Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
I digital forensics analyseres originalen ikke, og masterkopien bruges kun til at lave nye kopier og til kontrol. Analysen sker på en arbejdskopi. Grunden er enkel: Ethvert analyseværktøj kan ændre det, det læser, fx ved at montere et filsystem, skrive indeksfiler eller udløse en reparation. Sker det på en arbejdskopi, kan der altid laves en ny fra masterkopien, og det kan vises, at resultaterne bygger på data, der svarer til sikringen. Sker det på originalen, er tilstanden ved sikringen tabt.
Kopi-hierarkiet
- Original · Hvad det er: Det fysiske medie, kontoen eller systemet · Hvad det bruges til: Sikres én gang, og opbevares eller tilbageleveres
- Masterkopi · Hvad det er: Den første forensiske kopi med hashværdi · Hvad det bruges til: Opbevares urørt; bruges kun til nye kopier og kontrol
- Backup af master · Hvad det er: Mindst én ekstra, fysisk adskilt kopi af masterkopien · Hvad det bruges til: Erstatter masteren, hvis den svigter
- Arbejdskopi · Hvad det er: Kopi af masteren, verificeret · Hvad det bruges til: Analyse, indeksering, carving
- Afledte data · Hvad det er: Eksporter, udtræk, rapporter, bilag · Hvad det bruges til: Leverancer og dokumentation
Hvert niveau får sit eget objekt-id i bevisloggen, med henvisning til det niveau, det er afledt af. Så kan ethvert bilag spores tilbage til originalen. → Chain of custody-loggen
Hvorfor originalen ikke røres
Selv læsning kan ændre et medie, hvis der ikke bruges en skrivebeskytter. Styresystemet monterer filsystemer automatisk, opdaterer tidsstempler, skriver journalposter og kan forsøge at reparere fejl. Et analyseværktøj, der åbner en database direkte på originalen, kan skrive til databasens journal. På en telefon ændrer blot det at låse den op og bladre data.
Derfor gælder reglen: Originalen tilgås én gang, under skrivebeskyttelse, for at lave masterkopien. Er en ny kopi nødvendig senere, laves den fra masterkopien, ikke fra originalen, medmindre masterkopien er beskadiget. → Skrivebeskyttere (write blockers)
Der findes undtagelser. Ved live-systemer, cloudkonti og telefoner kan originalen ikke “fryses”, og en ny sikring vil give en anden tilstand. Her er masterkopien det eneste faste punkt, og det gør den endnu vigtigere at beskytte.
Hvorfor masterkopien heller ikke analyseres
Masterkopien er referencen. Den hashværdi, der blev beregnet ved sikringen, gælder masterkopien. Hvis masterkopien bruges direkte til analyse, er der risiko for:
- at et værktøj skriver indeks- eller cachefiler ved siden af eller ind i beholderen,
- at et filsystem på analysemaskinen ændrer metadata på beholderfilerne,
- at en fejl i analysemaskinen eller et nedbrud beskadiger filerne,
- at flere analytikere arbejder i samme filer samtidig.
Opbevar masterkopien på et medie, der kun tilgås ved kopiering og kontrol, helst skrivebeskyttet eller med kun læseadgang. → Opbevaring af beviskopier
Verifikation ved hver generation
Hver ny kopi verificeres, før den bruges:
- Beregn hashværdien af den nye kopi, enten af de rå data i beholderen eller af beholderens filer, efter samme metode som ved masterkopien.
- Sammenlign med masterkopiens hashværdi.
- Registrér den målte værdi og resultatet i bevisloggen.
For beholderformater som E01 og AFF4 er det vigtigt at skelne mellem hashværdien af de data, beholderen indeholder, og hashværdien af selve beholderfilerne. Konverteres en E01-beholder til en rå kopi eller til en anden kompressionsgrad, ændres beholderfilerne, men datahashværdien skal være den samme. Det er datahashværdien, der kæder generationerne sammen. → Forensiske diskformater: raw, E01 og AFF4
Ved logiske beholdere og eksporter verificeres pr. fil mod hashmanifestet.
Arbejdskopier i praksis
- Én arbejdskopi pr. analyseforløb. Hvis en analyse skal gentages fra en ren tilstand, laves en ny arbejdskopi.
- Arbejdskopier må gerne ændres. Det er netop formålet. Men ændringer skal kunne forklares, og arbejdskopien må ikke senere fremstilles, som om den var masteren.
- Montering skrivebeskyttet. Selv på arbejdskopien bør filsystemer monteres skrivebeskyttet, så resultaterne afspejler data fra sikringen og ikke analysemaskinens påvirkning.
- Sletning efter brug. Arbejdskopier slettes, når analysen er afsluttet og rapporten afleveret, efter den aftalte procedure. → Sikker sletning af beviskopier
Hvor mange kopier, og hvor?
En almindelig praksis er mindst to kopier af masterkopien på hver sit medie, opbevaret fysisk adskilt, plus de arbejdskopier, analysen kræver. Mediet til masterkopien bør være nyt eller kontrolleret, og dets egen identifikation, fx serienummer, registreres. Kopier på samme type medie fra samme produktionsparti kan svigte samtidig, så variér gerne. Ved store sager kan det være nødvendigt at prioritere: Hvilke masterkopier skal have to backups, og hvilke kan nøjes med én? Beslutningen skrives ned.
Analysemaskinen er en del af kæden. Arbejdskopien bør ligge på lagring, der kun bruges til sagen eller er adskilt fra andre sager, så data ikke blandes, og så sletning efter sagen kan gennemføres og dokumenteres. → Forensic-arbejdsstationen
Telefoner og cloud
Ved telefoner er “masterkopien” typisk udtræksfilen fra udtræksværktøjet, ofte en arkivfil eller en mappe med en rapport. Analyseprogrammer pakker den ud og bygger egne databaser. Det udpakkede er en arbejdskopi, ikke masteren. Det samme gælder cloud-eksporter: Den downloadede eksport med sin hashværdi er masteren, og alt, der indlæses i et gennemgangsværktøj, er afledt. Når kilden ikke kan sikres igen med samme resultat, er der ingen vej tilbage, hvis masteren går tabt. Derfor er backuppen af masteren ikke valgfri her.
Afledte data
Udtræk fra arbejdskopien, fx en mappe med dokumenter til en advokat eller en eksport af mails til gennemgang, er afledte data. De skal have deres eget objekt-id, et hashmanifest og en henvisning til den kopi, de er udtrukket fra. Uden det kan ingen senere vise, at et bilag svarer til data i masterkopien. Det er et af de steder, hvor kæden oftest brister i praksis: Bilaget findes, masterkopien findes, men forbindelsen mellem dem er ikke dokumenteret.
Typiske fejl
- At analysere direkte på originalen “bare for at se”, før der er taget en kopi.
- At have kun én masterkopi, som så bliver brugt til analyse, fordi der ikke var plads til flere.
- At omdøbe eller flytte beholderfiler, så de ikke længere kan genkendes fra bevisloggen.
- At verificere arbejdskopien med en anden metode end masteren, fx beholderhash mod datahash, og konkludere, at der er en fejl.
- At glemme at registrere afledte data som selvstændige objekter.
- At lade et analyseværktøj gemme sin sagsdatabase i samme mappe som masterkopien, så mappen ændrer sig, hver gang sagen åbnes.
- At give flere analytikere adgang til samme arbejdskopi uden at registrere, hvem der har arbejdet i den og hvornår.
Hvad kopi-hierarkiet kan og ikke kan bevise
Et dokumenteret hierarki med hashværdier ved hver generation kan vise, at de data, analysen bygger på, er identiske med de data, der blev sikret. Det kan ikke vise, at sikringen selv var fuldstændig eller korrekt. Det spørgsmål afgøres af metoden ved sikringen. Er der tvivl om en analyse, gør hierarkiet det muligt for en anden at gentage den fra samme udgangspunkt, og det er i sidste ende det, der gør resultaterne efterprøvelige.
Dokumentation
Rapporten bør angive, hvilken arbejdskopi analysen er udført på, dens hashværdi og forbindelse til masterkopien, hvor masterkopien og dens backup opbevares, og hvordan afledte data er udtrukket og verificeret.
Kilder og versioner
- ISO/IEC 27037: retningslinjer for håndtering af digitale beviser
- NIST FIPS 180-4: Secure Hash Standard
- libewf: dokumentation af E01-formatet (Expert Witness Compression Format)
- AFF4 Standard
Senest gennemgået: oktober 2026.
Næste skridt
- Live response: sikring af en kørende computer eller server
- Fjernindsamling via agent eller netværk
- Sluk, isolér eller lad den køre? Beslutningen ved en tændt enhed
Del af: Sikring: metoderne samlet
Læs også: Mærkning, forsegling og fotodokumentation af medier · Overførsel af beviskopier: kryptering, transportmedie og kvittering
→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
