Fysisk, logisk eller målrettet sikring: valg af metode

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Valget af sikringsmetode afgør, hvilke spørgsmål der kan besvares bagefter. En fysisk kopi bevarer hele mediet, også slettede data og ubrugt plads. En logisk kopi bevarer filer og mapper, som filsystemet viser dem. En målrettet indsamling bevarer kun det udvalgte. Hver metode udelukker noget, og det, der udelukkes, kan ikke hentes senere, hvis originalen er ændret eller væk. Metoden skal derfor vælges ud fra spørgsmålet, risikoen for at det ændrer sig, og hvad der er teknisk og retligt muligt.

Hvad en forensisk kopi er, er forklaret på hubben i Hvad er en forensisk kopi?. Advokatens beslutning om, hvorvidt der skal sikres nu, står i Beslutningstræ: skal data sikres nu?. Her handler det om det tekniske metodevalg. Udførelsen står i Forensisk image trin for trin og Målrettet indsamling, det hurtige overblik i Triage eller fuld kopi, og de korte trin samlet i Tjekliste: forensisk sikring af en computer.

Tre niveauer

Fysisk · Hvad bevares: Hele mediet sektor for sektor: partitioner, filsystemer, slettede data, ikke-allokeret plads (unallocated), slack · Hvad udelukkes: Kun det, mediets controller ikke giver adgang til
Logisk · Hvad bevares: En partition eller et volumen som filsystem, eller de aktive filer med metadata · Hvad udelukkes: Ikke-allokeret plads uden for volumenet, eller ved filkopi alt, der ikke er en aktiv fil
Målrettet · Hvad bevares: Udvalgte filer, mapper, artefakter, postkasser eller konti · Hvad udelukkes: Alt uden for udvælgelsen

Begrebet “logisk” bruges om to forskellige ting, og det skaber misforståelser. En logisk kopi af et volumen er en sektorkopi af en partition, ofte efter dekryptering, og bevarer også slettede data inden for volumenet. En logisk filkopi er en samling af aktive filer i en beholder. Rapporten skal sige præcist, hvilken der er tale om.

Fysisk kopi

En fysisk kopi er udgangspunktet for computere og eksterne medier, når den er mulig. Den gør det muligt at gendanne slettede filer, analysere filsystemets strukturer og efterprøve resultatet fra bunden. Men den har grænser:

Kryptering. En fysisk kopi af et krypteret drev er kun brugbar med nøglen. Er drevet låst op, kan en logisk volumenkopi være vejen frem.
SSD og TRIM. Slettede data på SSD’er fjernes ofte af controlleren, så den ikke-allokerede plads er tom. Det er ikke en grund til at undlade en fysisk kopi, men det ændrer forventningen. Se SSD og TRIM.
Indlejrede medier. Diske loddet på bundkortet kan ikke tages ud og kræver sikring gennem systemet selv.
Telefoner. Fysisk udtræk er sjældent muligt på moderne telefoner. Her taler man om logisk udtræk og fuldt filsystem, se Udtræk fra mobiltelefoner.

Logisk kopi

En logisk kopi vælges, når en fysisk ikke er mulig eller ikke er proportional: krypterede drev, der kun er tilgængelige oplåst, servere, der ikke kan stoppes, netværksdrev og NAS-systemer, eller store lagre, hvor kun ét volumen er relevant. En logisk filkopi skal laves med et værktøj, der bevarer tidsstempler og øvrige metadata og beregner hashværdier for hver fil. Almindelig kopiering i styresystemet ændrer metadata.

Målrettet indsamling

En målrettet indsamling henter det, spørgsmålet kræver: bestemte mapper, en postkasse, en kundedatabase, udvalgte artefakter. Den er nødvendig i cloud, hvor der ingen disk er, og den er ofte rigtig, når private data skal holdes ude, eller når mængden er meget stor. Til gengæld er den mest sårbar over for nye spørgsmål. Triage som særlig form for målrettet indsamling er beskrevet i Triage eller fuld kopi, og cloud i Cloud-forensic.

Servere, NAS og virtuelle maskiner

For systemer i drift ser valget anderledes ud. En virtuel maskine kan ofte sikres fysisk uden nedetid ved et snapshot og en kopi af de virtuelle diske, og det svarer i praksis til en fysisk kopi af gæstens disk. En NAS med flere diske i et RAID kan sikres disk for disk og genopbygges bagefter, men det kræver kendskab til RAID-opsætningen og er ofte uforholdsmæssigt. Her er en logisk kopi af de relevante delte mapper, med bevarede tidsstempler og hashværdier, ofte det rigtige. For fysiske servere, der ikke må stoppes, kan en sektorkopi tages fra det kørende system med et værktøj, der læser blokenheden direkte, men resultatet er ikke helt konsistent, og det skal fremgå.

Grundlag og proportionalitet

Den bredeste sikring er ikke altid den rigtige. En fysisk kopi af en computer, der også bruges privat, rummer private data, som ikke vedkommer sagen. Det kan tale for en smallere metode, eller for en fysisk sikring, hvor analysen afgrænses, og hvor afgrænsningen dokumenteres. Grundlaget for adgangen afgør også metoden. Samtykke til at sikre bestemte mapper er ikke samtykke til en fuld kopi. Metode og grundlag skal passe sammen, og begge skal fremgå af dokumentationen.

Beslutningstræ

Spørgsmålene kan stilles i denne rækkefølge:

Er sletning, skjulning eller manipulation en del af spørgsmålet? Ja: fysisk kopi, hvis muligt. Nej: gå videre.
Skal enheden returneres, geninstalleres eller slettes, eller kan den ændre sig før en eventuel ny sikring? Ja: fysisk eller så bred en sikring som muligt. Nej: gå videre.
Er mediet tilgængeligt og kan tages ud af drift? Nej: logisk volumenkopi eller logisk filkopi af det relevante, eventuelt via snapshot.
Er mediet krypteret? Er nøglen tilgængelig ad lovlig vej, fx gendannelsesnøgle eller administratoradgang: fysisk kopi plus nøgle. Er drevet kun tilgængeligt oplåst: logisk volumenkopi, mens det er oplåst.
Er data kun tilgængelige som tjeneste? Ja: målrettet indsamling via eksport eller API.
Er mængden eller indholdet af private data uforholdsmæssigt i forhold til spørgsmålet? Ja: overvej fysisk sikring med smal analyse, eller målrettet indsamling med dokumenteret afgrænsning.

Svarene skal noteres, fordi de er begrundelsen for metoden.

Kombinationer

Metoderne udelukker ikke hinanden. En typisk kombination er en logisk volumenkopi af et oplåst krypteret drev, efterfulgt af en fysisk kopi efter slukning, så både det dekrypterede indhold og den fulde disk er bevaret. En anden er målrettet indsamling af cloudkonti sammen med fysisk kopi af den bærbare computer, der har været logget ind på dem.

Typiske fejl

“Logisk” uden præcisering i rapporten, så læseren ikke ved, om slettede data var med.
Filkopi med almindelige værktøjer, der ændrer tidsstempler.
Målrettet indsamling uden dokumenteret udvælgelse, så omfanget ikke kan efterprøves.
Fysisk kopi af et krypteret drev uden nøgle, der viser sig ubrugelig.
Skjulte områder overset. Diske kan have områder, som styresystemet ikke viser, fx HPA og DCO. En fysisk kopi bør tage højde for dem, og det skal fremgå, om de er kontrolleret.
Metoden valgt efter værktøjet, ikke efter spørgsmålet, fordi det værktøj, der var ved hånden, kun kunne én ting.

Hvad metoden kan og ikke kan bevise

Metoden afgør, hvad der overhovedet kan undersøges. En fysisk kopi kan understøtte konklusioner om sletning. En logisk filkopi kan ikke. En målrettet indsamling kan kun understøtte konklusioner om det indsamlede, og fravær i indsamlingen siger intet om fravær på enheden.

I rapporten

Angiv metode, niveau og præcis afgrænsning, værktøj og version, begrundelsen med henvisning til beslutningsspørgsmålene og hashværdier for resultatet. Hvordan en fysisk kopi laves trin for trin, står i Forensisk image trin for trin.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Triage eller fuld kopi: hvornår er et hurtigt overblik nok? · Forensisk image trin for trin: fra kilde til verificeret kopi

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik