Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen
OneDrive-klienten på en Windows-computer fører sit eget regnskab over, hvilke konti der er tilknyttet, hvilke mapper og filer der synkroniseres, og hvad der er sendt op og hentet ned. Sporene ligger i brugerens profil som indstillingsfiler, en lokal database og binære logfiler, og i registreringsdatabasen. De kan vise synkronisering, der ikke fremgår af virksomhedens cloudlogs, fx til en privat OneDrive-konto på samme computer. Formaterne er ikke dokumenteret af Microsoft og ændrer sig med klientversionerne, så fund skal verificeres omhyggeligt og helst bekræftes i cloudens egne logs.
Den grundlæggende sikring af OneDrive, SharePoint og Teams i skyen er beskrevet på hubben i Bevissikring af OneDrive, SharePoint og Teams. Her handler det om de lokale spor på computeren.
Hvor sporene ligger
Klienten kan være installeret pr. bruger eller pr. maskine, men dens data ligger under brugerens lokale AppData i mappen Microsoft\OneDrive, med undermapper til indstillinger (én pr. konto, fx Personal og Business1) og logs. Microsoft dokumenterer ikke de interne filnavne og formater, og de ændres med klientversionerne, så registrér altid klientens version ved sikringen. De vigtigste elementer er:
- Indstillingsmapper pr. konto · En mappe for den private konto og én for hver arbejdskonto, med konfiguration og database
- Synkroniseringsdatabasen · Filer og mapper i synkroniseringen med cloud-id, størrelse, hashværdi og tidsstempler
- Logmappen · Binære, komprimerede logs over klientens handlinger
- Registreringsdatabasen · Tilknyttede konti, mailadresse, tenant-id, lokal synkroniseringsmappe
Kontooplysningerne i brugerens NTUSER.DAT viser, hvilke konti der har været logget ind i klienten, og hvilken lokal mappe hver konto synkroniserer til. Det er ofte den hurtigste vej til at afklare, om en privat OneDrive-konto har været tilknyttet en firmacomputer. Nøglernes tidsstempler kan datere tilknytningen; se Registreringsdatabasen i en undersøgelse.
Synkroniseringsdatabasen
Nyere klientversioner bruger en SQLite-database til at holde styr på synkroniseringens tilstand. Den indeholder typisk en post pr. fil og mappe med navn, forældremappe, cloud-id, størrelse, en hashværdi beregnet med Microsofts egen algoritme og tidsstempler.
Databasen viser tilstanden på sikringstidspunktet, ikke historikken. Men som andre SQLite-databaser kan den indeholde rester af slettede rækker i frie sider og i WAL-filen, og dermed spor af filer, der tidligere var med i synkroniseringen; se SQLite i forensic. Hashværdierne kan bruges til at genkende samme fil i virksomhedens SharePoint eller på et andet medie, hvis samme algoritme beregnes dér.
Logfilerne
Klientens logs registrerer handlinger som upload, download, sletning, omdøbning, konflikter og fejl, med tidsstempler. De er gemt i et binært og delvist kodet format. Uafhængige parsere kan læse dem, men resultatet afhænger af klientversion og parserens kendskab til formatet. Fund herfra bør derfor:
- parses med mindst to værktøjer, hvis muligt,
- kontrolleres mod den lokale database og filsystemet,
- bekræftes i cloudtjenestens egne logs, når det er en arbejdskonto.
Logfilerne roteres og fylder begrænset, så de dækker typisk en kortere periode.
Filer efter behov
Med funktionen Filer efter behov vises filer i Stifinder, selvom indholdet kun ligger i skyen. Filen er en pladsholder i filsystemet med navn, størrelse og tidsstempler, men uden indhold. Først når den åbnes, hentes indholdet ned.
Det har betydning både for sikring og fortolkning:
- En forensisk kopi af disken indeholder kun indholdet af de filer, der var hentet ned. Pladsholdere skal identificeres, og indholdet skal sikres fra skyen.
- At en fil er hentet ned lokalt, kan vise, at den er åbnet eller markeret til lokal opbevaring. Tidspunktet kan i nogle tilfælde ses i filsystemets journal og klientens log.
- Kopieres en pladsholder til et USB-drev, hentes indholdet først ned. Det kan efterlade spor i klientens log.
Lokale spor og cloudlogs
For arbejdskonti registrerer Microsoft 365 synkronisering og filaktivitet i auditloggen, se Unified Audit Log i Microsoft 365 og Download og synkronisering i SharePoint og OneDrive. De lokale spor supplerer på tre måder:
- De dækker private konti, som virksomheden ikke har logs for.
- De kan vise, hvilken computer en synkronisering skete fra, hvor auditloggen kun viser konto og adresse.
- De kan dække perioder, hvor auditloggens opbevaring er udløbet.
Upload til private cloudtjenester generelt er behandlet i Upload til privat cloud.
Privat konto på en firmacomputer
Et hyppigt spørgsmål er, om en medarbejder har synkroniseret firmadata til en privat OneDrive. Klienten kan have en privat konto og en eller flere arbejdskonti logget ind samtidig, hver med sin egen lokale mappe. Fremgangsmåden kan være:
- Afklar i registreringsdatabasen, hvilke konti der har været tilknyttet, og hvornår.
- Find den lokale mappe for den private konto, og list dens indhold, inklusive pladsholdere.
- Undersøg synkroniseringsdatabasen og logs for den private konto, og find filer, der svarer til firmadokumenter, fx ved navn, størrelse eller hashværdi.
- Kontrollér, om filerne er flyttet eller kopieret ind i mappen, via filsystemets journal og LNK-spor.
- Sammenhold med virksomhedens egne logs for de samme filer.
Det giver et billede af, hvad der lå i den private mappe på computeren, og ofte hvad der blev sendt op. Hvad der findes i den private konto i dag, kan kun afklares i samarbejde med kontoens ejer eller efter en afgørelse.
Andre synkroniseringsklienter
Samme principper gælder for andre klienter, fx Dropbox og Google Drive. De er gennemgået i Synkroniseringsklienter: Dropbox, Google Drive og iCloud Drive. De har hver deres lokale databaser og logs, der ofte giver tilsvarende oplysninger om konto, synkroniseringsmappe og filer. Formaterne er forskellige, og hver klient skal behandles ud fra sin egen dokumentation.
Sikring
Start ikke OneDrive-klienten på den undersøgte computer, og lad den ikke komme på nettet, før sikringen er sket. Klienten synkroniserer ved opstart og kan både hente ændringer ned og sende sletninger op, så den lokale og den skybaserede tilstand ændres. Sikr i stedet:
- en forensisk kopi af disken, inklusive brugerprofilen,
- særskilt indholdet af pladsholdere fra skyen for arbejdskonti,
- auditloggen for de relevante konti i samme periode.
Virksomhedens frist, før en fratrådt medarbejders OneDrive slettes, er beskrevet i OneDrive hos en fratrådt medarbejder.
Fejlkilder
- Klientens handlinger er ikke brugerens. Synkronisering sker automatisk, og en sletning kan være udført på en anden enhed og blot spejlet lokalt.
- Flytning af kendte mapper. Skrivebord, Dokumenter og Billeder kan være flyttet ind i OneDrive, så almindelig brug ligner bevidst upload.
- Versioner. Formater ændres løbende, og ældre parsere kan læse nye versioner forkert.
- Pladsholdere forveksles med filer, der har været åbnet.
- Tidszoner. Logs og database kan bruge forskellige tidsformater.
Hvad sporene kan og ikke kan bevise
De lokale spor kan vise, hvilke konti der var tilknyttet klienten, hvilke filer der var i synkroniseringen, og ofte at bestemte filer blev sendt op eller hentet ned på bestemte tidspunkter. De viser ikke, hvad der skete med filerne i skyen bagefter, fx deling eller download på en anden enhed. Det kræver cloudlogs, og for private konti normalt et samtykke eller en afgørelse.
Dokumentation
Angiv klientversion, tilknyttede konti, kildefiler med stier og hashværdier, værktøjer og versioner, og for hvert fund: fil, cloud-id, handling, tidspunkt med tidszone og bekræftelse i andre kilder.
Kilder og versioner
- Microsoft Learn: Install the sync app per-machine
- Microsoft Learn: Use policies to control OneDrive sync app settings
Senest gennemgået: oktober 2026.
Næste skridt
- NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN
- Volume Shadow Copies: tidligere versioner som bevis
- RDP-spor: fjernskrivebord i logs, register og bitmap-cache
Del af: Windows-forensik
Læs også: Defender-logs og karantæne som kilde · Windows Search-indekset som datakilde
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
