NAS‑enheder som datakilde: logs, papirkurv og snapshots

Forside › macOS- og Linux-forensik · Gennemgået oktober 2026 · Af John Nielsen

En NAS (netværkslager) er i mange mindre virksomheder den egentlige filserver, og den bliver ofte overset i undersøgelser. Den kan rumme forbindelseslogs, filoverførselslogs, en papirkurv pr. delt mappe, snapshots med tidligere versioner og logs over delingslinks og fjernadgang. Hvor meget der findes, afhænger af, hvad der var slået til, og flere af kilderne roterer eller tømmes automatisk. Sikringen skal derfor starte med at kortlægge enhedens konfiguration og fastholde det, der kan forsvinde. Den praktiske indgang for virksomheden findes på søstersitet: → Filserveren på kontoret: hvem åbnede mappen?

Hvad en NAS er, teknisk

De fleste NAS-enheder til mindre virksomheder kører et Linux-baseret styresystem med en webbaseret administrationsflade. Diskene samles i RAID med softwareløsninger og ofte LVM, og filsystemet er typisk Btrfs eller ext4. Ovenpå ligger fildelingstjenester (SMB, AFP, NFS), webadgang, synkronisering, backup og eventuelt fjernadgang via producentens relætjeneste.

Det betyder, at sporene ligger i flere lag: producentens egne logs og databaser, Linux-systemets logs og filsystemets metadata. → Linux-servere: journald, auth-log og shellhistorik

De vigtigste kilder

• Systemlog · Logins i administrationsfladen, konfigurationsændringer, opdateringer, fejl
• Forbindelseslog · Hvilke konti der har forbundet via SMB, web, FTP og andre protokoller, fra hvilken adresse
• Filoverførsels- eller filadgangslog · Åbning, oprettelse, sletning, omdøbning og flytning af filer pr. konto
• Papirkurv pr. delt mappe · Slettede filer med oprindelig sti, så længe de ikke er tømt
• Snapshots · Tidligere tilstande af delte mapper
• Delingslinks · Links til filer udstedt til eksterne, med oprettelse, udløb og brug
• Synkroniserings- og backuplogs · Hvad der er synkroniseret til klienter eller kopieret ud

Producenterne bruger forskellige navne og placeringer, og flere af logs skal aktiveres særskilt. Især filoverførselsloggen for SMB er ofte slået fra, fordi den genererer mange poster. Hos udbredte producenter slås den til pr. fildelingsprotokol i administrationsfladen, og administratoren vælger, hvilke filhandlinger der logges, fx kun sletning og omdøbning. Notér derfor ikke blot, at loggen var slået til, men også hvilke handlinger den omfattede, og fra hvornår.

Papirkurven

Mange NAS-enheder flytter filer, der slettes via netværket, til en skjult papirkurvsmappe i den delte mappe i stedet for at slette dem. Papirkurven kan være indstillet til at tømmes efter et antal dage eller ved en pladsgrænse. Indholdet er ofte det hurtigste svar på spørgsmålet om, hvad der blev slettet.

Papirkurven viser dog sjældent, hvem der slettede. Det kræver filadgangsloggen. Og den virker kun for sletning via de protokoller, der er omfattet. Sletning direkte på enheden eller via visse programmer kan gå uden om den. → Hvem slettede filen? Spor på fil-, server- og cloudniveau

Snapshots

NAS-enheder med Btrfs eller ZFS kan tage snapshots af delte mapper efter tidsplan med en opbevaringspolitik. Snapshots er skrivebeskyttede og kan vise tidligere versioner af filer, også filer, der er slettet og fjernet fra papirkurven. Opbevaringspolitikken sletter løbende de ældste. Notér politikken og listen over eksisterende snapshots ved første kontakt, og overvej at sætte den automatiske sletning på pause efter aftale. → ext4, XFS, Btrfs og LVM: sletning og snapshots

Delingslinks og ekstern adgang

Mange NAS-enheder kan udstede links, så eksterne kan hente eller uploade filer uden en konto. Det er en oplagt vej for data ud af virksomheden og ofte overset. Administrationsfladen viser typisk aktive links med fil eller mappe, opretter, oprettelsestidspunkt, udløb og eventuel adgangskode. Hvor mange gange et link er brugt, og fra hvilke adresser, fremgår kun nogle gange, og som regel kun hvis logning af webadgang var slået til. Udløbne eller slettede links forsvinder fra listen, men kan stadig stå i systemloggen. Hvilke oplysninger der logges om links, og hvor længe de bevares, varierer mellem producenter, softwareversioner og logindstillinger, så det aflæses på den konkrete enhed, og listen over aktive links eksporteres eller fotograferes, før noget ændres.

Fjernadgang via producentens relætjeneste, en mobilapp eller en synkroniseringsklient på en privat computer er andre veje. Forbindelsesloggen kan vise, at en konto har forbundet via en sådan tjeneste, men kildeadressen kan være relætjenestens og ikke brugerens. Producentens egne logs over relæforbindelser ligger hos producenten og skal i givet fald søges udleveret ad den vej.

Notér alle aktive delingslinks ved sikringen med skærmbillede eller eksport, før nogen deaktiverer dem. Deaktivering er ofte rigtig af sikkerhedshensyn, men den skal ske efter dokumentationen og registreres med tidspunkt.

Sikring

Rækkefølgen bestemmes af, hvad der forsvinder først:

1. Dokumentér konfigurationen med skærmbilleder eller eksport: model, firmwareversion, konti, delte mapper, logindstillinger, papirkurvspolitik, snapshotpolitik, fjernadgang og tidszone.
2. Eksportér logs fra administrationsfladen i det mest fuldstændige format, typisk CSV eller producentens eget format. Hash eksporterne.
3. Sikr papirkurvenes indhold som en logisk kopi med bevarede tidsstempler.
4. Registrér og sikr snapshots, der er relevante for perioden.
5. Kopiér de relevante delte mapper logisk, med en metode, der bevarer tidsstempler. → Kopiering af netværksdrev uden at ændre tidsstempler
6. Overvej en fuld kopi af diskene, hvis sagen kræver gendannelse fra ikke-allokeret plads (unallocated) eller analyse af systemfiler.

En fuld kopi af en NAS er krævende. Diskene skal tages ud i registreret rækkefølge, kopieres enkeltvis med skrivebeskytter, og RAID, LVM og filsystem skal genskabes på analysemaskinen. Ved krypterede delte mapper kræves nøglen. Ofte er en grundig logisk sikring kombineret med logeksport det mest proportionale.

Administratorkonti og fjernadgang

En NAS har som regel en eller få administratorkonti, som ofte deles mellem medarbejdere og IT-leverandøren. Notér, hvem der kender adgangskoderne, og om der er aktiv fjernadgang via producentens tjeneste, portvideresendelse eller VPN. Systemloggen kan vise administrative logins og ændringer af logindstillinger, fx at logning blev slået fra eller papirkurven tømt.

Under sikringen skal man undgå at logge ind med en konto, der er genstand for undersøgelsen. Brug en særskilt konto, hvis det er muligt, og notér alle handlinger i administrationsfladen, fordi de selv logges.

Fejlkilder i fortolkningen

• Konto er ikke person. Delte konti og tjenestekonti til backup eller scannere er almindelige på NAS-enheder.
• Klientsynkronisering ligner brugeraktivitet. En synkroniseringsklient kan åbne, kopiere eller slette filer på vegne af brugeren eller af en anden klient.
• Antivirus og indeksering på enheden eller på klienter kan generere filadgang.
• Tid. NAS-enhedens ur og tidszone skal kontrolleres. Logeksporter kan være i lokal tid uden zoneangivelse.
• Ufuldstændig logning. Logs dækker kun de protokoller og hændelser, der var slået til. Fravær af en post viser ikke, at handlingen ikke skete.
• Rotation. Logdatabaser har en maksimal størrelse eller alder. Notér ældste post i hver eksport.

Hvad sporene kan og ikke kan bevise

Med filadgangslog kan det vises, at en bestemt konto fra en bestemt adresse åbnede, kopierede eller slettede bestemte filer på bestemte tidspunkter. Uden den kan forbindelseslogs vise, at kontoen var forbundet, og snapshots og papirkurv kan vise, hvad der ændrede sig, men ikke hvem der gjorde det. At en fil blev læst, viser ikke, at den blev kopieret ud af virksomheden. Det kræver spor på klienten eller i netværket.

Dokumentation

Rapporten bør angive model og firmware, logindstillinger og opbevaring, hvilke logs og mapper der er sikret med hash, ældste og nyeste post pr. log, snapshots med tidspunkter, og hvilke handlinger der er udført i administrationsfladen under sikringen.

Kilder og versioner

• Synology: DSM 7.4, File Services & Protocols (transferlog for filtjenester)
• Synology: DSM 7.4, System Operations & Monitoring (Log Center)
• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response

Senest gennemgået: oktober 2026.

Næste skridt

• Virtuelle maskiner og servere: forensisk sikring uden nedetid
• Sikring af moderne Mac: Apple silicon, T2 og logisk sikring

Del af: macOS- og Linux-forensik

Læs også: ext4, XFS, Btrfs og LVM: sletning og snapshots på Linux · Gendannelse fra backup til forensisk brug: metode og dokumentation

→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT