Memory forensics: hvad en RAM‑kopi kan vise

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

En kopi af arbejdshukommelsen viser, hvad en computer var i gang med på sikringstidspunktet: hvilke processer der kørte, med hvilke kommandolinjer, hvilke netværksforbindelser der var åbne, hvilke filer og registreringsnøgler der var i brug, og om der var kode i hukommelsen, som ikke findes på disken. Det er især værdifuldt ved hændelser med fjernadgang og skadelig kode. Men RAM-kopien er et øjebliksbillede, og analysen er afhængig af værktøjets forståelse af præcis den version af styresystemet, så fundene skal fortolkes og dokumenteres med omhu.

Haster det? Hukommelsen forsvinder ved næste genstart, nedlukning eller opdatering, og kørende processer og forbindelser ændrer sig hvert minut. Se akut forensisk sikring; hastesager koster ekstra.

Hvornår og hvordan hukommelsen sikres, er beskrevet i hukommelsessikring (RAM). Denne artikel handler om det næste skridt: analysen og fortolkningen.

Hvordan analysen virker

En RAM-kopi er en stor binær fil uden filsystem. Analyseværktøjer finder styresystemets interne datastrukturer i kopien, fx listen over processer, tabellen over åbne håndtag og netværksstakkens forbindelser, og læser dem på samme måde, som styresystemet selv gør. Det kræver, at værktøjet kender strukturernes opbygning for den konkrete version og opdatering af styresystemet. Til Windows hentes den viden typisk fra Microsofts symbolfiler; til Linux og macOS skal der ofte bygges en symboltabel for den præcise kerne.

Der findes to grundlæggende tilgange:

Gennemløb af lister. Værktøjet følger styresystemets egne kædede lister, fx over aktive processer. Det giver det samme billede som styresystemet.
Scanning efter mønstre. Værktøjet søger hele kopien igennem efter strukturer, der ligner en proces eller en forbindelse. Det kan finde afsluttede eller skjulte objekter, der ikke længere er i listerne.

Forskellen mellem de to resultater er i sig selv et fund. En proces, der findes ved scanning, men ikke i listen, kan være afsluttet, eller den kan være skjult bevidst.

Hvad der typisk kan findes

Processer · Navn, procesid, forælderproces, starttid, kommandolinje, bruger
Moduler · Indlæste DLL’er og deres sti, også moduler indlæst fra usædvanlige steder
Håndtag · Åbne filer, registreringsnøgler, mutexer og navngivne objekter
Netværk · Lyttende porte, aktive og nyligt lukkede forbindelser, med proces
Tjenester og drivere · Indlæste drivere og registrerede tjenester
Hukommelsesområder · Områder med usædvanlige rettigheder, der kan indeholde indsprøjtet kode
Indhold · Tekstfragmenter, kommandoer, URL’er, dele af dokumenter og beskeder

Kommandolinjer og forælderprocesser

Kommandolinjen viser, hvordan et program blev startet, og forælderprocessen viser, hvad der startede det. Et PowerShell-vindue med en kodet kommandolinje, startet af et Office-program, er et klassisk mønster ved angreb. Kombinationen kan ofte ikke ses på disken, hvis kommandoen ikke er logget.

Netværksforbindelser

RAM-kopien kan vise forbindelser til eksterne adresser og hvilken proces der ejede dem. Det kan koble en fjernadgang til et bestemt program. Fortolkningen kræver forsigtighed: en forbindelse til en cloudtjeneste er ikke i sig selv mistænkelig, og lukkede forbindelser kan ligge i hukommelsen et stykke tid uden præcis tidsangivelse.

Kode, der kun findes i hukommelsen

Noget skadelig kode skrives aldrig til disken, men indlæses direkte i en eksisterende proces. Analysen kan finde hukommelsesområder, der er både skrivbare og eksekverbare, og som ikke svarer til en fil på disken. Det er en indikation, ikke et bevis; legitime programmer som browsere og visse sikkerhedsprodukter gør det samme.

En fornuftig rækkefølge i analysen

Analysen bør styres af sagens spørgsmål, ikke af værktøjets liste over moduler. En typisk rækkefølge er:

Kontrollér kopien. Bekræft hashværdien, og afprøv, at værktøjet kan identificere styresystemet og læse de grundlæggende strukturer.
Overblik over processer. Sammenhold listen med scanningen, og se på forælderprocesser, stier og kommandolinjer.
Netværk. Knyt forbindelser til processer, og notér eksterne adresser til senere opslag i firewall- og proxylogs.
Persistens og moduler. Se efter tjenester, drivere og moduler, der ikke hører til en kendt installation.
Målrettet indhold. Søg først efter konkrete indikatorer fra sagen, fx filnavne, domæner eller kontonavne, før bredere tekstsøgning.
Krydstjek. Bekræft fundene i diskkopien, logs og EDR-data, og indsæt dem i den samlede tidslinje.

Den sidste fase er afgørende. Et fund fra hukommelsen står stærkest, når det passer ind i en tidslinje bygget af flere uafhængige kilder; se tidslinjeanalyse.

Hvad en RAM-kopi ikke kan

Den viser ikke historik. Den viser tilstanden i det øjeblik, kopien blev taget, plus rester af det, der lige var. Hvad der skete i går, findes kun, hvis det tilfældigvis ligger i hukommelsen.
Den har få tidsstempler. Processer har en starttid, men de fleste fund har ingen tid. Tidsfæstelse kræver andre kilder.
Den er ufuldstændig. Dele af hukommelsen kan være skrevet til sidefilen eller dvalefilen og findes ikke i kopien.
Den er ikke helt konsistent. Hukommelsen ændrer sig, mens den kopieres. På en travl maskine kan strukturer være halvt opdaterede, så en liste peger på et objekt, der er overskrevet. Det kaldes ofte “smear” og kan give fejlagtige eller manglende fund.

Fejlkilder i fortolkningen

Forkert symbolgrundlag. Bruger værktøjet strukturer for en anden version end den sikrede, kan resultaterne være forkerte eller tomme uden tydelig fejlmeddelelse.
Sikringsværktøjets egne spor. Sikringsprogrammet kører selv som en proces og optræder i kopien. Det skal kunne identificeres.
Sikkerhedsprodukter. EDR og antivirus indsprøjter ofte kode i andre processer, hvilket ligner skadelig adfærd.
Virtualiseringsbaseret sikkerhed. Med virtualiseringsbaseret sikkerhed kører bl.a. Credential Guard i et isoleret miljø (processen LSAIso), som selv en administrator i styresystemet ikke kan læse. Hemmeligheder som NTLM-hashes og Kerberos-billetter vil derfor ikke kunne udtrækkes fra en almindelig kopi. På Windows 11 22H2 og nyere er Credential Guard som standard slået til på domænetilsluttede Enterprise- og Education-maskiner, der opfylder kravene.
Tekstsøgning uden kontekst. En URL eller et filnavn fundet ved søgning i kopien siger ikke, hvilken proces der havde det, eller hvornår.

Fund fra hukommelsen bør derfor bekræftes i andre kilder: hændelseslogs, EDR-telemetri, filsystemet og netværkslogs. Hvordan EDR-data spiller sammen med hukommelsen, er beskrevet i EDR-telemetri som bevis.

Hukommelse på disken

Sidefilen (pagefile.sys), swapfilen og dvalefilen (hiberfil.sys) indeholder dele af hukommelsen, der er skrevet til disken. Dvalefilen kan i nogle tilfælde give en næsten fuld hukommelseskopi fra det tidspunkt, maskinen gik i dvale. Sidefilen indeholder fragmenter uden struktur og analyseres typisk med tekstsøgning og carving. De filer findes på diskkopien, så de kan undersøges, selv om RAM ikke blev sikret. Hvad de tre filer kan rumme, er beskrevet i Hiberfil, pagefile og swap.

Om nøgler og adgangsdata

En RAM-kopi kan indeholde krypteringsnøgler og adgangsdata. Det er en del af grunden til, at hukommelsen sikres ved krypterede diske. Brugen af sådanne data kræver et lovligt grundlag og et klart mandat og omtales ikke nærmere her. De lovlige adgangsveje er beskrevet i krypterede data i en undersøgelse.

Dokumentation

Rapporten bør angive sikringsværktøj og version, tidspunkt for start og afslutning af sikringen, hashværdi af kopien, styresystemets præcise version og opdateringsniveau, analyseværktøj, version og symbolgrundlag samt de konkrete analysemoduler, der er kørt. Hvert fund bør beskrives med, hvordan det er fundet, om det er bekræftet i andre kilder, og hvilke alternative forklaringer der er overvejet. Værktøjer til hukommelsesanalyse bør være afprøvet på kendte data, se verifikation af forensiske værktøjer.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Hvem slettede filen? Spor på fil-, server- og cloudniveau · Journal entry testing i forensisk kvalitet · Teknisk ordbog

→ Digital forensics-undersøgelse · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik