshot er ikke backup. Et lokalt snapshot ligger på samme disk og forsvinder med den. Det er ikke Time Machine-backuppen på det eksterne drev, som skal sikres for sig.
Snapshotdatoen er oprettelsestidspunktet, ikke tidspunktet for filernes indhold. En fil i et snapshot kan være ældre.
Fravær af snapshots kan skyldes, at Time Machine aldrig var slået til, automatisk oprydning eller en opdatering. Det viser ikke i sig selv, at nogen har slettet dem. Er sletning mistænkt, søges spor i unified logs. → Unified Logs på macOS
Værktøjsunderstøttelse. Ikke alle forensiske værktøjer håndterer APFS-snapshots, kloner og krypterede volumener ens. Kontrollér afgørende fund i mere end ét værktøj.

Hvad snapshots kan og ikke kan bevise

Et snapshot kan vise, at en fil med et bestemt indhold fandtes på volumenet på snapshottets tidspunkt. Sammenholdt med den aktuelle tilstand kan det vise, at filen er ændret eller slettet derefter. Det kan ikke vise, hvem der ændrede den, eller præcis hvornår inden for intervallet mellem snapshot og sikring.

Dokumentation

Rapporten bør angive APFS-strukturen (container, volumener, kryptering), liste over snapshots med tidspunkter, hvilke der er sikret og hvordan, hashværdier pr. snapshot, og de systemændringer, sikringen selv medførte.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: macOS- og Linux-forensik

Læs også: Unified Logs på macOS: sikring af logarkivet, før det roterer · Linux-servere i undersøgelser: journald, auth-log og shellhistorik

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik