Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
Et forensisk image er en sektor for sektor-kopi af et lagermedie, lavet uden at ændre originalen, med en hashværdi beregnet under sikringen og efterprøvet bagefter. Selve kopieringen er den nemme del. Det, der gør kopien brugbar som bevis, er alt omkring den: at kilden er identificeret entydigt, at den var beskyttet mod skrivning, at værktøjet er kendt og afprøvet, at fejl er registreret, og at hver handling er dokumenteret. Her gennemgås forløbet trin for trin for en computer med en udtagelig eller tilgængelig disk. Hvad analysen af kopien bagefter kan bruges til, står i Forensisk undersøgelse af en computer. Værktøjer omtales som kategorier.
Begrebet forklaret for ikke-teknikere står på hubben i Hvad er en forensisk kopi?. Om et fuldt image er den rigtige metode, afgøres først i Fysisk, logisk eller målrettet sikring, og skal en IT-sagkyndig udføre opgaven, er den beskrevet under forensisk sikring.
1. Forberedelse
- Destinationsmedie: tilstrækkelig kapacitet, kendt tilstand, gerne tømt og kontrolleret før brug, og mærket med sagsnummer.
- Værktøjer: skrivebeskytter, sikringsprogram eller forensisk opstartsmedie i kendte versioner, afprøvet på testdata. Notér versionerne.
- Dokumentation: bevislog, fotoudstyr, mærkater og forsegling klar.
- Tid: et ur kontrolleret mod en pålidelig tidskilde, som alle tidspunkter noteres efter.
2. Registrér udgangspunktet
Fotografér enheden, som den er fundet: skærm, kabler, tilsluttede medier og omgivelser. Notér producent, model, serienummer, tilstand (tændt, slukket, i dvale) og hvem der har haft den. Står maskinen tændt, skal det besluttes, om flygtige data eller oplåste krypterede drev skal sikres, før den slukkes.
Notér også, hvem der har brugt maskinen siden hændelsen, og hvad der er gjort ved den, fx om IT har logget ind, kørt en scanning eller nulstillet en adgangskode. Den slags handlinger efterlader spor, som senere skal kunne skelnes fra brugerens egne. Spørg hellere en gang for meget, og skriv svarene ned med navn og tidspunkt.
3. Kryptering før slukning
Kontrollér, om disken er krypteret, før maskinen slukkes. Er den det, skal nøglen være tilgængelig ad lovlig vej, typisk som gendannelsesnøgle fra virksomhedens katalogtjeneste, MDM eller brugerens samtykke. Er nøglen ikke tilgængelig, og er drevet oplåst, kan en logisk kopi være nødvendig, før maskinen slukkes. Se BitLocker og FileVault.
4. Adgang til disken
Der er to hovedveje:
- Disken tages ud og tilsluttes sikringsmaskinen gennem en hardware-skrivebeskytter.
- Disken bliver i maskinen, fordi den er loddet fast eller svær at fjerne. Maskinen startes da fra et forensisk opstartsmedie, der ikke monterer interne diske med skriveadgang.
Ved den anden vej skal opstartsrækkefølgen ændres i firmware. Det skal ske uden at maskinen starter sit eget styresystem ved en fejl. Notér firmware-uret mod den kontrollerede tid. Skrivebeskyttelse og dens grænser er gennemgået i Skrivebeskyttere.
5. Identificér kilden
Før sikringen notéres diskens model, serienummer, firmware, kapacitet i bytes og antal sektorer, sektorstørrelse og eventuelle skjulte områder som HPA og DCO. Kontrollér, at det er den rigtige disk, især på maskiner med flere. Serienummeret på disken, ikke kun på computeren, er det, der binder kopien til kilden.
6. Vælg format og indstillinger
- Format: rå kopi, E01 eller AFF4. E01 er udbredt og rummer sagsoplysninger og hash. Valget er beskrevet i Forensiske diskformater.
- Hashalgoritme: SHA-256, eventuelt sammen med MD5 for kompatibilitet.
- Komprimering og segmentstørrelse efter destinationsmediet.
- Sagsoplysninger: sagsnummer, bevisnummer, sagkyndig og beskrivelse skrives ind i formatet, hvor det er muligt.
- Fejlhåndtering: hvordan ulæselige sektorer skal behandles, og hvor mange forsøg der gøres.
7. Sikringen
Start sikringen, og lad værktøjet beregne hashværdien, mens data læses. Notér start- og sluttidspunkt. Følg med i fejl. Ulæselige sektorer erstattes typisk af nuller i kopien og logges. Mange fejl tyder på en defekt disk, og så bør sikringen stoppes og en metode til defekte diske vælges, før disken forværres.
8. Verifikation
Når sikringen er færdig, verificeres kopien ved at genberegne hashværdien fra den færdige fil og sammenligne med værdien fra sikringen. Er de ens, er kopien korrekt skrevet. Det er også god praksis at genberegne hashværdien fra kilden gennem skrivebeskytteren, så det vises, at kilden ikke ændrede sig under sikringen. På diske med ustabile sektorer kan hashværdien af kilden afvige ved en ny læsning, og det skal forklares. Se Når hashværdien ikke stemmer.
9. Master og arbejdskopi
Lav en eller flere kopier af imaget og verificér dem med hash. Masterkopien opbevares urørt, og analysen sker på en arbejdskopi. Se Arbejdskopi og masterkopi.
10. Dokumentation og overdragelse
Bevisloggen udfyldes med enhed, disk, serienumre, tidspunkter, værktøjer og versioner, hashværdier, fejl og hvem der har udført hvad. Medier mærkes og forsegles, og hver overdragelse registreres. Felterne er beskrevet i Chain of custody-loggen. Originalen returneres eller opbevares efter aftale, og returneringen kvitteres.
Særlige tilfælde
Forløbet ovenfor passer til en almindelig pc med en SATA- eller NVMe-disk. Andre enheder kræver tilpasning:
- Mac med Apple-chip eller sikkerhedschip. Lagringen er krypteret i hardware og bundet til maskinen. En fysisk kopi af det rå lager er ikke brugbar, og sikringen sker i praksis logisk fra den kørende eller oplåste maskine eller via særlige tilstande, der kræver brugerens adgangskode. Se artiklen om sikring af Mac med Apple-chip.
- NVMe-diske kræver en skrivebeskytter eller adapter, der understøtter protokollen. Diske i andre formfaktorer kan kræve særlige adaptere.
- RAID. Diske i et RAID sikres enkeltvis, og opsætningen dokumenteres, så volumenet kan genopbygges. Alternativt sikres det samlede volumen logisk gennem controlleren.
- USB-drev og SD-kort sikres gennem en skrivebeskytter til det pågældende interface, og fysisk skrivebeskyttelse på kortet alene er ikke nok.
- Diske med hardwarekryptering kan være låst til den oprindelige maskine eller controller. Kontrollér, før disken tages ud.
Tidsforbrug og planlægning
En sikring tager tid i forhold til diskens størrelse og hastighed og til destinationens skrivehastighed. Store diske kan tage mange timer, og det skal der planlægges efter, især hvis sikringen sker på stedet hos kunden; se Store datamængder. Det kan være en fordel at sikre flere diske parallelt med flere sikringssæt. Undervejs må sikringsmaskinen ikke gå i dvale, og strømforsyningen skal være stabil. Afbrydes en sikring, startes den forfra, og det afbrudte forsøg noteres i loggen.
I rapporten
Rapporten gengiver enhedens og diskens identifikation, metode og værktøjer med versioner, format og indstillinger, start- og sluttidspunkter, hashværdier fra sikring og verifikation, eventuelle fejl og deres omfang samt kæden af ansvar. Det skal være muligt for en anden sagkyndig at gentage verifikationen ud fra rapporten alene.
Typiske fejl
- Maskinen startes i sit eget styresystem ved en fejl, så disken ændres.
- Forkert disk sikret på en maskine med flere diske eller en tilsluttet ekstern disk.
- Kryptering opdaget for sent, efter maskinen er slukket uden nøgle.
- Hash kun beregnet efter sikringen, så der ikke er en værdi fra selve læsningen.
- Ingen fejllog, så ulæselige sektorer ikke kan forklares.
- Destinationsmedie med gamle data, der kan blandes med sagens.
Hvad imaget kan og ikke kan bevise
Et verificeret image med dokumenteret kæde viser, at kopien svarer til disken på sikringstidspunktet. Det viser ikke, hvad der skete på disken før sikringen, eller hvem der brugte maskinen. Det er analysens opgave.
Kilder og versioner
- NIST: Computer Forensics Tool Testing Program (CFTT)
- libewf: dokumentation af E01-formatet (Expert Witness Compression Format)
- AFF4 Standard
- ISO/IEC 27037: retningslinjer for håndtering af digitale beviser
Senest gennemgået: oktober 2026.
Næste skridt
- Kopiering af netværksdrev og filshares uden at ændre tidsstempler
- Opbevaring af beviskopier: lagring, kryptering og adgangskontrol
- Sikker sletning af beviskopier, og hvordan sletningen dokumenteres
Del af: Sikring: metoderne samlet
Læs også: Fysisk, logisk eller målrettet sikring: valg af metode · Målrettet indsamling af filer, mapper og postkasser
→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
