Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen
En almindelig kopiering af filer fra et netværksdrev, fx med træk-og-slip i Stifinder, bevarer typisk filernes ændringstid, men giver dem en ny oprettelsestid på destinationen og kan miste rettigheder, ejeroplysninger og alternative datastrømme. Samtidig kan selve læsningen påvirke kilden, fx tidspunktet for seneste adgang og filserverens egne logs. Vil du bevare metadata, skal du enten kopiere med et værktøj og nogle indstillinger, der bevarer dem, sikre fra et snapshot på serveren, eller lægge filerne i en forensisk beholder, der gemmer de oprindelige metadata ved siden af indholdet. Under alle omstændigheder skal metoden og dens kendte ændringer dokumenteres.
Hvad almindelig kopiering ændrer
- Ændret · Bevares som regel
- Oprettet · Sættes til kopieringstidspunktet på destinationen
- Seneste adgang · Kan opdateres på kilden og sættes på destinationen
- MFT-post ændret · Ny værdi på destinationen; kan ikke overføres
- Rettigheder og ejer · Arves ofte fra destinationsmappen
- Alternative datastrømme · Kan gå tabt, særligt til andre filsystemer
- Stier · Kan afkortes eller fejle ved lange stier
Adfærden afhænger af styresystem, version, kopieringsværktøj og filsystemerne i begge ender. Kopiering til et FAT- eller exFAT-formateret medie ændrer desuden tidsstemplernes opløsning og tidszone. En mere generel gennemgang af tidsstempler ved kopiering, zip, upload og mail findes i Hvad sker der med tidsstemplerne ved kopiering?.
Påvirkning af kilden
Selve læsningen kan efterlade spor på filserveren:
- Seneste adgang: Om tidsstemplet for seneste adgang opdateres ved læsning, afhænger af serverens NTFS-indstilling. På nyere Windows-versioner kan opdateringen være slået til, slået fra eller styret af systemet, og selv når den er slået til, kan NTFS udskyde skrivningen til disken i op til en time. Aflæs indstillingen med
fsutil behavior query disablelastaccess, og notér resultatet. - Auditlogs: Er objektadgangsrevision slået til, registrerer serveren hver læsning; se Filserverrevision: hvem åbnede filen?. Din kopiering bliver til hændelser i den samme log, som måske skal bruges til at vise, hvem der åbnede filerne før. Notér konto og tidsrum, så dine egne hændelser kan filtreres fra.
- Antivirus og indeksering: Kan reagere på massiv læsning og skrive egne logs.
- Synkroniseringstjenester: Er mappen synkroniseret med cloud, kan læsning af pladsholdere udløse downloads.
Brug en dedikeret konto til indsamlingen, så alle dine hændelser kan genkendes. Skal filserverens logs bruges i sagen, så sikr dem, før du kopierer filerne. Hvad logs på filserveren typisk kan og ikke kan vise for virksomheden, er beskrevet på Filserveren på kontoret: hvem åbnede mappen?.
Fire metoder, fra bedst til svagest
- Snapshot eller image på serveren. Har du administrativ adgang til serveren, er en kopi af hele volumen eller et snapshot, fx en Volume Shadow Copy eller et snapshot på en NAS eller i hypervisoren, den mest fuldstændige løsning. Filerne læses ikke enkeltvis over netværket, og alle metadata følger med. Snapshottet skal kopieres ud og hashes. → Virtuelle maskiner og servere
- Forensisk logisk beholder. Et forensisk indsamlingsværktøj læser filerne over netværket og lægger dem i en logisk beholder, hvor de oprindelige tidsstempler, stier og eventuelt rettigheder gemmes som metadata, sammen med en hashværdi pr. fil. Filerne på destinationen har så ingen tidsstempler, der kan forveksles med originalens.
- Kopieringsværktøj med bevarelse. Kommandolinjeværktøjer som Robocopy kan bevare data, attributter og tidsstempler for filer og mapper, og eventuelt rettigheder og ejer, når de rigtige parametre bruges og kontoen har de nødvendige rettigheder. Kontrollér resultatet bagefter, og gem kommandoen og værktøjets log. MFT-tidsstemplet kan ikke bevares.
- Almindelig kopiering med manifest. Er der kun mulighed for almindelig kopiering, så lav først et manifest over kildens filer med sti, størrelse, alle tilgængelige tidsstempler og hashværdi. Manifestet bliver så den autoritative registrering af metadata, mens kopien bærer indholdet.
Valget af metode afhænger af adgang, tid og datamængde. Uanset metoden er et manifest med hashværdi pr. fil grundlaget for den senere kontrol. → Hashmanifest for filsamlinger og produktioner
Kontrol efter kopieringen
En kopiering er ikke færdig, før den er kontrolleret:
- Antal og størrelse: Svarer antal filer og samlet størrelse til kilden? Forskelle skal forklares, fx låste filer eller adgang nægtet.
- Hashværdier: Beregn hashværdien af hver fil på destinationen, og sammenlign med kildens.
- Stikprøver af metadata: Sammenlign tidsstempler for en række filer på kilde og destination, og notér eventuelle afvigelser og deres mønster.
- Fejllog: Gennemgå værktøjets log for overspringelser, fejl og forsøg.
Særlige forhold ved filshares
- DFS og omdirigerede mapper: Den sti, brugeren ser, kan pege på flere fysiske servere. Notér både den logiske sti og det fysiske mål.
- Rettigheder: Indsamlingskontoen ser kun det, den har adgang til. Mapper med begrænsede rettigheder kan mangle, uden at det fremgår tydeligt. Sammenlign med en rettighedsoversigt.
- Tidligere versioner: Filserveren kan have skyggekopier eller snapshots med ældre versioner og slettede filer. De er ofte mere værd end den aktuelle mappe og bør overvejes særskilt.
- Papirkurv på NAS: Mange NAS-enheder har en papirkurv pr. share, som ikke ses fra klienten. → NAS-enheder som datakilde
Når skaden allerede er sket
I mange sager har IT eller en medarbejder allerede kopieret mappen med almindelige midler, før nogen tænkte på metadata. Kopien er ikke værdiløs, men dens begrænsninger skal kendes:
- Indholdet kan stadig bruges, hvis det kan vises, at filerne svarer til kilden. Er kilden der endnu, kan en ny, korrekt indsamling og en sammenligning af hashværdier bekræfte det.
- Ændringstiden er ofte bevaret og kan bruges med forsigtighed, men oprettelsestid og seneste adgang på kopien siger kun noget om kopieringen.
- Selve kopieringen kan dateres ud fra kopiens oprettelsestider. Det kan være nyttigt for at fastslå, hvornår kopien blev lavet, og om den er lavet før eller efter et bestemt tidspunkt.
Skriv ned, hvem der kopierede, hvornår, med hvilket værktøj og hvorfra, så præcist det kan oplyses. Lav derefter en korrekt indsamling fra kilden, hvis den stadig findes, og behold den gamle kopi som et selvstændigt objekt i bevisloggen.
SharePoint og synkroniserede biblioteker
Mange virksomheder har flyttet filshares til SharePoint eller Teams og tilgår dem via OneDrive-synkronisering, så de ligner et lokalt drev. Kopiering fra den synkroniserede mappe giver de lokale kopier, ikke tjenestens metadata. Oprettet af, ændret af, versionshistorik og delingsoplysninger ligger i tjenesten og skal sikres derfra via eksport eller API. Den lokale mappe kan til gengæld indeholde spor af, hvad brugeren selv har synkroniseret. → SharePoint og OneDrive: versionshistorik og delingslinks
Fejlkilder i fortolkningen
- At læse kopiens oprettelsestid som filens oprettelsestid. Det sker overraskende ofte, når kopien senere åbnes af en, der ikke ved, hvordan den er lavet.
- At tolke en masse ens tidsstempler for seneste adgang som brugeraktivitet, når de i virkeligheden stammer fra en backup, en antivirusscanning eller indsamlingen selv.
- At overse, at en ændringstid kan være bevaret fra en tidligere kopiering, og derfor er ældre end filens placering på serveren.
Hvad kopien kan og ikke kan bevise
En korrekt udført og kontrolleret kopi kan vise, hvilke filer der lå på sharet på et bestemt tidspunkt, deres indhold og de metadata, der kunne bevares. Den kan ikke vise, hvem der har oprettet, åbnet eller ændret filerne. Det kræver serverens logs, klientens artefakter eller andre kilder.
Dokumentation
Notér server, share og sti, tidspunkt, indsamlingskonto, metode og værktøj med version, de præcise indstillinger, kontrolresultatet og de kendte ændringer på kilde og destination.
Kilder og versioner
- Microsoft Learn: fsutil behavior (disablelastaccess)
- Microsoft Learn: File Times
- Microsoft Learn: robocopy
Senest gennemgået: oktober 2026.
Næste skridt
- Sikker sletning af beviskopier, og hvordan sletningen dokumenteres
- Vi har allerede rørt maskinen: hvad der stadig kan reddes
- Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD
Del af: Sikring: metoderne samlet
Læs også: Selvindsamling: når brugeren selv eksporterer data · Store datamængder: forensisk kopi af multi-terabyte-systemer
→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
