Hvad er digital forensics (IT-forensik)? Faget forklaret

Digital forensics, på dansk ofte kaldt IT-forensik, er faget om at finde, sikre, analysere og forklare digitale spor, så en anden fagperson kan efterprøve resultatet. Sporene kan ligge på en computer, en telefon, en server, i en cloudkonto eller i logs fra netværk og applikationer. Det, der adskiller faget fra almindelig fejlfinding, er ikke værktøjerne, men kravet om, at hvert skridt kan dokumenteres og gentages, og at konklusionen holder sig til det, sporene faktisk viser.

I civile sager og interne undersøgelser bruges faget til at afklare spørgsmål som: Blev der kopieret data, før en medarbejder fratrådte? Er en mail eller et dokument ægte? Hvem loggede ind på en konto, og hvad blev der gjort? Hvad gik galt i et IT-projekt, og hvornår? Svaret er sjældent et ja eller nej. Det er en beskrivelse af, hvad sporene understøtter, med hvilken sikkerhed, og hvilke andre forklaringer der er overvejet.

Faserne

Arbejdet følger en fast rækkefølge, som går igen i de internationale standarder. Hver fase har sit eget formål og sine egne fejlkilder.

• Identifikation · Hvad der sker: Kortlægning af, hvor relevante data findes · Typisk begrænsning: Kilder overses, især i cloud og hos leverandører · Læs mere: Identifikation af datakilder
• Sikring · Hvad der sker: Kopi af data uden at ændre kilden, verificeret med hash · Typisk begrænsning: Kan ikke gøres om, hvis den går galt · Læs mere: Sikring: metoderne samlet
• Bevaring · Hvad der sker: Kæde af ansvar, opbevaring og adgangskontrol · Typisk begrænsning: Huller i loggen svækker beviset · Læs mere: Chain of custody-loggen
• Analyse · Hvad der sker: Fund, tidslinjer og korrelation på en arbejdskopi · Typisk begrænsning: Fortolkning kræver kendskab til artefaktets logik · Læs mere: Analyse og fortolkning
• Rapportering · Hvad der sker: Metode, fund, forbehold og konklusion · Typisk begrænsning: Overfortolkning og uklart sprog · Læs mere: Rapportskrivning

Faserne er beskrevet i blandt andet ISO/IEC 27037, 27041, 27042 og 27043 og i NIST SP 800-86. Hvad standarderne kræver, og hvordan de bruges i praksis, står på Kvalitet, dokumentation og standarder.

Begreber, der går igen

• Artefakt: et spor, som et system skriver som bivirkning af brug. Alle artefakter på sitet står i Artefakter fra A til Å.
• Hashværdi: et digitalt fingeraftryk, der viser, at en kopi er identisk med kilden. Se Hashalgoritmer.
• Forensically sound: en metode, der ændrer kilden mindst muligt og dokumenterer det, den ændrer. Se Forensically sound.
• Arbejdskopi: den kopi, analysen sker på, så masterkopien forbliver urørt. Se Arbejdskopier og masterkopi.
• Forensic og incident response: to discipliner med forskelligt formål, som ofte arbejder i samme hændelse. Se Forensic eller incident response?.

Fagudtryk i øvrigt er forklaret i Ordbogen.

Typiske misforståelser

• “Vi kan bare kigge selv.” At åbne filer, logge ind eller køre et program på den enhed, der skal undersøges, ændrer de spor, der skulle bevises. Se Kontaminering.
• “Slettet er væk.” Ofte kan slettede data findes igen, men på SSD’er, telefoner og i cloud er mulighederne mere begrænsede end mange tror. Se SSD, TRIM og gendannelse.
• “Værktøjet siger det.” Et værktøj viser data, men fortolkningen er analytikerens ansvar, og værktøjer kan tage fejl. Se Verifikation af forensiske værktøjer.
• “Intet fundet betyder, at intet skete.” Fravær af spor kan skyldes indstillinger, rotation eller sletning. Se Fravær af spor.
• “Kontoen gjorde det, altså gjorde personen det.” Fra konto til person kræver flere uafhængige spor. Se Hvem sad ved tastaturet?.

Hvor man starter

Den, der er ny i faget, får mest ud af at læse i samme rækkefølge som faserne: først hvordan data sikres, derefter hvordan de analyseres, og til sidst hvordan resultatet formidles. Kom i gang med digital forensics giver en læserækkefølge og peger på fagmiljøer. Står I med en konkret sag, er Fra artefakt til konklusion den artikel, der bedst viser, hvordan et spor bliver til en holdbar konklusion. Platformene har hver sin samleside: Windows, macOS og Linux, iPhone, Android, Microsoft 365, Google Workspace, cloud og SaaS, netværk og logs og mail.

Windows

• Windows-artefakter: LNK, jump lists, shellbags og USB-spor Windows registrerer åbnede filer, viste mapper og tilsluttede USB-enheder. Her er de vigtigste artefakter, hvad de kan vise, og hvordan de tolkes korrekt.
• Windows-hændelseslogs: de vigtigste kanaler og event-id’er De Windows-hændelseslogs og event-id’er, der betyder noget i en undersøgelse: hvad de viser og ikke viser, og hvorfor overskrivning er det store problem.

macOS, Linux og servere

• macOS-artefakter i undersøgelser En Mac efterlader andre spor end Windows. Her er de vigtigste macOS-artefakter: FSEvents, Spotlight, unified logs, KnowledgeC, quarantine og USB-spor.
• Virtuelle maskiner og servere: forensisk sikring uden nedetid Servere kan sjældent slukkes for at blive kopieret. Her er metoderne til forensisk sikring af virtuelle maskiner og servere i drift med snapshots og hash.

Mobil

• Udtræk fra mobiltelefoner: logisk, filsystem og fysisk Logisk, fuldt filsystem eller fysisk udtræk giver vidt forskellige data. Sådan virker typerne på moderne iPhone og Android, og hvad det betyder for sagen.
• iOS-backup: krypteret, ukrypteret og hvad den indeholder En iPhone-backup er det mest udbredte logiske udtræk. Forskellen på krypteret og ukrypteret backup, Manifest.db, iCloud-backup og korrekt dokumentation.

Microsoft 365 og Entra ID

• Microsoft Purview eDiscovery: hold, søgning og eksport Purview eDiscovery bevarer, søger og eksporterer data fra Microsoft 365. Sådan virker hold, søgning og eksport teknisk, og sådan dokumenteres resultatet.
• Unified Audit Log i Microsoft 365 som bevis Revisionsloggen i Microsoft 365 viser, hvem der har åbnet, hentet, delt eller slettet filer og mails. Indhold, opbevaring, sikring og tolkning af UAL.

Google og samarbejde

• Google Vault og revisionslogs i Google Workspace som bevis Google Vault fastholder og eksporterer mail, Drive og chat, mens revisionslogs viser handlingerne. Sådan sikres og verificeres begge dele i en civil sag.
• Google Takeout eller Vault-eksport: forskelle i indhold og metadata Google Takeout og Vault-eksport giver forskellige formater og metadata. Sådan adskiller MBOX, JSON og metadatafiler sig, og det mangler i hver eksport.

Cloud og SaaS

• Cloud-forensic: sikring via API og administratoreksport Cloud-data kan ikke kopieres som en harddisk. Sådan sikres data fra Microsoft 365, Google og SaaS via API og eksport, og sådan dokumenteres integriteten.
• AWS CloudTrail i undersøgelser: sikring og fortolkning AWS CloudTrail registrerer API-kald i en AWS-konto. Forskellen på management og data events, sikring til uforanderligt lager og fortolkning af identiteter.

Netværk og logs

• Logfiler og logrotation: sikring før data forsvinder Logs på servere, firewalls og i SaaS-tjenester roteres og slettes automatisk. Her er, hvordan rotation virker, hvor logs ligger, og hvordan de sikres.
• IP-adresser som bevis: NAT, CGNAT, VPN og geolokationens fejl En IP-adresse peger sjældent på én person. NAT, CGNAT, VPN, IPv6 og geolokationsdatabaser forklaret teknisk, med fejlkilder og hvad en IP kan vise.

E-mail

• Analyse af mail-headere, SPF, DKIM og DMARC Received-kæden, Authentication-Results, DKIM-signaturen og ARC kan vise, om en mail kommer fra det påståede domæne. Her er den tekniske gennemgang.
• PST og OST: struktur, slettede emner og korruption PST- og OST-filer er databaser med B-træer og ledig plads, hvor slettede mails kan overleve. Sådan sikres, analyseres og hashes de uden at ændre filen.

Dokumenter og metadata

• Dokumentforfalskning: tekniske tegn i Office- og PDF-filer Metadata, rsid i Word, fonte, XMP og inkrementelle opdateringer i PDF kan afsløre et ændret eller tilbagedateret dokument. Her er tegnene og deres styrke.
• Hvornår er billedet taget? EXIF, XMP og IPTC forklaret Hvornår er billedet taget? EXIF-tider uden tidszone, kameraets ur, GPS-tid, XMP-historik og IPTC. Felterne, fejlkilderne og hvordan de læses korrekt.

Apps, browsere og databaser

• Browserhistorik som bevis: Chrome, Edge, Safari og Firefox Browserens SQLite-databaser viser besøg, søgninger og downloads med tidsstempler. Her er placering, tidsformater, synkronisering og korrekt sikring.
• SQLite i forensic: WAL-filer, frie sider og slettede rækker Beskeder, browserhistorik og appdata ligger i SQLite. Sådan virker WAL, frie sider og slettede rækker, og sådan undgår du at ødelægge spor ved sikringen.

Sikring og kæde af ansvar

• Forensiske diskformater: raw, E01 og AFF4 Raw, E01 eller AFF4? Formatet ændrer ikke beviset, men det afgør, hvor let integriteten dokumenteres. Opbygning, metadata, hash og valg i praksis.
• Skrivebeskyttere (write blockers): hvordan og hvorfor En skrivebeskytter lader disken læse, men ikke ændre under sikringen. Sådan virker hardware og software, hvor grænserne går, og hvordan brugen valideres.

Hash, tid og tidslinjer

• Hashalgoritmer i forensic: MD5, SHA-1 og SHA-256 MD5 og SHA-1 har kendte kollisioner, men en forensisk kopi kan ikke derfor forfalskes. Forskellen på kollision og second preimage, og hvad der bør bruges.
• Tidslinjeanalyse: metode, kilder og faldgruber En tidslinje samler tidsstempler fra filsystem, logs, cloud og telefoner i én rækkefølge. Sådan bygges den, og her opstår fejlene typisk i fortolkningen.

Gendannelse og kryptering

• SSD, TRIM og gendannelse af slettede filer Slettede filer kan ofte gendannes fra en harddisk, men sjældent fra en SSD. Sådan virker TRIM og garbage collection, og disse spor findes stadig.
• BitLocker og FileVault i bevissikring: nøgler og lovlig adgang En krypteret disk kan kun undersøges med den rigtige nøgle. Sådan virker BitLocker og FileVault, hvor gendannelsesnøglerne ligger, og hvad det betyder.

Analyse og fortolkning

• Anti-forensics: spor efter sletning og manipulation Sletteværktøjer, ændrede tidsstempler og ryddede logs efterlader ofte egne spor. Her er, hvad der kan påvises på Windows, og hvordan fundene bør tolkes.
• Fejlkilder i digital forensics: oversigt De typiske fejl i forensiske undersøgelser: tid, værktøjer, fortolkning, omfang, kontaminering og bias. Hvordan de opstår, opdages og forebygges.

eDiscovery

• Deduplikering: global, pr. person og near-duplicates Deduplikering fjerner identiske dokumenter, men hvad er identisk? Hashgrundlag for mails og filer, global eller pr. person, near-duplicates og risici.
• Søgetermer teknisk: syntaks, wildcards, nærhed og danske bøjningsformer Søgetermer virker kun, hvis syntaksen passer til søgemotoren. Boolske operatorer, wildcards, nærhed, sammensatte ord, bøjninger og æ, ø og å på dansk.

Persondata og etik

• Dataminimering i forensic: filtrér før, under eller efter sikring? Dataminimering i en forensisk undersøgelse: hvornår der skal filtreres, hvad fuldstændighed koster, og hvordan filtre og adgang dokumenteres teknisk.
• Private data på arbejdsenheden: teknisk adskillelse under analysen Sådan adskilles private data teknisk i en forensisk analyse af en arbejdsenhed: filtre, profiler, logning og dokumentation af det, der ikke blev set.

Standarder og kvalitet

• Værktøjer i digital forensic: kategorier, krav og valg Forensiske værktøjer findes til sikring, analyse, mobil, cloud og rapport. Her er kategorierne, kravene til dokumentation, og hvordan valget begrundes.
• ISO/IEC 27037 og NIST SP 800-86 forklaret ISO/IEC 27037 og NIST SP 800-86 nævnes oftest som grundlag for digital bevissikring. Her er, hvad de dækker, hvordan de adskiller sig, og brugen i praksis.

Rapport og retten

• Rapportskrivning i digital forensic: struktur, sprog og efterprøvelighed En forensisk rapport skal kunne efterprøves og holde fakta og vurdering adskilt. Her er en struktur, en sikkerhedsskala og formuleringer, der holder.
• Arbejdsnoter under undersøgelsen: hvad, hvornår og hvordan Løbende arbejdsnoter er grundlaget for rapporten og forklaringen i retten. Her er, hvad der skal noteres, hvornår, i hvilket format og med hvilket sprog.

Scenarier: fratræden og data

• Data taget ved fratræden: den tekniske undersøgelsesplan En teknisk plan for at undersøge, om data er taget ved fratræden: tidsramme, kilder i rigtig rækkefølge og spor på computer, i cloud, CRM, print og mobil.
• Upload til privat cloud: browser-, proxy- og firewallspor Upload til privat cloud efterlader spor i browser, filvalgsdialoger, SRUM, proxy, firewall og DNS. Sådan kombineres de, og her går fortolkningen ofte galt.

Scenarier: hacking og svindel

• Sessioner og tokens: når adgangen fortsætter efter skift af adgangskode Et skift af adgangskode lukker ikke altid adgangen. Tokens, app-adgange og enheder kan leve videre. Her er, hvad loginlogs viser, og hvordan de sikres.
• BEC-undersøgelse i Microsoft 365 trin for trin Kompromitteret mailkonto i Microsoft 365? Trin for trin gennem loginlogs, regler, app-samtykker, læste og sendte mails, før oprydningen sletter sporene.

Incident response, ransomware og databrud

• Forensic eller incident response? Forskellen og samspillet Incident response skal få driften tilbage; forensic skal dokumentere, hvad der skete, så det holder i en tvist. Her er forskellen, og hvor de to mødes.
• Log over indgreb under incident response En indgrebslog skiller forsvarernes handlinger fra angriberens spor. Sådan føres den under incident response, med felter, tidskilder og typiske huller.

Scenarier: tvister og IT-projekter

• Kildekode og Git som bevis Git gemmer forfatter, tidspunkter og historik, men felterne kan sættes frit. Her er author og committer, signerede commits, reflog og force push forklaret.
• Ticket-systemer: ændringshistorik i Jira, ServiceNow og lignende Felthistorik, statusændringer og auditlog i Jira, ServiceNow og lignende. Sådan udtrækkes ændringshistorikken fuldstændigt og med integritet til en sag.

Stalkerware og deepfakes

• AI-genereret indhold: tekniske metoder til vurdering Kan man teknisk afgøre, om et billede, en lydfil eller en tekst er lavet med AI? Metoderne, deres styrker og grænser, og en ærlig formulering i rapporten.
• Stalkerware og fjernadgang: tekniske spor på telefon, computer og konti Overvågning af en partner sker oftere via delte konti og fjernadgang end via spyware. Her er sporene på iPhone, Android, Windows og Mac, og sikringen.

Værktøjer og skabeloner

• Tjekliste: forensisk sikring af en computer Tjekliste til IT og MSP’er: tændt eller slukket, RAM, kryptering og nøgler, skrivebeskyttelse, hash og dokumentation ved forensisk sikring af en computer.
• Tjekliste: logs at sikre i Microsoft 365 ved en hændelse Teknisk tjekliste til IT og MSP’er: auditlog, Entra ID-logins, postkasser, regler, message trace, apps og enheder i Microsoft 365, og eksportvejen.

Brug for en uvildig forensic-undersøgelse?

• Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
• Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
• Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
• Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.