Hiberfil, pagefile og swap: hukommelsesrester på disken

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Når RAM ikke blev sikret, er der stadig en chance for at finde dele af hukommelsen på disken. Windows skriver hukommelse til pagefile.sys, swapfile.sys og ved dvale til hiberfil.sys. macOS og Linux har tilsvarende swap. Dvalefilen kan i bedste fald rumme et næsten fuldt billede af hukommelsen fra det tidspunkt, maskinen gik i dvale. Sidefilen rummer fragmenter uden sammenhæng. Begge kan give fund, men de har ingen tidsstempler pr. fragment, og det er den største begrænsning i fortolkningen.

Hvordan RAM sikres på en kørende maskine, er beskrevet i hukommelsessikring, og analysen af en RAM-kopi i memory forensics. Denne artikel handler om de filer, der ligger tilbage på disken.

Sidefilen: pagefile.sys

Sidefilen ligger som udgangspunkt i roden af systemdrevet. Windows flytter sjældent brugte sider fra den fysiske hukommelse hertil for at frigøre plads. Microsoft beskriver sidefilen som en udvidelse af den fysiske hukommelse og som grundlag for nedbrudsdumps. En systemstyret sidefil vokser efter behov.

Indholdet er sider af 4 KB fra mange processer, uden information om, hvilken proces de kom fra, eller hvornår de blev skrevet. Analysen foregår derfor typisk med:

Tekstsøgning efter navne, mailadresser, URL’er, stier og nøgleord.
Carving efter filtyper med genkendelige signaturer, fx billeder eller dokumentfragmenter. Se file carving.
Søgning efter kendte mønstre for netværksadresser og kommandolinjer.

Et fund i sidefilen viser, at data på et tidspunkt har været i hukommelsen på maskinen. Det viser ikke hvornår, i hvilken sammenhæng eller af hvilken bruger.

swapfile.sys

Ud over sidefilen har nyere Windows en mindre fil, swapfile.sys, der bruges til at flytte hele arbejdssæt for visse apps ud af hukommelsen. Den analyseres på samme måde som sidefilen og er ofte lille eller tom.

Dvalefilen: hiberfil.sys

Dvalefilen bruges i to situationer:

Dvale: hele hukommelsens indhold skrives komprimeret til hiberfil.sys, og maskinen slukkes. Ved opstart læses indholdet tilbage.
Hurtig opstart: ved almindelig nedlukning gemmes kun kernens tilstand, ikke brugernes sessioner, så næste opstart går hurtigere.

Microsofts dokumentation for powercfg beskriver, at dvalefilen kan være af typen fuld eller reduceret, og at en reduceret fil kun understøtter hurtig opstart. Det betyder, at en maskine med reduceret dvalefil ikke indeholder brugernes hukommelse fra en dvale, men kun kernens tilstand fra seneste nedlukning.

Når der findes en fuld dvalefil fra en dvale, kan værktøjer til memory forensics i mange tilfælde konvertere den til et format, der kan analyseres som en RAM-kopi: processer, netværksforbindelser og kommandolinjer på dvaletidspunktet. Hvor meget der er tilbage efter, at maskinen er vækket og har kørt igen, afhænger af Windows-versionen og af, hvor længe maskinen har kørt siden, og skal vurderes i det konkrete materiale.

Tidspunktet for dvale og opvågning kan fastlægges fra Windows’ hændelseslog, som beskrevet i opstart, nedlukning, lås og dvale. Det giver dvalefilens indhold et tidsanker, som sidefilen mangler.

Nedbrudsdumps

Ved et systemnedbrud kan Windows skrive et dump af hukommelsen, typisk som MEMORY.DMP i Windows-mappen eller som små dumps i en undermappe. Afhængigt af indstillingen indeholder de kernens hukommelse eller hele hukommelsen. De bliver ofte overset, men kan have samme værdi som en dvalefil, og de har et kendt tidspunkt.

Kryptering og rydning

Flere forhold kan gøre filerne ubrugelige:

Diskkryptering: med BitLocker eller FileVault er filerne krypteret som resten af volumen. En dekrypteret kopi kræver lovlig adgang til nøglen, se BitLocker og FileVault.
Rydning ved nedlukning: Windows har en sikkerhedsindstilling, der rydder sidefilen ved nedlukning. Er den slået til, er sidefilen tom efter en almindelig nedlukning.
Deaktiveret dvale: med powercfg /hibernate off slettes dvalefilen.
Komprimering: dvalefilen er komprimeret og kræver værktøjer, der forstår formatet. En almindelig tekstsøgning finder kun lidt.

Notér disse indstillinger fra registreringsdatabasen og hændelsesloggen, så et tomt resultat kan forklares.

macOS

macOS bruger swapfiler i et systemområde og et dvalebillede, når maskinen går i dyb dvale. På nyere Mac’er er swap krypteret, og på Mac’er med Apple silicon eller T2-chip er hele lagermediet krypteret i hardware. Det gør swap mindre brugbart som selvstændig kilde end på Windows. Fund kræver en logisk kopi fra en kørende eller oplåst maskine.

Linux

Linux bruger en swappartition eller en swapfil, der kan ses med swapon --show på en kørende maskine eller i /etc/fstab på en kopi. Swap er ofte ukrypteret på servere, men kan være krypteret på klienter med fuld diskkryptering. Mange systemer bruger desuden komprimeret swap i hukommelsen, som forsvinder ved nedlukning. Analysen af en ukrypteret swappartition svarer til analysen af en sidefil.

Sikring

Filerne sikres som en del af en fysisk kopi af disken. De er låst, mens Windows kører, så en logisk kopi af den kørende maskine kræver værktøjer, der læser direkte fra volumen. Hvis maskinen er i dvale, må den ikke startes normalt, før disken er kopieret, fordi opstarten læser og ændrer dvalefilen. Overvejelserne om at slukke eller lade køre er beskrevet i sluk eller lad køre.

Fortolkning

Den største faldgrube er at tillægge et fund i sidefilen en betydning, det ikke kan bære. Et fragment med en URL eller et filnavn kan stamme fra en forhåndsvisning, en søgning, et indeks eller et program, der indlæste data uden brugerens handling. Rapporter derfor fund i sidefilen som “har været i hukommelsen på et ukendt tidspunkt”, og brug dem som spor, der skal bekræftes i andre kilder, fx browserhistorik, filsystemet eller hændelseslogs. Fund i en dvalefil kan dateres til dvaletidspunktet, hvis det er fastlagt, men stadig kun til de processer, der var aktive. Fravær af et fund siger endnu mindre: sidefilen indeholder kun det, Windows tilfældigvis skrev ud, og det meste af hukommelsen har aldrig været der.

Bærbare computere og moderne standby

Mange bærbare computere bruger moderne standby, hvor maskinen tilsyneladende sover, men reelt kører videre med lavt strømforbrug. Efter en periode eller ved lavt batteri kan Windows skifte til dvale og skrive hukommelsen til dvalefilen. En bærbar, der har ligget i en taske i flere dage, kan derfor have en nyere dvalefil, end brugeren tror. Kontrollér strømindstillingerne og hændelsesloggen for overgange mellem standby og dvale, før det konkluderes, om dvalefilen kan indeholde noget relevant.

Dokumentation

Notér for hver fil: sti, størrelse, ændringstidspunkt i filsystemet, hashværdi og om filen var komprimeret eller krypteret. Angiv indstillingerne for dvale, hurtig opstart, rydning af sidefilen og nedbrudsdumps, som de var på kopieringstidspunktet. For hvert fund angives filens forskydning, konteksten omkring fundet og hvilke andre kilder der bekræfter eller ikke bekræfter det. Det gør det muligt for en anden sagkyndig at finde præcis det samme fragment i kopien og vurdere det selv, hvilket er særligt vigtigt for fund uden tidsstempel.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Windows audit policy: de indstillinger en undersøgelse har brug for · Sysmon som forensisk datakilde

→ Forensisk undersøgelse af en computer · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik