Målrettet indsamling af filer, mapper og postkasser

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Målrettet indsamling (targeted collection) betyder, at du kun sikrer de filer, mapper, postkasser og artefakter, der er relevante for sagens spørgsmål, i stedet for et fuldt image af hele lagermediet. Metoden er forsvarlig, når udvælgelsen er beskrevet på forhånd, metadata bevares under kopieringen, og hver fil kan kontrolleres mod et hashmanifest. Den er ikke forsvarlig, når den reelt er en almindelig kopiering med et forensisk navn.

Valget mellem fuld kopi, logisk kopi og målrettet indsamling er beskrevet i Fysisk, logisk eller målrettet sikring. Denne artikel handler om, hvordan den målrettede indsamling udføres og dokumenteres, når valget er truffet.

Hvornår målrettet indsamling giver mening

Målrettet indsamling bruges typisk, når:

datakilden er for stor til et fuldt image inden for den tid, der er til rådighed, fx en filserver eller et SharePoint-site med flere terabyte,
kilden er et delt system, hvor et fuldt image ville omfatte mange andre personers data,
spørgsmålet er afgrænset til bestemte personer, mapper og perioder,
data ligger i en tjeneste, hvor et fysisk image ikke er muligt, fx en postkasse i Microsoft 365.

Prisen er, at alt det, der ikke indsamles, er uden for rækkevidde senere. Slettede filer i ikke-allokeret plads (unallocated), filsystemets metadata uden for de valgte mapper og artefakter, ingen tænkte på, kommer ikke med. Det skal stå i dokumentationen, så ingen senere læser kopien som mere fuldstændig, end den er.

Indsamlingsmål som kategori

En målrettet indsamling bygger på en liste over mål: stier, filtyper, postkasser eller artefakttyper. Der findes værktøjer, som arbejder med foruddefinerede mållister, fx til Windows-artefakter som hændelseslogs, registreringsdatabasens filer, Prefetch, LNK-filer og browserdatabaser. Fordelen er gentagelighed: samme målliste giver samme udvalg på næste maskine.

Typiske kategorier af mål:

Brugerdata · Profilmappe, Dokumenter, Skrivebord, Downloads
Systemartefakter · Hændelseslogs, registreringsdatabasens hives, Prefetch, $MFT
Applikationsdata · Browserprofiler, mailklientens datafiler, chatapps
Fællesdata · Bestemte mapper på filserver eller SharePoint
Postkasser · Hele postkassen inkl. arkiv og gendannelige elementer

Brug mållisten som den er, eller tilpas den, og gem den version, der faktisk blev brugt, sammen med kopien. En målliste uden versionsangivelse kan ikke efterprøves. Overvej også at tage filsystemets metadatafiler med, selv når kun få mapper er relevante. $MFT og ændringsjournalen fylder lidt og kan senere vise, hvad der lå uden for udvalget, og hvornår det blev slettet. → Windows-artefakter: LNK, jump lists, shellbags og USB

Bevarelse af metadata

Den største tekniske risiko ved målrettet indsamling er tab af metadata. Almindelig kopiering i Stifinder eller via et synkroniseringsværktøj kan give filerne nye oprettelsestider, fjerne alternative datastrømme (fx Zone.Identifier) og miste ejer- og rettighedsoplysninger. Derfor:

Brug et værktøj, der læser filerne uden at ændre dem på kilden, og som lægger dem i en logisk beholder (fx L01, AD1 eller en logisk AFF4-beholder) med de oprindelige tidsstempler som metadata.
Kontrollér, om værktøjet bevarer alle fire NTFS-tidsstempler, alternative datastrømme og stien.
Læs fra en skrivebeskyttet kilde, hvor det er muligt. Ved indsamling fra en kørende maskine skal ændringerne på kilden noteres.

Forskellen på formaterne er beskrevet i Forensiske diskformater: raw, E01 og AFF4. Hvad netværkskopiering særligt gør ved tidsstempler, står i Kopiering af netværksdrev og filshares.

Postkasser

Postkasser er en særlig form for målrettet indsamling. En eksport fra en mailserver eller cloudtjeneste er altid logisk: Du får elementerne, ikke databasen. Tre forhold afgør kvaliteten:

Omfang: Kom arkivpostkassen, mapperne med slettede og gendannelige elementer og delte kalendere med? Det skal fremgå af eksportens indstillinger.
Format: PST bevarer mappestrukturen og mange MAPI-egenskaber, men er en ny fil, skabt ved eksporten. Enkelte EML- eller MSG-filer kan hashes hver for sig.
Filtre: Er der brugt datofilter eller søgeord, skal det præcise filter gemmes. Datofilteret kan virke på modtaget-, sendt-, oprettelses- eller ændringsdato afhængigt af værktøjet. I Microsoft Purview betyder den generelle datobetingelse fx oprettelsesdato for mails og seneste ændring for dokumenter, så mails importeret fra en PST-fil kan blive dateret efter importen og havne forkert i forhold til filteret. Her er modtaget- og sendtdato de sikre felter.

Eksport fra Microsoft 365 er beskrevet i Microsoft Purview og eDiscovery.

Dokumenterede filtre

Alt, der sorterer data fra under indsamlingen, er et filter og skal skrives ned:

stier og mapper, der er medtaget eller udeladt,
filtyper og filendelser (husk, at en endelse kan være forkert),
datointerval og hvilket datofelt det gælder,
søgeord og syntaks,
størrelsesgrænser,
frasortering af systemfiler eller kendte filer.

Jo tidligere et filter bruges, jo mere endeligt er det. Et filter ved analysen kan fortrydes, fordi data stadig er i kopien. Et filter ved indsamlingen kan ikke. Overvej derfor at indsamle lidt bredere end analysen og filtrere senere, hvis kilden ellers forsvinder.

Hashmanifestet

Ved målrettet indsamling findes der ingen hashværdi for hele disken. Integriteten bygger i stedet på to lag:

hashværdien af hver enkelt fil, beregnet ved indsamlingen og gemt i et manifest med sti, størrelse og tidsstempler,
hashværdien af selve beholderen eller manifestfilen, så manifestet ikke kan ændres ubemærket.

Manifestet gør det muligt for en modtager at kontrollere hver fil uafhængigt af den beholder, den blev leveret i. Opbygningen er beskrevet i Hashmanifest for filsamlinger og produktioner. Notér også, hvilke filer der ikke kunne læses, fx fordi de var låst af en kørende proces eller havde for lange stier. De mangler i manifestet, og fraværet skal forklares.

Fejlkilder

Låste filer: På en kørende maskine kan databaser, OST-filer og registreringsdatabasens hives være låst. Værktøjet læser dem måske via rå diskadgang eller Volume Shadow Copy, måske slet ikke. Notér metoden pr. fil.
Placeholder-filer: Filer fra OneDrive eller andre synkroniseringstjenester kan ligge som pladsholdere uden indhold lokalt. Indsamlingen henter enten kun pladsholderen eller udløser en download, som ændrer tilstanden.
Lange stier og specialtegn: Kan få værktøjer til at springe filer over uden fejlmeddelelse.
Tidszoner i manifestet: Angiv, om tidsstemplerne i manifestet er UTC eller lokal tid.
Bias i udvælgelsen: Den, der kender hypotesen, vælger let kun de mapper, der passer til den. Lad gerne en anden person gennemgå mållisten, før indsamlingen starter, og notér de forslag til mål, der blev fravalgt, og hvorfor.
Dubletter: Samme fil kan ligge flere steder, fx lokalt og i en synkroniseret mappe. Indsaml begge forekomster med sti, så placeringen kan bruges i analysen.

Hvad den målrettede kopi kan og ikke kan bevise

Kopien kan vise, at de indsamlede filer havde et bestemt indhold og bestemte metadata på indsamlingstidspunktet, og at de ikke er ændret siden. Den kan ikke vise, at der ikke fandtes andre relevante data på kilden, og den siger intet om slettede data uden for udvalget. Konklusioner om fravær (“medarbejderen havde ingen kopi af filen”) kan derfor normalt ikke bygges på en målrettet indsamling alene.

Dokumentation, der holder

Indsamlingsnotatet bør indeholde: kilde med entydig identifikation, tidspunkt med tidszone, hvem der udførte indsamlingen, værktøj og version, målliste og filtre, beholderformat, hashmanifest og beholderens hashværdi, filer der ikke kunne læses, og en kort begrundelse for, at målrettet indsamling var tilstrækkelig. Den juridiske side af afgrænsningen, herunder aftaler med modparten om søgeord, er beskrevet på Søgeord og afgrænsning: aftaler med modparten.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Forensisk image trin for trin: fra kilde til verificeret kopi · Live response: sikring af en kørende computer eller server

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik