Artefakter fra A til Å

Et artefakt er et spor, som et system skriver som en bivirkning af, at nogen bruger det: en logpost, en databaserække, en registreringsnøgle eller et tidsstempel i en fil. Indekset her samler de artefakter, sitet beskriver, i alfabetisk rækkefølge, på tværs af Windows, Mac, Linux, telefoner, Microsoft 365, Google Workspace, cloud, netværk og mail. Hver række siger kort, hvad sporet kan vise, og linker til den artikel, der går i dybden.

Tre forbehold gælder for hele listen. Et artefakt viser en hændelse på et system, ikke en bestemt persons hensigt; hvordan man kommer fra spor til konklusion, står i Fra artefakt til konklusion. Mange spor findes kun, hvis en indstilling, en licens eller en revisionspolitik var slået til på det tidspunkt, hændelsen skete. Og flere af dem roterer eller slettes automatisk efter en periode, så det, der står her, er ikke en garanti for, at sporet findes i jeres sag. Søges forklaringen på et fagudtryk frem for et konkret spor, så brug Ordbogen. Konkrete Windows-hændelser kan også slås op på Event-id-opslag.

A

• Active Directory-sikkerhedslog · Platform: Windows Server · Hvad det kan vise: Kontooprettelse, gruppeændringer og nulstilling af adgangskoder på domænecontrolleren · Artikel: Active Directory og domænecontroller-logs: konti, grupper og nulstillinger
• Activity Log · Platform: Azure · Hvad det kan vise: Ændringer af ressourcer i abonnementet · Artikel: Azure: Activity Log, Monitor og Log Analytics som bevis
• Amcache.hve · Platform: Windows · Hvad det kan vise: Programfiler, systemet har registreret, med sti og hash. Viser tilstedeværelse, ikke nødvendigvis kørsel · Artikel: Prefetch, Amcache og Shimcache: bevis for programkørsel og grænserne
• AnonymousLinkCreated og delingshændelser · Platform: SharePoint og OneDrive · Hvad det kan vise: Oprettelse af delingslinks, også anonyme links · Artikel: Hvem ændrede filen? Versioner og delingslinks i SharePoint
• APFS-snapshots · Platform: macOS · Hvad det kan vise: Tidligere tilstande af filsystemet, fx fra Time Machine eller opdateringer · Artikel: APFS: snapshots, kloner og betydningen for sikringen
• app.xml (redigeringstid) · Platform: Office-filer · Hvad det kan vise: Program, version og samlet redigeringstid i dokumentet · Artikel: Metadata i Office-filer: forfatter, tider og redigeringstid i core.xml og app.xml
• ARC-headere · Platform: E-mail · Hvad det kan vise: Autentifikationsresultater bevaret gennem videresendelse · Artikel: Kompromitteret konto, spoofing eller lookalike-domæne? Sådan skelnes de
• auth.log og secure · Platform: Linux · Hvad det kan vise: Logon, sudo og SSH-forbindelser på serveren · Artikel: Linux-servere i undersøgelser: journald, auth-log og shellhistorik
• Authentication-Results · Platform: E-mail · Hvad det kan vise: Modtagerserverens vurdering af SPF, DKIM og DMARC · Artikel: Analyse af mail-headere, SPF, DKIM og DMARC
• Autostart (Run-nøgler) · Platform: Windows · Hvad det kan vise: Programmer, der starter ved logon. Bruges til at finde fastholdt adgang · Artikel: Autostart, planlagte opgaver og tjenester: spor efter fastholdt adgang

B

• BAM · Platform: Windows · Hvad det kan vise: Seneste kørsel af programmer pr. bruger i registreringsdatabasen · Artikel: Prefetch, Amcache og Shimcache: bevis for programkørsel og grænserne
• Binlog og transaktionslog · Platform: Databaser · Hvad det kan vise: Ændringer i databasen i rækkefølge, også rækker, der siden er slettet · Artikel: Databaser som bevis: transaktionslogs, audittabeller og binlogs
• Biome · Platform: iPhone og macOS · Hvad det kan vise: Brug af apps, skærmaktivitet og andre hændelsesstrømme · Artikel: iPhone-artefakter: Biome, skærmtid og placeringsdata
• BitLocker-gendannelsesnøgle · Platform: Windows · Hvad det kan vise: Den lovlige vej til en krypteret disk, typisk fra Entra ID, Active Directory eller MDM · Artikel: BitLocker og FileVault i bevissikring: nøgler og lovlig adgang
• Browsercache · Platform: Browsere · Hvad det kan vise: Lokale kopier af hentede sider og filer · Artikel: Browsercache, cookies og gemte sessioner som spor
• Browserhistorik · Platform: Browsere · Hvad det kan vise: Besøgte adresser, downloads og søgninger i Chrome, Edge, Safari og Firefox · Artikel: Browserhistorik som bevis: Chrome, Edge, Safari og Firefox

C

• ChatStorage.sqlite · Platform: iPhone · Hvad det kan vise: WhatsApps beskeddatabase på iOS · Artikel: WhatsApp teknisk: lokal database, backup og hvad en chat-eksport mangler
• Cloud Audit Logs (Admin Activity og Data Access) · Platform: Google Cloud · Hvad det kan vise: Administrative handlinger og, hvis det er slået til, læsning af data · Artikel: Google Cloud Audit Logs i undersøgelser
• CloudTrail · Platform: AWS · Hvad det kan vise: Kald til AWS-API’et: hvem gjorde hvad, hvornår og hvorfra · Artikel: AWS CloudTrail i undersøgelser: sikring og fortolkning
• Cookies · Platform: Browsere · Hvad det kan vise: Login-sessioner og besøg på tjenester, med tidsstempler · Artikel: Browsercache, cookies og gemte sessioner som spor
• Copilot-interaktioner · Platform: Microsoft 365 · Hvad det kan vise: Prompter og svar samt de filer, Copilot hentede indhold fra · Artikel: Copilot-interaktioner i Microsoft 365 som datakilde
• core.xml · Platform: Office-filer · Hvad det kan vise: Forfatter, sidst ændret af og dokumentets egne tidsstempler · Artikel: Metadata i Office-filer: forfatter, tider og redigeringstid i core.xml og app.xml
• CRM-feltlog · Platform: CRM · Hvad det kan vise: Ændringer af enkelte felter med gammel og ny værdi · Artikel: Feltlog og ændringshistorik i CRM-systemer

D

• Defender XDR (advanced hunting) · Platform: Microsoft 365 · Hvad det kan vise: Endpoint-, mail- og identitetshændelser i samme forespørgsel, med begrænset historik · Artikel: Defender XDR og Defender for Office 365 som datakilde
• Defender-log (MPLog og hændelser) · Platform: Windows · Hvad det kan vise: Fund, karantæne og scanninger. Kan dokumentere skadelig software, også efter at filen er fjernet · Artikel: Defender-logs og karantæne som kilde
• DHCP-leaselog · Platform: Netværk · Hvad det kan vise: Hvilken enhed der havde en IP-adresse på et bestemt tidspunkt · Artikel: DHCP, Wi-Fi og NAC: hvilken enhed havde IP-adressen?
• Digital Wellbeing · Platform: Android · Hvad det kan vise: Skærmtid og appbrug pr. dag på telefonen · Artikel: Android-artefakter: usage stats, Digital Wellbeing og app-databaser
• Disksnapshot i cloud · Platform: AWS, Azure og GCP · Hvad det kan vise: Kopi af en virtuel disk på et bestemt tidspunkt · Artikel: Snapshots af cloud-diske som forensisk kopi
• DKIM-signatur · Platform: E-mail · Hvad det kan vise: Kryptografisk signatur over udvalgte headere og brødtekst · Artikel: Analyse af mail-headere, SPF, DKIM og DMARC
• DLP-hændelser · Platform: Sikkerhedsværktøjer · Hvad det kan vise: Regelbrud ved kopiering, upload eller mail af følsomme data · Artikel: DLP-hændelser: hvad en DLP-alarm dokumenterer
• DNS-forespørgselslog · Platform: Netværk · Hvad det kan vise: Opslag af domænenavne fra enheder på netværket · Artikel: DNS-logs som spor
• Drive-revisioner · Platform: Google Drive · Hvad det kan vise: Tidligere versioner af Google-dokumenter og uploadede filer · Artikel: Google Drive: revisioner, aktivitet og delingsspor
• Drive-revisionslog · Platform: Google Workspace · Hvad det kan vise: Visning, download, deling og sletning af filer · Artikel: Google Drive: revisioner, aktivitet og delingsspor

E

• EDR-telemetri · Platform: Endpoints · Hvad det kan vise: Processer, netværksforbindelser og filhændelser fra sikkerhedsagenten · Artikel: EDR-telemetri som bevis: opbevaring og eksport
• EML · Platform: E-mail · Hvad det kan vise: En enkelt mail i rå form med alle headere · Artikel: Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer
• Entra ID sign-in logs · Platform: Entra ID · Hvad det kan vise: Interaktive og ikke-interaktive logon med IP, klient, fejlkode og MFA-resultat · Artikel: Entra ID sign-in logs: felter, fejlkoder og fortolkning
• Entra ID-auditlog · Platform: Entra ID · Hvad det kan vise: Ændringer af MFA-metoder, betinget adgang og kontoindstillinger · Artikel: MFA-ændringer og betinget adgang i Entra ID-loggene
• ERP-audit trail · Platform: ERP · Hvad det kan vise: Ændringer af stamdata og posteringer i økonomisystemet · Artikel: ERP-systemers audit trail teknisk
• Event 1102 og 104 · Platform: Windows · Hvad det kan vise: Rydning af sikkerhedsloggen og andre logkanaler. Et tegn på, at loggen er tømt, ikke på hvem der gjorde det · Artikel: Windows-hændelseslogs: de vigtigste kanaler og event-id’er
• Event 4624 og 4625 · Platform: Windows · Hvad det kan vise: Gennemført og afvist logon med logontype, konto og kilde · Artikel: Event 4624 og 4625: logontyper og fortolkning
• Event 4688 · Platform: Windows · Hvad det kan vise: Oprettelse af processer, når revisionspolitikken er slået til · Artikel: Windows-hændelseslogs: de vigtigste kanaler og event-id’er
• Event 4698 og 7045 · Platform: Windows · Hvad det kan vise: Oprettelse af planlagte opgaver og installation af tjenester · Artikel: Autostart, planlagte opgaver og tjenester: spor efter fastholdt adgang
• EVTX-filer · Platform: Windows · Hvad det kan vise: Hændelseslogfilerne selv. Bør eksporteres som originalfiler med hash, ikke kun som udtræk · Artikel: Eksport af Windows-hændelseslogs (EVTX) til en sag
• Exchange-transportlogs (message tracking) · Platform: Exchange on-premises · Hvad det kan vise: Serverens egne leveringsspor for mails · Artikel: Message trace og transportlogs: leveringsspor på serversiden
• EXIF · Platform: Billeder · Hvad det kan vise: Kamera, optagetid og eventuelt GPS-position · Artikel: Hvornår er billedet taget? EXIF, XMP og IPTC forklaret
• ext4-journal og LVM-snapshots · Platform: Linux · Hvad det kan vise: Metadataændringer og tidligere tilstande af volumener · Artikel: ext4, XFS, Btrfs og LVM: sletning og snapshots på Linux

F

• FileDownloaded og FileSyncDownloadedFull · Platform: SharePoint og OneDrive · Hvad det kan vise: Download og synkronisering af filer pr. bruger og enhed · Artikel: Download og synkronisering i SharePoint og OneDrive: filaktivitet i auditloggen
• Filsignaturer (magic bytes) · Platform: Alle filer · Hvad det kan vise: Den reelle filtype uanset filendelsen · Artikel: Filsignaturer og forkerte filendelser
• Firewall-sessionslog · Platform: Netværk · Hvad det kan vise: Forbindelser med NAT-oversættelse, porte og datamængder · Artikel: Firewall-logs teknisk: sessioner, NAT og tidsstempler
• $FN ($FILE_NAME) · Platform: Windows (NTFS) · Hvad det kan vise: Andet sæt tidsstempler i MFT-posten. Ændres sjældnere end $SI, så en afvigelse kan pege på manipulerede tider · Artikel: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
• FSEvents · Platform: macOS · Hvad det kan vise: Ændringer i filsystemet registreret pr. mappe og fil over længere tid · Artikel: macOS-artefakter i undersøgelser
• FullAccess, SendAs og delegering · Platform: Exchange Online · Hvad det kan vise: Hvem der har fået adgang til andres postkasser, og hvornår · Artikel: Adgang til andres postkasser: FullAccess, SendAs og delegering i auditloggen

G

• Git reflog · Platform: Kildekode · Hvad det kan vise: Lokale ændringer af grene og commits, også efter omskrivning af historikken · Artikel: Kildekode og Git som bevis
• Gmail-filtre og videresendelse · Platform: Google Workspace · Hvad det kan vise: Regler og videresendelse oprettet på en overtaget konto · Artikel: Overtaget Google Workspace-konto: filtre, videresendelse og app-adgang i revisionsloggen
• Gmail-logsøgning · Platform: Google Workspace · Hvad det kan vise: Levering af mails til og fra domænet · Artikel: Gmail-logsøgning: leveringsspor i Google Workspace
• Google Takeout · Platform: Google-konti · Hvad det kan vise: Brugerens egen eksport med andet indhold og andre metadata end Vault · Artikel: Google Takeout eller Vault-eksport: forskelle i indhold og metadata
• Google Vault · Platform: Google Workspace · Hvad det kan vise: Opbevaring, søgning og eksport af mail, Drive og chat · Artikel: Google Vault og revisionslogs i Google Workspace som bevis
• Google-kontoens sikkerhedskopi · Platform: Android · Hvad det kan vise: Hvad der bliver kopieret til Google, og hvad der ikke gør · Artikel: Android-backup og Google-kontoens sikkerhedskopi

H

• Hiberfil.sys og pagefile.sys · Platform: Windows · Hvad det kan vise: Dvale- og sidefil med rester af hukommelsens indhold fra et tidligere tidspunkt · Artikel: Hukommelsessikring (RAM): hvad hukommelsen rummer, og hvordan den sikres
• Hostingleverandørens logs · Platform: Webhotel og hosting · Hvad det kan vise: Adgangs-, FTP- og panellogs, der ofte kun gemmes kort · Artikel: Hostingleverandørens logs: hvad kan leveres, og hvor hurtigt forsvinder det

I

• $I- og $R-filer · Platform: Windows · Hvad det kan vise: Papirkurvens par pr. slettet fil: $I har oprindelig sti, størrelse og slettetidspunkt, $R har indholdet · Artikel: Papirkurven i Windows: $Recycle.Bin og hvad den afslører
• Indbakkeregler · Platform: Exchange Online · Hvad det kan vise: Regler, der flytter, sletter eller videresender mails, og hvornår de blev oprettet · Artikel: Indbakkeregler og videresendelse: opdagelse og datering i Microsoft 365
• IndexedDB · Platform: Browsere og Electron-apps · Hvad det kan vise: Lokale data fra webapps og programmer som Teams og Slack · Artikel: Electron-apps lokalt: Teams, Slack og Discord på computeren
• Intune-enhedsdata · Platform: MDM · Hvad det kan vise: Inventar, overholdelse af politikker og fjernsletning af firmaenheder · Artikel: MDM og Intune som datakilde: inventar, compliance og fjernsletning
• IPTC · Platform: Billeder · Hvad det kan vise: Beskrivelse, ophavsret og nøgleord tilføjet af fotograf eller redaktion · Artikel: Hvornår er billedet taget? EXIF, XMP og IPTC forklaret

J

• journald · Platform: Linux · Hvad det kan vise: Systemd-journalen med tjenester, logon og kernemeddelelser i binært format · Artikel: Linux-servere i undersøgelser: journald, auth-log og shellhistorik
• Jump lists · Platform: Windows · Hvad det kan vise: Seneste filer pr. program, også filer på drev, der ikke længere er tilsluttet · Artikel: Windows-artefakter: LNK, jump lists, shellbags og USB-spor

K

• Kalenderdata (ICS) · Platform: E-mail og kalender · Hvad det kan vise: Mødeinvitationer, ændringer og svar · Artikel: Kalenderdata og mødeinvitationer teknisk
• KnowledgeC.db · Platform: macOS og iPhone · Hvad det kan vise: Brug af apps og enhedstilstand over tid. Erstattes gradvist af Biome · Artikel: macOS-artefakter i undersøgelser
• Kubernetes-auditlog · Platform: Containere · Hvad det kan vise: Kald til cluster-API’et og ændringer af workloads · Artikel: Containere og Kubernetes: flygtige spor, der skal sikres hurtigt

L

• LevelDB · Platform: Browsere og apps · Hvad det kan vise: Nøgle-værdi-lager med lokale appdata og ofte rester af ældre poster · Artikel: Plist, LevelDB og andre app-formater
• LNK-filer · Platform: Windows · Hvad det kan vise: Genveje, der oprettes ved åbning af filer. Rummer sti, volumen og målfilens tidsstempler · Artikel: Windows-artefakter: LNK, jump lists, shellbags og USB-spor
• $LogFile · Platform: Windows (NTFS) · Hvad det kan vise: Transaktionslog for metadataændringer. Meget detaljeret, men dækker typisk kun en kort periode · Artikel: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
• Login-revisionslog · Platform: Google Workspace · Hvad det kan vise: Logon, mistænkelige forsøg og app-adgang til kontoen · Artikel: Overtaget Google Workspace-konto: filtre, videresendelse og app-adgang i revisionsloggen

M

• Mailbox audit (Send, SoftDelete m.fl.) · Platform: Exchange Online · Hvad det kan vise: Handlinger i postkassen: sendt, flyttet, slettet · Artikel: MailItemsAccessed og mailbox-auditloggen: hvilke mails blev læst?
• MailItemsAccessed · Platform: Exchange Online · Hvad det kan vise: Hvilke mails der blev åbnet eller synkroniseret, og af hvilken klient · Artikel: MailItemsAccessed og mailbox-auditloggen: hvilke mails blev læst?
• Manifest.db · Platform: iPhone (backup) · Hvad det kan vise: Indeks over alle filer i en iOS-backup · Artikel: iOS-backup: krypteret, ukrypteret og hvad den indeholder
• MBOX · Platform: E-mail · Hvad det kan vise: Mange mails i én tekstfil, fx fra Google-eksporter · Artikel: Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer
• Message trace · Platform: Exchange Online · Hvad det kan vise: Leveringsspor for afsendte og modtagne mails, uden indhold · Artikel: Message trace, indholdssøgning eller auditlog: hvilket værktøj til hvilket spørgsmål
• Message-ID · Platform: E-mail · Hvad det kan vise: Mailens unikke id, der binder tråde sammen og afslører dubletter · Artikel: Mailtråde, Message-ID og familierelationer
• $MFT · Platform: Windows (NTFS) · Hvad det kan vise: En post pr. fil og mappe med navn, størrelse og tidsstempler. Slettede poster kan stå tilbage, til pladsen genbruges · Artikel: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
• MountedDevices · Platform: Windows · Hvad det kan vise: Kobling mellem drevbogstav og tilsluttet volumen · Artikel: USB-tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav
• MP4- og MOV-atomer · Platform: Video · Hvad det kan vise: Oprettelsestid og optageenhed i filens struktur · Artikel: Videometadata: MP4/MOV-strukturer og optagetid
• MSG · Platform: E-mail · Hvad det kan vise: Outlooks format for en enkelt mail med egenskaber fra postkassen · Artikel: Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer
• msgstore.db · Platform: Android · Hvad det kan vise: WhatsApps beskeddatabase på Android · Artikel: WhatsApp teknisk: lokal database, backup og hvad en chat-eksport mangler

N

• NAS-papirkurv og snapshots · Platform: NAS · Hvad det kan vise: Slettede filer på delte mapper og tidligere versioner af dem · Artikel: NAS-enheder som datakilde: logs, papirkurv og snapshots
• NetFlow · Platform: Netværk · Hvad det kan vise: Forbindelsesdata uden indhold: hvem talte med hvem, hvor meget · Artikel: NetFlow og pakkeopsamling i civile undersøgelser
• NTUSER.DAT · Platform: Windows · Hvad det kan vise: Brugerens del af registreringsdatabasen med MRU-lister, UserAssist og indstillinger · Artikel: Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs

O

• OAuth-samtykker og app-tilladelser · Platform: Entra ID · Hvad det kan vise: Apps, brugere har givet adgang til mail og filer · Artikel: OAuth-apps og samtykke-phishing: ukendte app-tilladelser
• Objektlagerets adgangslogs og versioner · Platform: S3 og Blob Storage · Hvad det kan vise: Læsning og download af objekter samt tidligere versioner · Artikel: Objektlager (S3, Blob): adgangslogs og versionering
• OneDrive-klientens logs og databaser · Platform: Windows · Hvad det kan vise: Lokale spor af, hvilke filer klienten synkroniserede, og hvornår · Artikel: OneDrive-klienten på Windows: lokale spor af synkronisering
• OpenSaveMRU og andre MRU-lister · Platform: Windows · Hvad det kan vise: Filer, der senest blev åbnet eller gemt via dialogbokse · Artikel: UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger
• OST · Platform: E-mail · Hvad det kan vise: Outlooks lokale cache af en servers postkasse · Artikel: PST og OST: struktur, slettede emner og korruption

P

• PCAP · Platform: Netværk · Hvad det kan vise: Fuld pakkeopsamling, kun hvis den allerede kørte og er lovligt afgrænset · Artikel: NetFlow og pakkeopsamling i civile undersøgelser
• PDF med inkrementelle opdateringer · Platform: PDF · Hvad det kan vise: Tidligere versioner af dokumentet gemt i samme fil · Artikel: Dokumentforfalskning: tekniske tegn i Office- og PDF-filer
• PDF-signatur · Platform: PDF · Hvad det kan vise: Hvem der har signeret, hvornår, og om dokumentet er ændret siden · Artikel: Digitale signaturer i PDF: teknisk validering og tidsstempling
• Photos.sqlite · Platform: iPhone · Hvad det kan vise: Billeder og video med oprettelse, import, redigering og sletning · Artikel: Billeder på iPhone: Photos.sqlite, metadata og redigeringer
• Placeringsdata på telefonen · Platform: iPhone og Android · Hvad det kan vise: Positioner fra GPS, Wi-Fi og mobilnet med meget forskellig præcision · Artikel: Lokationsdata på telefonen: præcision og fejlkilder
• Placeringshistorik (Tidslinje) · Platform: Private Google-konti · Hvad det kan vise: Gemte positioner, hvis funktionen er slået til · Artikel: Private Google-konti: aktivitetsdata og placeringshistorik
• Plist · Platform: macOS og iPhone · Hvad det kan vise: Indstillinger og appdata i XML- eller binært format · Artikel: Plist, LevelDB og andre app-formater
• PowerShell-historik (PSReadLine) · Platform: Windows · Hvad det kan vise: Kommandoer skrevet interaktivt i PowerShell pr. bruger · Artikel: PowerShell-historik og scriptlogning som datakilde
• PowerShell-scriptblokke (event 4104) · Platform: Windows · Hvad det kan vise: Indholdet af kørte scripts, når logningen er aktiveret · Artikel: PowerShell-historik og scriptlogning som datakilde
• Prefetch · Platform: Windows · Hvad det kan vise: Programkørsel med antal og seneste tidspunkter. Ofte slået fra på servere · Artikel: Prefetch, Amcache og Shimcache: bevis for programkørsel og grænserne
• PrintService-log · Platform: Windows · Hvad det kan vise: Udskrifter med dokumentnavn, printer og bruger, hvis logningen er aktiv · Artikel: Print i Windows: spool-filer, PrintService-log og printserverens journal
• Privilegerede rolletildelinger · Platform: Entra ID · Hvad det kan vise: Hvem der fik og mistede administratorroller · Artikel: Privilegerede roller: tildelinger og ændringshistorik i Entra ID
• Proxy- og webfilterlog · Platform: Netværk · Hvad det kan vise: Besøgte adresser og uploads pr. bruger eller enhed · Artikel: Proxy- og webfilterlogs
• PST · Platform: E-mail · Hvad det kan vise: Outlook-datafil med mapper, mails og ofte slettede emner · Artikel: PST og OST: struktur, slettede emner og korruption
• Purview-opbevaringspolitikker · Platform: Microsoft 365 · Hvad det kan vise: Hvad der er bevaret eller slettet automatisk efter regler og etiketter · Artikel: Purview-opbevaringspolitikker og etiketter: hvad er slettet, og hvad er bevaret

Q

• Quarantine-attribut og downloaddatabase · Platform: macOS · Hvad det kan vise: Hvor og hvornår en fil er hentet · Artikel: macOS-artefakter i undersøgelser

R

• RDP bitmap-cache · Platform: Windows · Hvad det kan vise: Billedfliser fra fjernskrivebordssessioner på den maskine, der koblede sig på · Artikel: RDP-spor: fjernskrivebord i logs, register og bitmap-cache
• RDP-hændelser (TerminalServices) · Platform: Windows · Hvad det kan vise: Forbindelser, genforbindelser og afbrydelser af fjernskrivebord · Artikel: RDP-spor: fjernskrivebord i logs, register og bitmap-cache
• Received-headere · Platform: E-mail · Hvad det kan vise: Mailens vej fra server til server med tidsstempler · Artikel: Analyse af mail-headere, SPF, DKIM og DMARC
• RecentDocs · Platform: Windows · Hvad det kan vise: Senest åbnede filer pr. filtype i brugerens profil · Artikel: UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger
• Recoverable Items · Platform: Exchange Online · Hvad det kan vise: Slettede og ændrede mails, der stadig kan findes i postkassen · Artikel: Exchange Online: Recoverable Items, hold og hvad der reelt er tilbage
• $Recycle.Bin · Platform: Windows · Hvad det kan vise: Papirkurven opdelt pr. bruger-SID. Viser, hvilken profil der flyttede filen til papirkurven · Artikel: Papirkurven i Windows: $Recycle.Bin og hvad den afslører
• Registrerede enheder · Platform: Entra ID · Hvad det kan vise: Enheder knyttet til en konto, som kan give adgang efter skift af adgangskode · Artikel: Registrerede enheder i Entra ID som vedvarende adgang
• Registreringsdatabasens transaktionslogs · Platform: Windows · Hvad det kan vise: LOG1- og LOG2-filer med ændringer, der endnu ikke er skrevet til hive-filen · Artikel: Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs
• RMM-log · Platform: IT-leverandører · Hvad det kan vise: Fjernadgang og scripts kørt via leverandørens fjernstyringsværktøj · Artikel: IT-leverandørens adgang: RMM-logs og leverandørens egne konti

S

• SAM · Platform: Windows · Hvad det kan vise: Lokale konti, grupper og seneste logon på maskinen · Artikel: Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs
• setupapi.dev.log · Platform: Windows · Hvad det kan vise: Første installation af en USB-enhed eller anden hardware · Artikel: USB-tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav
• SharePoint-versionshistorik · Platform: SharePoint og OneDrive · Hvad det kan vise: Tidligere versioner af en fil og hvem der gemte dem · Artikel: Hvem ændrede filen? Versioner og delingslinks i SharePoint
• Shellbags · Platform: Windows · Hvad det kan vise: Mapper, brugeren har vist i Stifinder, også på fjernede drev og netværksshares · Artikel: Windows-artefakter: LNK, jump lists, shellbags og USB-spor
• Shellhistorik · Platform: Linux og macOS · Hvad det kan vise: Kommandoer skrevet i en terminal. Kan mangle eller være slettet · Artikel: Linux-servere i undersøgelser: journald, auth-log og shellhistorik
• ShimCache (AppCompatCache) · Platform: Windows · Hvad det kan vise: Programmer, systemet har set. Rækkefølgen siger noget, kørsel er ikke sikker · Artikel: Prefetch, Amcache og Shimcache: bevis for programkørsel og grænserne
• $SI ($STANDARD_INFORMATION) · Platform: Windows (NTFS) · Hvad det kan vise: De tidsstempler, Stifinder viser. Kan ændres af programmer og skal derfor læses sammen med $FN og journalen · Artikel: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
• SIEM-data · Platform: Sikkerhedsværktøjer · Hvad det kan vise: Normaliserede kopier af logs. Rådata bør sikres ved siden af · Artikel: SIEM-data som bevis: integritet og eksport
• Signal- og Telegram-databaser · Platform: Mobil og computer · Hvad det kan vise: Lokale beskeder, krypteret på enheden, og forsvindende beskeder · Artikel: Signal og Telegram teknisk: lokale data og forsvindende beskeder
• Skjulte ark og formler · Platform: Excel · Hvad det kan vise: Data og beregninger, der ikke vises i den synlige visning · Artikel: Excel i undersøgelser: skjulte ark, formler, eksterne links og ændringer
• Skærmtid · Platform: iPhone · Hvad det kan vise: Brug af apps og enheden fordelt på tid · Artikel: iPhone-artefakter: Biome, skærmtid og placeringsdata
• Slack-eksport · Platform: Slack · Hvad det kan vise: Kanaler og beskeder i JSON. Omfanget afhænger af abonnement · Artikel: Slack-eksport teknisk: formater, planer og Discovery API
• sms.db · Platform: iPhone · Hvad det kan vise: SMS og iMessage med afsender, tidspunkt og leveringsstatus · Artikel: sms.db og iMessage: struktur og fortolkning
• Spool-filer (.SPL og .SHD) · Platform: Windows · Hvad det kan vise: Midlertidige udskriftsjob, der kan blive liggende på printserveren · Artikel: Print i Windows: spool-filer, PrintService-log og printserverens journal
• Spotlight-metadata · Platform: macOS · Hvad det kan vise: Indekserede metadata som downloadkilde og seneste brug · Artikel: macOS-artefakter i undersøgelser
• SQLite WAL og frie sider · Platform: Apps · Hvad det kan vise: Seneste ændringer og rester af slettede rækker i appdatabaser · Artikel: SQLite i forensic: WAL-filer, frie sider og slettede rækker
• SRUM (SRUDB.dat) · Platform: Windows · Hvad det kan vise: Netværks- og programforbrug pr. bruger og program i timeintervaller · Artikel: SRUM: netværks- og programforbrug pr. bruger
• SSO-systemlog · Platform: Identitetsudbydere · Hvad det kan vise: Samlet login-spor på tværs af de tilknyttede SaaS-tjenester · Artikel: Identitetsudbydere og SSO: systemlogs som samlet login-spor
• Sysmon-log · Platform: Windows · Hvad det kan vise: Detaljeret proces-, netværks- og filhændelser, hvis Sysmon er installeret · Artikel: Windows-hændelseslogs: de vigtigste kanaler og event-id’er
• SYSTEM-hive · Platform: Windows · Hvad det kan vise: Tidszone, netværk, tjenester og USB-enheder for hele maskinen · Artikel: Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs

T

• TCC.db · Platform: macOS · Hvad det kan vise: Tilladelser til kamera, mikrofon, skærmoptagelse og filadgang pr. app · Artikel: macOS-artefakter i undersøgelser
• Teams-beskeder i postkassen · Platform: Microsoft Teams · Hvad det kan vise: Kopier af chats og kanalbeskeder til søgning og eksport · Artikel: Teams teknisk: hvor chats, filer og optagelser gemmes, og hvordan de eksporteres
• Tjenester og planlagte opgaver · Platform: Windows · Hvad det kan vise: Konfigurationen af opgaver og tjenester, der kan give vedvarende adgang · Artikel: Autostart, planlagte opgaver og tjenester: spor efter fastholdt adgang
• TypedPaths · Platform: Windows · Hvad det kan vise: Stier, brugeren har skrevet i Stifinders adresselinje · Artikel: UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger

U

• Unified Audit Log · Platform: Microsoft 365 · Hvad det kan vise: Samlet auditlog for mail, filer, Teams og administration · Artikel: Unified Audit Log i Microsoft 365 som bevis
• Unified Log (.tracev3) · Platform: macOS · Hvad det kan vise: Systemets samlede log. Roterer hurtigt og skal sikres som logarkiv · Artikel: Unified Logs på macOS: sikring af logarkivet, før det roterer
• usagestats · Platform: Android · Hvad det kan vise: Appbrug og hændelser i forgrund og baggrund · Artikel: Android-artefakter: usage stats, Digital Wellbeing og app-databaser
• USBSTOR · Platform: Windows · Hvad det kan vise: USB-lagerenheder med producent, model og serienummer · Artikel: Windows-artefakter: LNK, jump lists, shellbags og USB-spor
• UserAssist · Platform: Windows · Hvad det kan vise: Programmer startet via den grafiske brugerflade med antal og seneste tidspunkt · Artikel: UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger
• $UsnJrnl · Platform: Windows (NTFS) · Hvad det kan vise: Ændringsjournal: oprettelse, ændring, omdøbning og sletning i rækkefølge, også for filer, der ikke findes mere · Artikel: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
• UsrClass.dat · Platform: Windows · Hvad det kan vise: Brugerens anden registreringsfil, blandt andet med shellbags · Artikel: Registreringsdatabasen i en undersøgelse: hives, NTUSER.DAT og transaktionslogs

V

• Volume Shadow Copies · Platform: Windows · Hvad det kan vise: Tidligere tilstande af disken, hvor slettede eller ændrede filer kan findes igen · Artikel: Volume Shadow Copies: tidligere versioner som bevis
• VPN-sessionslog · Platform: Netværk · Hvad det kan vise: Bruger, tildelt adresse, offentlig IP og datamængde pr. session · Artikel: VPN-logs: sessioner, tildelte adresser og datamængder

W

• WARC · Platform: Web · Hvad det kan vise: Arkivformat for en webside med svar, headere og tidspunkt · Artikel: Webarkivering i forensisk kvalitet: WARC, hash og tidsstempel
• Webserverlog (access log og W3C) · Platform: Webservere · Hvad det kan vise: Forespørgsler med IP, sti, statuskode og klient · Artikel: Webserverlogs (IIS, Apache, Nginx): felter, tidszoner, proxy og CDN
• Windows Recall · Platform: Windows · Hvad det kan vise: Lokale skærmbilleder og tekst på maskiner med funktionen slået til · Artikel: Windows Recall og lokale AI-funktioner som datakilde
• Windows Search-indeks (Windows.edb og Windows.db) · Platform: Windows · Hvad det kan vise: Indekserede filer og mails med metadata, også efter at filen er slettet · Artikel: Windows Search-indekset som datakilde
• WordWheelQuery · Platform: Windows · Hvad det kan vise: Søgninger, brugeren har skrevet i Stifinder · Artikel: UserAssist, RecentDocs og MRU-lister: brugerens seneste handlinger
• wtmp og lastlog · Platform: Linux · Hvad det kan vise: Logonhistorik for brugere på serveren · Artikel: Linux-servere i undersøgelser: journald, auth-log og shellhistorik

X

• XMP · Platform: Billeder og PDF · Hvad det kan vise: Redigeringshistorik og program, der har gemt filen · Artikel: Hvornår er billedet taget? EXIF, XMP og IPTC forklaret

Z

• Zone.Identifier · Platform: Windows · Hvad det kan vise: Mark of the Web: hvor en downloadet fil kom fra · Artikel: Downloads og Mark of the Web (Zone.Identifier)

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.