Forensic‑arbejdsstationen: krav til opsætning og isolation

Forside › Tjeklister og skabeloner · Gennemgået oktober 2026 · Af John Nielsen

Den computer, analysen foregår på, er en del af metoden. Hvis den er forurenet af en tidligere sag, har ukontrolleret netværksadgang, kører med ukendte værktøjsversioner eller har et forkert ur, kan det påvirke resultatet, og det kan være svært at forklare bagefter. En forensic-arbejdsstation er derfor ikke bare en kraftig pc. Den er en kontrolleret, dokumenteret og isoleret platform, der holder sager adskilt, beskytter beviskopierne og gør det muligt at vise, hvordan analysen er foretaget.

Artiklen beskriver kravene til opsætningen uden at anbefale bestemte produkter. Værktøjskategorierne er gennemgået i værktøjer i digital forensic.

Hardware

Analysearbejde er tungt på lager og hukommelse. Indeksering af et image, parsing af en mobiltelefon eller søgning i millioner af mails kræver hurtig adgang til store datamængder. Typiske krav:

Processor · Mange kerner, fordi de fleste analyseværktøjer kan fordele arbejdet
Hukommelse · Rigeligt, fordi indeksering og hukommelsesanalyse bruger meget
Lager til arbejdsdata · Hurtige SSD’er til sagens arbejdskopier, indeks og databaser
Lager til beviskopier · Stor kapacitet, krypteret, adskilt fra systemdisken
Porte · Flere hurtige porte til skrivebeskyttere og eksterne diske
Skrivebeskyttere · Hardware til de diskgrænseflader, der forekommer i sagerne

Det vigtigste princip er adskillelse: styresystem og værktøjer på én disk, sagsdata på andre. Så kan systemet geninstalleres, uden at sagsdata berøres, og sagsdata kan slettes sikkert, uden at systemet berøres.

Styresystem og grundopsætning

Arbejdsstationen bør have en minimal, kendt opsætning:

kun de programmer, der er nødvendige for analysen,
automatisk afspilning og automatisk montering af nye medier slået fra, så tilsluttede diske ikke ændres,
indeksering, miniaturebilleder og andre baggrundsprocesser slået fra på sagsdiskene,
automatiske opdateringer slået fra, så værktøjsversioner ikke ændres midt i en sag,
en dokumenteret liste over installerede værktøjer og versioner.

Mange laboratorier bruger flere styresystemer, fx Windows til de fleste analyseværktøjer og Linux til særlige opgaver, enten som separate maskiner eller som virtuelle maskiner på samme hardware.

Isolation og netværk

En arbejdsstation, der analyserer data fra en hændelse, kan komme i kontakt med skadelig kode. Og en arbejdsstation med fri internetadgang kan komme til at sende data ud, fx når en fil åbnes og forsøger at hente eksternt indhold, eller når et værktøj slår oplysninger op online.

Typiske krav:

Ingen internetadgang som udgangspunkt. Opdateringer og licensaktivering sker via en kontrolleret vej, fx et separat netværk eller et medie, der kun bruges til formålet.
Adskilt netværk fra virksomhedens almindelige netværk, hvis arbejdsstationen skal på et netværk, fx for at tilgå et sikkert lager.
Sandkasse til skadelig kode. Mistænkelige filer undersøges i en isoleret virtuel maskine, der kan nulstilles, ikke på selve arbejdsstationen.
Antivirus med omtanke. En antivirus, der automatisk sletter eller flytter filer, kan ændre beviskopier. Den bør ikke have adgang til sagsdiskene, eller den bør stå til kun at rapportere.

Når en analyse kræver online opslag, fx af et domæne eller en IP-adresse, bør det ske fra en separat maskine og noteres.

Adskillelse af sager

Data fra én sag må ikke kunne blandes med data fra en anden. Det gælder både beviskopier, indeks, eksporter, midlertidige filer og værktøjernes egne databaser.

Hver sag har sin egen mappe eller sit eget volumen.
Værktøjers midlertidige filer og cache peges ind i sagens område, ikke i brugerprofilen.
Når en sag er afsluttet, slettes sagsdata sikkert, og sletningen dokumenteres.
Systemdisken nulstilles med jævne mellemrum fra en kendt og hashet grundinstallation.

Krydsforurening er en kendt fejlkilde, fordi rester fra én sag kan dukke op som fund i en anden. Hvordan undersøgelsen selv kan efterlade spor, er beskrevet i kontaminering.

Lagring og adgang

Beviskopier opbevares krypteret og med adgangskontrol. Masterkopien røres ikke under analysen; analysen sker på arbejdskopier. Se arbejdskopier og masterkopi. Kravene til lagring og kryptering er uddybet i opbevaring af beviskopier.

Adgangen til arbejdsstationen bør være personlig og logget. Delte konti gør det umuligt at vise, hvem der har arbejdet med en sag. Logning af analytikerens egen adgang er beskrevet i logning af analytikerens adgang.

Tid

Arbejdsstationens ur indgår i værktøjernes logs og i tidspunkter for eksporter og rapporter. Uden internet skal uret synkroniseres på anden vis, fx mod en lokal tidskilde, eller kontrolleres og noteres med jævne mellemrum. Mange vælger at køre arbejdsstationen i UTC for at undgå forvirring ved sommertid. Uanset valget skal værktøjernes indstillinger for tidszone dokumenteres for hver sag.

Værktøjer og versioner

Hold en liste over værktøjer, versioner og installationsdato.
Afprøv nye versioner på kendte testdata, før de bruges i sager. Se verifikation af værktøjer.
Gem installationsfiler for de versioner, der er brugt i sager, så analysen kan gentages.
Notér licenser og moduler, fordi de kan påvirke, hvad værktøjet kan læse.

Fysisk sikkerhed

Arbejdsstationen og beviskopierne bør stå i et aflåst rum eller skab, med adgang kun for dem, der arbejder med sagerne. Bærbare arbejdsstationer til brug i felten skal være krypterede og opbevares sikkert under transport.

Feltudstyr

Sikring på stedet stiller andre krav end analyse i laboratoriet. Feltudstyret består typisk af en bærbar maskine med sikringsværktøjer, skrivebeskyttere, bootmedier, destinationsdiske og kabler til de grænseflader, der kan forekomme. Udstyret skal virke uden netværk og være afprøvet før afgang. Bærbare maskiner til feltbrug bør have samme kontrol med versioner og opsætning som den stationære arbejdsstation, og bootmedierne bør være hashede, så det kan vises, at de ikke er ændret. Destinationsdiske klargøres og registreres, før de tages med, så det er klart, at de ikke indeholder data fra andre sager.

Proportionalitet i en lille praksis

Ikke alle har et laboratorium med separate rum og netværk. En lille praksis kan opfylde de samme principper med enklere midler: en dedikeret maskine, der kun bruges til sager, uden internet, med krypterede sagsdiske og en dokumenteret grundinstallation, der kan genskabes. Det vigtige er ikke udstyrets pris, men at opsætningen er bevidst, beskrevet og fulgt. Mangler noget, fx en adskilt sandkasse, bør det fremgå af procedurerne, hvordan det håndteres, når en sag kræver det.

Dokumentation

Arbejdsstationens opsætning bør kunne dokumenteres på forespørgsel: hardware, styresystem og version, installerede værktøjer, netværksopsætning, antivirus-indstillinger, tidsopsætning og procedurer for adskillelse og sletning. Ved en indsigelse mod metoden er det den dokumentation, der viser, at platformen ikke har påvirket resultatet.

Fejlkilder

Et nyt medie monteres automatisk, og styresystemet skriver til det.
En opdatering af et værktøj sker midt i en sag, og to dele af analysen er lavet med forskellige versioner.
Antivirus sætter en fil fra en beviskopi i karantæne.
Rester fra en tidligere sag optræder i søgeresultater.
Arbejdsstationens ur går forkert, og eksporternes tidspunkter passer ikke med notaterne.
En sagsdisk genbruges uden dokumenteret sletning, og det kan ikke udelukkes, at gamle data er blandet ind.
Backup af arbejdsstationen sender sagsdata til et lager, der ikke har samme adgangskontrol som beviskopierne.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Tjeklister og skabeloner

Læs også: Tjekliste til MSP’er: når kunden ringer med en hændelse · Kom i gang med digital forensics: læserækkefølge og fagmiljøer · Alle skabeloner og værktøjer

→ Tjeklister og skabeloner · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik