En forensisk undersøgelse af en computer besvarer konkrete spørgsmål ud fra de spor, operativsystemet og programmerne efterlader: hvilke filer blev åbnet, kopieret eller slettet, hvilke USB-enheder blev tilsluttet, og hvilke programmer kørte hvornår. Undersøgelsen laves på en verificeret kopi af disken, så computeren ikke ændres, og så resultatet kan efterprøves.

Analysen laves uvildigt: Nielco IT forhandler ingen endpoint-produkter eller driftsaftaler, og alt, hvad der findes på disken, er omfattet af tavshedspligt.

Situationen

IT-afdelingen bliver typisk inddraget, når:

• en medarbejder er fratrådt, og der er mistanke om, at filer er taget med,
• en maskine viser tegn på, at nogen har haft fjernadgang,
• der er ryddet op på disken kort før en fratræden eller en samtale,
• en tvist drejer sig om, hvornår et dokument er lavet, eller hvem der har ændret det,
• en leverandør påstår, at en fejl skyldes brugeren og ikke systemet.

Står maskinen stadig hos brugeren, eller er den på vej til geninstallation, er første skridt at stoppe det. → Forensisk sikring

Hvad der sikres, og hvordan

Computeren sikres med et fuldt image gennem skrivebeskyttelse, hashet ved sikringen og kontrolleret igen før analysen. Er disken krypteret med BitLocker eller FileVault, sikres med den gendannelsesnøgle, virksomheden lovligt har adgang til. Kører maskinen, og er der tegn på aktiv fjernadgang, vurderes det, om hukommelsen skal sikres først. → BitLocker og FileVault og Hukommelsessikring

Er computeren synkroniseret med OneDrive, Google Drive eller en privat cloudtjeneste, kan dele af svaret ligge uden for maskinen. Det afklares i kommissoriet, hvilke kilder der skal med.

Hvad undersøgelsen kan vise

På en Windows-computer er de centrale kilder blandt andet:

• LNK-filer, Jump Lists og Shellbags: hvilke filer og mapper brugeren har åbnet, også på eksterne drev. → Windows-artefakter
• USB-spor: hvilke enheder der er tilsluttet, med serienummer og tidspunkter. → USB-tidslinjen i Windows
• Prefetch, Amcache og Shimcache: hvilke programmer der har kørt. → Bevis for programkørsel
• NTFS-strukturerne MFT og USN-journalen: oprettelse, omdøbning og sletning af filer. → NTFS i dybden
• Hændelseslogs: logins, fjernskrivebord og ændringer af konti. → Windows-hændelseslogs
• Browserhistorik: upload til webmail og cloudtjenester. → Browserhistorik som bevis

På en Mac er kilderne andre, men spørgsmålene de samme. → macOS-artefakter

Sporene sættes sammen i en tidslinje, så det bliver tydeligt, hvad der skete i hvilken rækkefølge.

Hvad undersøgelsen ikke kan vise

Et artefakt viser, at noget skete under en bestemt brugerkonto. Det viser ikke i sig selv, hvem der sad ved tastaturet. Synkronisering, antivirus og indeksering kan efterlade spor, der ligner brugerhandlinger. Overskrevne data på SSD-diske kan være væk for altid. Den slags forbehold fremgår af rapporten. → Systemet eller brugeren? og Fravær af spor

Hvad I får

• En verificeret kopi af disken med hash- og bevislog.
• En tidslinje over de relevante handlinger i den periode, kommissoriet dækker.
• En liste over filer og enheder, der er berørt, med tidspunkter og kilde.
• En rapport, der beskriver metode og fund og angiver konklusionsgrader og forbehold.

Eksempler på formen: indholdsfortegnelse til en forensic-rapport og teknisk datakort over den undersøgte maskine.

Ledelsens og HR’s side af samme sag, med personalejura og samtaler, er beskrevet på Undersøgelse af en medarbejders computer.

Samarbejde med jeres IT, MSP eller IR-leverandør

Maskinen står typisk i et miljø, som jeres IT eller MSP administrerer: Intune, EDR, backup og BitLocker-nøgler i Entra ID. Den viden er nødvendig, og den deles bedst, før nogen logger ind. Er maskinen en del af et angreb, kan en IR-leverandør allerede have isoleret den eller kørt scripts på den; de indgreb skrives ind i tidslinjen som kendte handlinger. Nielco IT har indsigt i incident response og hackerangreb og undersøger uvildigt ved siden af IR-arbejdet. Læs om rollerne på IR-leverandøren og den uvildige sikring og om første samtale på Når I ringer. Er I i tvivl, om sporene på én maskine er nok til en undersøgelse, så start med teknisk sparring.

Prisen afhænger af

Ingen beløb på denne side. Det, der flytter prisen, er:

• hvor mange computere og brugerprofiler der indgår,
• diskkapacitet og BitLocker eller FileVault,
• længden af den periode, tidslinjen skal dække,
• om OneDrive, mailkonto og telefon skal kobles på,
• hast: hastesager koster ekstra,
• rapportens omfang og eventuel forklaring for retten.

Pris og tilbud: Nielco IT’s side om pris og tilbud.

Hvem undersøger maskinen

John Nielsen er Nielco IT. Firmaet har været selvstændigt siden 2009, og bag det ligger mere end tre årtiers arbejde med IT-sikkerhed. I danske retskredse og ved patentdomstolen UPC har John Nielsen selv været IT-sagkyndig. Nielco IT har ingen leverandørpartnerskaber og tager opgaver overalt i landet.

Fortrolighed

En arbejdscomputer rummer næsten altid private filer, browserdata og beskeder. De adskilles efter en aftalt procedure og kommer kun med i rapporten, hvis de er relevante. Tavshedspligt omfatter hele det IT-sagkyndige arbejde med maskinen; kun domstolene kan kræve oplysninger udleveret. NDA underskrives efter ønske. → Private data på arbejdsenheden

Afgrænsning

Virksomhedens egne computere i interne sager og civile tvister er kerneopgaven. Personer, som er politianmeldt eller sigtet for økonomiske forhold, får ikke hjælp. Se afgrænsningen.

Ring på 70 13 63 23 for at aftale sikring af maskinen, eller se ydelsen hos Nielco IT.