...
Ordbog: digital forensics fra A til Å
Ordbogen forklarer de tekniske begreber, der bruges i artiklerne på digitalforensics.dk: artefakter, filsystemer, logkilder, sikringsformater og analysebegreber. Engelske termer står i parentes, hvor de er almindelige i faget. Forklaringerne er korte og generelle, og detaljer kan variere mellem versioner af styresystemer og tjenester. Under hvert begreb står, hvor det er muligt, et link til den artikel, der går i dybden.
Grundbegreber til ikke-teknikere findes i opslagsværkets ordliste på dansk og engelsk. Jurister har deres egen IT-ordbog for jurister.
A-B
$I- og $R-filer
Filpar i Windows’ papirkurv ($Recycle.Bin). $I-filen rummer den oprindelige sti, størrelsen og sletningstidspunktet, $R-filen selve indholdet.
ACPO-principperne
Fire grundregler for håndtering af digitale beviser fra en britisk vejledning: data må ikke ændres, adgang til originaldata kræver kompetence og begrundelse, alle trin skal dokumenteres, og den ansvarlige skal sikre, at reglerne følges.
AFF4 (Advanced Forensic Format 4)
Åbent containerformat til forensiske images med indbygget metadata og hash. Understøtter blandt andet komprimering, ikke-sammenhængende data og flere datastrømme i samme container.
→ Forensiske diskformater: raw, E01 og AFF4
AiTM (adversary-in-the-middle)
Phishing, hvor en proxy mellem bruger og loginside opsnapper sessionscookien efter et gyldigt MFA-login. Ses i loginloggen som en session fra en uventet IP-adresse, der bruger den samme session som brugerens eget login.
Amcache
Registreringsfil i Windows (Amcache.hve) med oplysninger om programmer og eksekverbare filer, herunder sti og ofte en SHA-1-hashværdi. Viser, at en fil har været til stede, men ikke i sig selv, at den er kørt.
→ Prefetch, Amcache og Shimcache
Analyseplan
En skriftlig plan, lagt før analysen, med de spørgsmål, der skal besvares, de konkurrerende hypoteser og de datakilder, der kan skelne mellem dem. Planen gør det muligt at se, om analysen er styret af forventninger.
Anti-forensics
Handlinger, der skal fjerne, skjule eller forfalske spor, for eksempel rydning af logs eller ændring af tidsstempler. Beskrives på sitet kun med henblik på opdagelse.
APFS (Apple File System)
Apples filsystem på macOS og iOS med kloner, snapshots og indbygget kryptering. Kloner deler datablokke, så to filer kan have samme indhold uden at fylde dobbelt.
APFS-snapshot
En skrivebeskyttet tilstand af et APFS-volume på et bestemt tidspunkt, oprettet blandt andet af Time Machine og ved systemopdateringer. Et snapshot kan rumme filer, der siden er ændret eller slettet på det aktive volume.
Arbejdskopi
En kopi af masterkopien, som analysen udføres på. Den verificeres med hash mod masterkopien, så fejl under analysen aldrig rammer den sikrede kopi.
ARC (Authenticated Received Chain)
Mailstandard (RFC 8617), hvor mellemled som videresendelsestjenester og maillister gemmer resultatet af SPF-, DKIM- og DMARC-kontrollen i signerede headere. Gør det muligt at se, hvordan en mail blev vurderet, før et mellemled ændrede den.
→ Mail-headere, SPF, DKIM og DMARC
Artefakt
Et spor, som styresystemet eller et program efterlader som bivirkning af en handling, for eksempel en LNK-fil eller en registreringsnøgle.
Attribution
Vurderingen af, hvilken person der stod bag en handling på en konto eller enhed. Kræver mere end et brugernavn, typisk sammenfald mellem flere uafhængige spor.
Audit policy (revisionspolitik)
Windows’ indstillinger for, hvilke sikkerhedshændelser der logges, for eksempel logon, objektadgang og ændring af grupper. Den aktuelle opsætning kan læses med auditpol /get /category:* og afgør, hvilke event-id’er der overhovedet kan findes.
Audit trail
Kronologisk registrering af handlinger i et system, typisk hvem, hvad og hvornår. Kvaliteten afhænger af, om den kan ændres af de brugere, den registrerer.
BEC (business email compromise)
Angreb, hvor en mailkonto i en virksomhed overtages eller efterlignes for at ændre betalinger eller få udleveret data. Undersøgelsen skal afgøre, hvis konto der var kompromitteret, og hvad angriberen havde adgang til.
→ BEC-undersøgelse i Microsoft 365
Bekræftelsesbias (confirmation bias)
Tendensen til at søge og vægte fund, der bekræfter en forventning, og overse dem, der taler imod. Modvirkes blandt andet med hypoteser for begge parters forklaringer og begrænset kontekstinformation.
Betinget adgang (conditional access)
Regler i Entra ID, der stiller krav til et login ud fra bruger, enhed, placering og risiko, for eksempel MFA eller en administreret enhed. Loginloggen viser, hvilke regler der blev evalueret, og med hvilket resultat.
→ MFA-ændringer og betinget adgang
Bevislog (chain of custody)
Den løbende dokumentation af, hvem der har haft et bevis, hvornår, og hvad der er sket med det, med hashværdier ved hver overdragelse.
BFU/AFU (before/after first unlock)
Tilstande på en mobiltelefon før og efter første oplåsning efter genstart. Afgør, hvor mange data der er dekrypteret og tilgængelige for et udtræk, og derfor om telefonen skal holdes tændt.
Biome
Datalager på nyere iOS og macOS, der registrerer brugs- og systemhændelser i egne binære filer. Har på nyere versioner overtaget en stor del af rollen fra KnowledgeC.
→ iPhone-artefakter: Biome og placeringsdata
BitLocker
Windows’ diskkryptering. Uden nøglen kan et image af disken ikke læses, så nøglen skal findes, før maskinen slukkes eller disken tages ud.
BitLocker-gendannelsesnøgle (recovery key)
Den 48-cifrede nøgle, der låser et BitLocker-krypteret drev op, når den normale oplåsning ikke virker. Ligger ofte i Entra ID, Active Directory, Intune eller brugerens Microsoft-konto, og adgangen dertil bør dokumenteres.
C-D
CAE (continuous access evaluation)
Mekanisme i Entra ID, hvor tjenester som Exchange Online og SharePoint får besked om kritiske hændelser, for eksempel spærret konto eller ændret adgangskode, og afviser et token, før det udløber. Betyder, at et tokens levetid ikke altid er det samme som adgangens varighed.
→ Sessioner, tokens og loginlogs
Carving (file carving)
Gendannelse af filer ud fra filsignaturer og struktur i rå data, uden hjælp fra filsystemet. Tidsstempler og filnavne går normalt tabt, og fragmenterede filer gendannes ofte kun delvist.
CGNAT (carrier-grade NAT)
Teleselskabers deling af én offentlig IP-adresse mellem mange kunder. Gør en IP-adresse alene utilstrækkelig til at udpege en abonnent: udbyderen skal også bruge kildeport og et præcist tidspunkt.
→ IP-adresser som bevis: NAT, CGNAT og VPN
Chain of custody
Engelsk betegnelse for den ubrudte dokumentation af et bevis fra sikring til aflevering. Se også bevislog under B.
CloudTrail
AWS’ log over API-kald og handlinger i en konto. Den centrale kilde til, hvem der ændrede hvad i et AWS-miljø, men dataadgang til for eksempel S3 logges kun, hvis det er slået til.
Cloud-snapshot
Øjebliksbillede af en virtuel disk i en cloudplatform, som kan kopieres til en isoleret konto og bruges som forensisk kopi. Integriteten dokumenteres med platformens egne logs og hash af den eksporterede kopi.
Compromise assessment
En afgrænset undersøgelse af, om et miljø er eller har været kompromitteret, typisk gennem søgning efter kendte indikatorer, gennemgang af logs og vedvarende adgang. Bruges efter en mistanke eller før et opkøb.
→ Compromise assessment: er vi kompromitteret? · Undersøgelse efter et hackerangreb
Data at rest / data in transit
Data, der ligger lagret, og data, der overføres. Begreberne bruges om, hvor kryptering og sikring sker, også for beviskopierne selv.
Dataminimering
Princippet om kun at sikre og behandle de data, opgaven kræver. Kan ske før, under eller efter sikringen, med forskellige konsekvenser for, hvad der senere kan efterprøves.
Deduplikering
Fjernelse af identiske dokumenter ud fra hash i en eDiscovery-produktion, globalt eller pr. person. Mails dedupliceres ofte på en hash af udvalgte felter frem for hele filen.
DHCP-log
Log fra den server, der tildeler IP-adresser på et lokalnet, med MAC-adresse, værtsnavn og tidsrum for tildelingen. Bruges til at finde ud af, hvilken enhed der havde en intern IP-adresse på et bestemt tidspunkt.
DKIM (DomainKeys Identified Mail)
Digital signatur på udgående mail, som modtageren kan validere mod afsenderdomænets offentlige nøgle i DNS. Viser, at de signerede felter og brødteksten ikke er ændret undervejs.
→ Mail-headere, SPF, DKIM og DMARC
DLP (data loss prevention)
Systemer, der overvåger og eventuelt blokerer, når følsomme data kopieres, mailes eller uploades. En DLP-hændelse dokumenterer en regels udslag, ikke nødvendigvis hele handlingen.
DMARC
Politik i DNS, der fortæller modtagere, hvordan mails, der fejler SPF eller DKIM, skal behandles, og hvor rapporter skal sendes. Politikken kan ændres når som helst og skal dokumenteres for det relevante tidspunkt.
→ Mail-headere, SPF, DKIM og DMARC
DNS-log
Log over navneopslag fra klienter på et netværk. Kan vise, at en enhed slog et domæne op, også når selve forbindelsen var krypteret.
DRAT/RZAT
Angivelser for, hvad en SSD returnerer ved læsning af blokke efter TRIM: deterministiske data (deterministic read after TRIM) eller altid nuller (read zeros after TRIM). Forklarer, hvorfor slettede data på en SSD ofte er umulige at gendanne.
Dwell time
Tiden fra en angribers første adgang til opdagelsen. Bestemmer, hvor langt tilbage logs skal række, før indgangsvejen kan fastlægges.
E-F
E01 (EnCase Evidence File)
Udbredt imageformat (Expert Witness Format) med komprimering, segmenter, sagsmetadata, kontrolsummer pr. datablok og indlejret hash af hele kilden.
→ Forensiske diskformater: raw, E01 og AFF4
eDiscovery
Identifikation, indsamling, behandling og gennemgang af elektronisk lagrede data til brug i en sag. Standardiseret i ISO/IEC 27050.
eDiscovery Premium
Den udvidede eDiscovery-funktion i Microsoft Purview med sagsstyring af dataejere (custodians), reviewsæt, analyse af mailtråde og near-duplicates samt eksport. Microsoft har samlet Standard- og Premium-funktionerne i en ny eDiscovery-brugerflade, så betegnelserne kan variere.
→ Microsoft Purview eDiscovery
EDR (endpoint detection and response)
Agent på endpoints, der indsamler telemetri om processer, filer og netværk og kan isolere maskiner. Telemetrien opbevares i en begrænset periode hos leverandøren og skal eksporteres i tide.
Elusion-test
Stikprøve af de dokumenter, en AI-assisteret gennemgang har sorteret fra som ikke-relevante, for at måle, hvor mange relevante dokumenter der er sluppet igennem. Bruges til at dokumentere en gennemgangs fuldstændighed.
→ Validering af AI-assisteret gennemgang
Enhedsregistrering (device registration)
Registrering af en enhed i Entra ID, så den kan få tokens og opfylde krav i betinget adgang. En enhed registreret af en angriber kan give vedvarende adgang, også efter skift af adgangskode.
→ Registrerede enheder i Entra ID
Entra ID
Microsofts identitetstjeneste, tidligere Azure AD. Indeholder login-, audit- og provisioneringslogs med begrænset opbevaringstid.
Event ID
Nummeret på en hændelsestype i Windows’ hændelseslog, for eksempel 4624 for vellykket logon. Samme nummer kan betyde forskelligt i forskellige kanaler.
EVTX
Filformatet for Windows’ hændelseslogs, som ligger i C:\Windows\System32\winevt\Logs. Kan sikres som filer eller eksporteres fra en kørende maskine med wevtutil.
→ Eksport af Windows-hændelseslogs
EXIF
Metadata i billedfiler, typisk kamera, optagetid og eventuelt GPS. Optagetiden gemmes ofte uden tidszone, og felterne fjernes ofte ved upload til sociale medier.
Ext4
Standardfilsystemet på mange Linux-systemer med journal og inode-baserede tidsstempler, herunder oprettelsestid (crtime) på nyere systemer.
Familie (dokumentfamilie)
En mail og dens vedhæftninger, eller et dokument og dets indlejrede filer, behandlet som én enhed i eDiscovery. Afgør, at en relevant vedhæftning produceres sammen med den mail, den kom med.
→ Mailtråde, Message-ID og familier
FILETIME
Windows’ tidsformat, der tæller 100-nanosekund-intervaller fra 1. januar 1601 i UTC.
FileVault
Diskkryptering på macOS. På nyere Mac er lageret altid krypteret i hardware, og FileVault binder nøglen til brugerens adgangskode.
Filsignatur (magic bytes)
De første bytes i en fil, der identificerer filtypen uafhængigt af filendelsen.
Fjernindsamling (remote collection)
Sikring af data over netværket via en agent eller administrative værktøjer, uden fysisk adgang til maskinen. Kræver, at forbindelse, kommandoer og hashværdier dokumenteres lige så nøje som ved en sikring på stedet.
→ Fjernindsamling via agent eller netværk
Flygtighedsorden (order of volatility)
Princippet om at sikre de mest flygtige data først: RAM, netværksforbindelser og processer før disk og arkiver.
Forensic readiness
En organisations forberedelse på at kunne undersøge en hændelse: tilstrækkelig logning, opbevaringstid, tidssynkronisering og klare roller. Bestemmer, hvor meget der overhovedet kan bevises bagefter.
Forensically sound
At en metode bevarer data uændret eller dokumenterer alle ændringer, så resultatet kan efterprøves.
Fravær af spor
At en undersøgelse ikke finder spor af en handling. Er kun meningsfuldt, hvis det er vist, at kilden ville have registreret handlingen og stadig dækker den relevante periode.
FSEvents
Logfiler på macOS over ændringer i filsystemet, grupperet pr. mappe. Kan vise oprettelse, omdøbning og sletning, men med upræcise tidsangivelser.
Fuldt filsystemudtræk (full file system extraction)
Mobiludtræk, der omfatter hele brugerdatapartitionen, herunder apps’ egne databaser og systemlogs, som et logisk udtræk ikke når. Kræver særlige værktøjer og understøttes ikke af alle modeller og versioner.
FullAccess og SendAs
Tilladelser i Exchange, der giver en bruger adgang til en andens postkasse eller ret til at sende i dennes navn. Tildelingen registreres i auditloggen og er et typisk spor, når adgang til andres mail skal kortlægges.
→ Adgang til andres postkasser
Fuzzy hashing
Hash, der kan vise, at to filer ligner hinanden, selvom de ikke er identiske, for eksempel ssdeep eller TLSH.
G-H
Garbage collection
SSD-controllerens interne oprydning af blokke, der ikke længere bruges. Sker uden for styresystemets kontrol, også mens disken kopieres.
Google Takeout
Googles selvbetjente eksport af en kontos data. Indholdet og metadata adskiller sig fra en administratoreksport via Google Vault, blandt andet i mailformat og bevarede felter.
→ Google Takeout eller Vault-eksport
Google Vault
Google Workspace’ værktøj til opbevaring, søgning og eksport af data til sager.
Graph (Microsoft Graph)
Microsofts programmeringsgrænseflade til data og logs i Microsoft 365 og Entra ID. Eksporter via Graph eller PowerShell skal dokumenteres med kommando, filtre og tidspunkt, så de kan gentages.
→ Eksport via Microsoft Graph og PowerShell
Hash
En værdi med fast længde, beregnet af en algoritme ud fra data. Ændres en enkelt bit, ændres værdien.
Hashmanifest
En liste over filer i en samling med hashværdi pr. fil. Gør det muligt at verificere hver fil enkeltvis.
Hash-sæt (hash set)
En samling hashværdier for kendte filer, enten kendte uskyldige filer som styresystemets egne eller filer, der skal findes. Bruges til at filtrere støj fra eller finde bestemte filer uden at åbne dem.
Hitliste
Rapport over, hvor mange dokumenter hver søgeterm rammer, med og uden overlap. Bruges til at teste og justere søgninger, før dokumenterne gennemgås.
→ Søgetermrapport og hitlister
Hive
En fil, der rummer en del af Windows’ registreringsdatabase, for eksempel SYSTEM, SOFTWARE eller NTUSER.DAT. Ændringer kan ligge i transaktionslogs ved siden af, som skal sikres sammen med hiven.
Hold (litigation hold)
En indstilling, der bevarer data i en tjeneste uanset brugerens sletning og opbevaringspolitikker. Virker kun fremad og bevarer ikke det, der allerede er endeligt slettet.
→ Microsoft Purview eDiscovery
I-K
Identitetsudbyder (identity provider, IdP)
Den tjeneste, der godkender brugere ved single sign-on til andre systemer. Dens systemlog er ofte det eneste samlede spor af logins på tværs af mange SaaS-tjenester.
Ikke-allokeret plads (unallocated space)
Områder af et medie, som filsystemet har markeret som ledige. Kan rumme rester af slettede filer og kommer kun med i en fysisk kopi, ikke i en kopi af filerne.
→ Fysisk, logisk eller målrettet sikring
Image (forensisk kopi)
En bit-for-bit-kopi af et lagermedie eller en partition, verificeret med hash.
→ Forensisk image trin for trin
Indbakkeregel (inbox rule)
Regel i en postkasse, der automatisk flytter, sletter eller videresender mails. Regler oprettet af en angriber er et klassisk spor ved overtagne konti og registreres i auditloggen som New-InboxRule eller Set-InboxRule.
→ Indbakkeregler og videresendelse
Indgrebslog
Log over de handlinger, der er foretaget på systemer under en hændelse, så de kan adskilles fra angriberens spor.
Indholdssøgning (content search)
Søgning i postkasser, OneDrive og SharePoint i Microsoft Purview efter indhold. Finder indhold, men siger ikke, hvem der har læst eller ændret det: det kræver auditloggen.
→ Message trace, indholdssøgning eller auditlog
IOC (indicator of compromise)
Teknisk kendetegn på en kompromittering, for eksempel en IP-adresse, et domæne, en filhash eller et procesnavn. IOC’er fra en IR-rapport bruges til at søge i andre kilder, men et fund er først bevis, når konteksten er dokumenteret.
→ Overdragelse fra IR-team til sagkyndig
iOS-backup
Den lokale sikkerhedskopi af en iPhone, lavet via Finder, iTunes eller tilsvarende værktøjer. En krypteret backup indeholder flere data end en ukrypteret, blandt andet nøgleringsdata og sundhedsdata.
→ iOS-backup: krypteret og ukrypteret
ISO/IEC 17025
Standard for kompetence hos prøvnings- og kalibreringslaboratorier, som også bruges til akkreditering af forensiske laboratorier. Stiller krav til validerede metoder, sporbarhed og kvalitetsstyring.
→ ISO/IEC 17025 og digital forensics
ISO/IEC 27037
Retningslinjer for identifikation, indsamling, erhvervelse og bevarelse af digitale beviser.
→ ISO/IEC 27037 og NIST SP 800-86
ISO/IEC 27041 og 27042
Standarder for at sikre, at en metode er egnet (27041), og for analyse og fortolkning af digitale beviser (27042).
ISO/IEC 27043
Standard med principper og processer for hændelsesundersøgelser, fra forberedelse til afslutning. Beskriver blandt andet forensic readiness som en selvstændig fase.
ISO/IEC 27050
Standardserien for eDiscovery, fra identifikation og bevarelse til behandling, gennemgang og produktion af elektronisk lagrede data.
Journal
Filsystemets log over metadataændringer, for eksempel $LogFile i NTFS eller journalen i ext4. Formålet er at kunne genoprette filsystemet efter nedbrud, men loggen kan også rumme spor af nylige ændringer.
journald
Logsystemet på Linux-distributioner med systemd. Gemmer binære journalfiler i /var/log/journal, eller kun i hukommelsen under /run/log/journal, hvis vedvarende lagring ikke er slået til.
→ Linux-servere i undersøgelser
Jump lists
Windows’ lister over senest åbnede filer pr. program. Kan rumme stier, tider og volumeinformation.
KnowledgeC
Database på iOS og macOS over app-brug, skærmtilstand og andre hændelser. Har på nyere versioner mistet betydning til fordel for Biome.
→ iPhone-artefakter: Biome og placeringsdata
Kommissorium (teknisk)
Den skriftlige afgrænsning af en analyseopgave: spørgsmål, datakilder, periode og forventet leverance. Gør det muligt at vurdere bagefter, om undersøgelsen besvarede det, den skulle.
Konklusionsgrad
Den skala, en rapport bruger til at udtrykke, hvor stærkt data støtter en hypotese.
Kontaminering
Ændringer, som undersøgelsen selv påfører et system, for eksempel nye logposter, ændrede adgangstider eller installerede værktøjer. Skal minimeres og dokumenteres, så de kan skilles fra de oprindelige spor.
→ Kontaminering: undersøgelsens egne spor
L-M
LevelDB
Nøgle-værdi-database, som Chromium-baserede browsere og Electron-apps bruger til blandt andet Local Storage og IndexedDB. Slettede poster kan ligge tilbage i logfiler og ældre tabelfiler, indtil databasen komprimeres.
→ Plist, LevelDB og andre app-formater
Likelihood ratio
Forholdet mellem sandsynligheden for et fund under to konkurrerende hypoteser. Bruges til at udtrykke beviskraft.
Live response
Indsamling af data fra en kørende maskine, typisk RAM, processer og netværksforbindelser.
LNK-fil
Genvejsfil, som Windows opretter, når en fil åbnes. Rummer målstien, tidsstempler og volumeoplysninger, også når målfilen er slettet.
Loadfil (load file)
Fil, der følger en eDiscovery-produktion og beskriver hvert dokument med metadata, kontrolnummer og stier til tekst, native fil og billeder. Gør det muligt at indlæse produktionen i et gennemgangsværktøj.
→ Produktion af data og loadfiler
$LogFile
NTFS’ transaktionslog over metadataændringer, som bruges til at genoprette filsystemet efter nedbrud. Dækker typisk kun en kort periode på et aktivt system, men kan vise detaljerede ændringer, der ikke findes andre steder.
Logisk udtræk (logical extraction)
Udtræk fra en mobiltelefon via telefonens egne backup- og synkroniseringsfunktioner. Giver de data, en backup indeholder, men ikke apps’ interne filer og slettede data uden for backuppen.
Logintegritet
Evnen til at vise, at en log ikke er ændret efter registreringen.
Logkorrelation
Sammenkobling af hændelser fra flere logkilder via fælles felter som tid, bruger, IP-adresse eller session. Kræver, at tidszoner og urafvigelser er afklaret først.
Logrotation
Automatisk udskiftning eller overskrivning af gamle logposter, når en grænse for størrelse eller tid er nået.
Lookalike-domæne
Domæne, der ligner et rigtigt domæne, for eksempel med byttede bogstaver eller et andet topdomæne. Registreringsdata og certifikatlogs kan vise, hvornår det blev oprettet og taget i brug.
MACB
Forkortelse for modified, accessed, changed og born, de fire tidsstempler, der bruges i tidslinjer.
MailItemsAccessed
Hændelse i Microsoft 365’s mailbox-auditlog, der registrerer adgang til mails, både ved åbning af enkelte mails og ved synkronisering af hele mapper.
Masterkopi
Den første verificerede kopi, der opbevares urørt og kun bruges til ny verifikation.
MBOX
Filformat, hvor mange mails ligger i én tekstfil. Bruges blandt andet af Google Takeout.
MDM (mobile device management)
System til administration af mobilenheder og computere, for eksempel Intune. Kan give inventar, compliance-data og log over fjernsletning.
Memory forensics (hukommelsesanalyse)
Analyse af en RAM-kopi, der kan vise kørende processer, netværksforbindelser, indlæste moduler og kode, der aldrig blev skrevet til disk.
Message trace
Mailserverens log over levering af mails, uden indhold.
→ Message trace og transportlogs
Message-ID
Unik identifikation, som det afsendende system giver hver mail, og som står i headeren. Bruges sammen med In-Reply-To og References til at finde samme mail i flere postkasser og til at samle mailtråde.
→ Mailtråde, Message-ID og familier
MFA (multifaktorgodkendelse)
Login, der kræver mere end en adgangskode, for eksempel en app-godkendelse eller en kode. Loggen viser metode og resultat, og nye MFA-metoder på en konto er et vigtigt spor ved overtagelse.
→ MFA-ændringer og betinget adgang
MFT ($MFT)
NTFS’ hovedtabel med en post for hver fil og mappe, herunder navne, størrelser og tidsstempler.
MFT-post (MFT record)
Den enkelte post i $MFT, typisk på 1.024 bytes, med attributter som $STANDARD_INFORMATION, $FILE_NAME og $DATA. Meget små filer kan ligge direkte i posten (resident data) og overleve sletning der.
MOTW (Mark of the Web)
Windows’ markering af filer hentet fra internettet, gemt i den alternative datastrøm Zone.Identifier. Styrer advarsler og beskyttet visning og kan vise kilde-URL, men forsvinder ved visse kopieringer og udpakninger.
→ Downloads og Mark of the Web
Målrettet indsamling (targeted collection)
Sikring af udvalgte filer, mapper, postkasser eller artefakter frem for hele medier. Hurtigere og mere skånsom, men det, der ikke blev valgt, kan ikke analyseres senere.
N-P
NAT (network address translation)
Oversættelse af interne adresser til en eller flere offentlige adresser i en firewall eller router. Firewallens NAT-log er nødvendig for at koble en udadgående forbindelse til den interne enhed.
→ Firewall-logs: sessioner og NAT
Near-duplicate
Dokumenter, der ikke er identiske, men har næsten samme tekst, for eksempel flere udkast af samme kontrakt. Grupperes efter en lighedsprocent, så de kan gennemgås samlet.
→ Deduplikering og near-duplicates
NetFlow
Opsummerede data om netværksforbindelser: adresser, porte, tidspunkter og datamængder, men uden indhold.
NIST SP 800-86
Amerikansk vejledning i at integrere forensiske teknikker i incident response, med faserne indsamling, undersøgelse, analyse og rapportering.
→ ISO/IEC 27037 og NIST SP 800-86
Normalisering (logdata)
Ensretning af logdata fra forskellige kilder til fælles feltnavne, tidsformat og tidszone. Nødvendig for korrelation, men den oprindelige rådata skal bevares ved siden af.
NSRL (National Software Reference Library)
Amerikansk referencesamling af hashværdier for kendt software, udgivet af NIST. Bruges til at filtrere kendte programfiler fra, så analysen kan koncentrere sig om brugerdata.
NTFS
Windows’ standardfilsystem med $MFT, journaler, alternative datastrømme og to sæt tidsstempler pr. fil. Rummer mange af de spor, der bruges i Windows-undersøgelser.
NTUSER.DAT
Brugerens personlige registreringsfil i Windows med blandt andet MRU-lister, UserAssist og shellbags.
OAuth-samtykke
En tilladelse, en bruger eller administrator giver en app til at tilgå data. Ukendte samtykker er et typisk spor ved overtagne konti.
Objektlager (object storage)
Cloudlagring af filer som objekter i buckets eller containere, for eksempel S3 og Azure Blob. Adgangslogs og versionering skal være slået til på forhånd for at vise, hvem der hentede eller ændrede data.
→ Objektlager: adgangslogs og versionering
OCR (optisk tegngenkendelse)
Omsætning af tekst i billeder og scannede dokumenter til søgbar tekst. Fejl i OCR betyder, at søgninger kan overse dokumenter, og ikke-søgbare filer skal derfor opgøres særskilt.
Password spray
Angreb, hvor få almindelige adgangskoder prøves mod mange konti for at undgå kontospærring. Ses i loginloggen som mange mislykkede logins fra få adresser, ofte med fejlkoden 50126 i Entra ID.
→ Password spray og brute force
PCAP
Filformat for opsamlede netværkspakker med fuldt indhold.
Peer review
En anden fagpersons gennemgang af metode, fund og konklusioner før aflevering.
Photos.sqlite
Databasen bag Fotos-appen på iPhone med oplysninger om hvert billede, herunder optagetid, placering, redigeringer og oprindelse. Kan vise, om et billede er taget på enheden eller modtaget fra en anden kilde.
→ Billeder på iPhone: Photos.sqlite
PIM (Privileged Identity Management)
Funktion i Entra ID, hvor administratorroller aktiveres tidsbegrænset og eventuelt med godkendelse. Aktiveringerne logges og viser, hvem der havde hvilke rettigheder hvornår.
→ Privilegerede roller i Entra ID
Plist
Apples format til konfigurations- og datafiler, i XML eller binær form.
PowerShell-scriptlogning (script block logging)
Windows-logning af PowerShell-kode, når den køres, som event 4104 i kanalen PowerShell/Operational. Supplerer den lokale kommandohistorik, som kun findes for interaktive sessioner.
→ PowerShell-historik og scriptlogning
Prefetch
Windows-filer, der fremskynder programstart og registrerer programnavn, antal kørsler og seneste kørselstider.
→ Prefetch, Amcache og Shimcache
Processing
Behandling af indsamlede data i eDiscovery: udpakning, tekstudtræk, OCR og indeksering.
Pseudonymisering
Udskiftning af navne og identifikatorer med koder i rapporter og produktioner, så personer ikke kan identificeres uden en separat nøgle. Bruges, når fund skal deles bredere end med sagens parter.
→ Pseudonymisering og maskering
PST og OST
Outlooks datafiler. PST er en eksport eller et arkiv, OST en lokal cache af en serverpostkasse.
Purview
Microsofts samlede platform for compliance, eDiscovery, audit og opbevaringspolitikker.
→ Microsoft Purview eDiscovery
Purview Audit (Standard og Premium)
Auditfunktionen i Microsoft 365, som fører Unified Audit Log. Premium giver længere opbevaring og flere hændelsestyper end Standard, og licensen afgør derfor, hvor langt tilbage og hvor detaljeret der kan undersøges.
→ Audit Standard eller Premium
R-S
RAM-sikring
Kopi af arbejdshukommelsen på en kørende maskine med processer, netværksforbindelser og eventuelt krypteringsnøgler.
Raw (dd)
Imageformat uden metadata, en ren kopi af alle sektorer. Hash og sagsoplysninger skal derfor dokumenteres i separate filer.
→ Forensiske diskformater: raw, E01 og AFF4
RDP (Remote Desktop Protocol)
Microsofts protokol til fjernskrivebord. Spor findes blandt andet som logon af typen 10 i event 4624, i TerminalServices-logs, i registret og i klientens bitmap-cache.
→ RDP-spor
Recall og præcision
Mål for en gennemgangs kvalitet: recall er andelen af de relevante dokumenter, der blev fundet, og præcision er andelen af de fundne, der faktisk var relevante.
→ Validering af AI-assisteret gennemgang
Recoverable Items
Mappe i Exchange Online, hvor slettede elementer ligger i en periode og bevares ved hold.
RMM (remote monitoring and management)
Værktøjer, som IT-leverandører bruger til at overvåge og fjernstyre kunders maskiner. RMM-logs viser, hvem der kørte scripts eller tog fjernadgang, men ligger ofte hos leverandøren og ikke hos kunden.
→ IT-leverandørens adgang: RMM-logs
rsid (revision save ID)
Tilfældige id’er, som Word knytter til tekst ved hver redigeringssession og gemmer i dokumentets XML. Kan vise, om tekststykker er tilføjet i samme eller forskellige sessioner, og sammenlignes på tværs af dokumentversioner.
Selvindsamling (self-collection)
At en bruger eller IT-afdeling selv eksporterer data til en sag. Risikoen er manglende metadata, ufuldstændige udtræk og ingen dokumentation af, hvad der blev valgt fra.
Shellbags
Registreringsdata, der husker visningsindstillinger for mapper. Viser, at en mappe er åbnet i Stifinder, også på flytbare drev og netværksdrev.
Shimcache (AppCompatCache)
Windows’ kompatibilitetscache med stier til eksekverbare filer. Viser tilstedeværelse, men tolkningen af kørsel afhænger af version.
→ Prefetch, Amcache og Shimcache
SIEM
System, der samler, normaliserer og korrelerer logs fra mange kilder.
Skrivebeskytter (write blocker)
Hardware eller software, der forhindrer skrivning til et medie under sikring.
Slack space
Den ubrugte del af den sidste klynge, en fil optager. Kan rumme rester af tidligere data og kommer kun med i en fysisk kopi.
→ Delvist overskrevne og fragmenterede filer
sms.db
Databasen med sms og iMessage på iPhone. Rummer beskeder, vedhæftninger, samtaler og status for levering og læsning, med tidsstempler i Apples eget tidsformat.
SPF
DNS-post, der angiver, hvilke servere der må sende mail for et domæne.
→ Mail-headere, SPF, DKIM og DMARC
Spoofing
Forfalskning af afsenderoplysninger, så en mail ser ud til at komme fra en anden. Skal skelnes fra en kompromitteret konto og fra et lookalike-domæne, fordi sporene og ansvaret er forskellige.
→ Kompromitteret konto, spoofing eller lookalike
SQLite
Databaseformat, som de fleste apps bruger. Slettede rækker kan ligge i frie sider og WAL-filen.
SRUM
Windows-database (SRUDB.dat) over ressourceforbrug pr. program og bruger, herunder netværkstrafik over tid. Dækker typisk nogle uger tilbage.
→ SRUM
Stalkerware
Software, der overvåger en enhed uden brugerens viden. Beskrives kun med henblik på opdagelse og dokumentation.
Søgeterm og nærhedssøgning
Søgeord med operatorer som wildcards, AND/OR og nærhed, hvor to ord skal stå inden for et antal ord fra hinanden. Danske bøjningsformer og sammensatte ord kræver særlig omhu i syntaksen.
Sysmon (System Monitor)
Gratis Windows-tjeneste fra Microsoft Sysinternals, der logger detaljerede hændelser som procesoprettelse, netværksforbindelser og filoprettelse i sin egen hændelseskanal. Findes kun, hvis den var installeret og konfigureret før hændelsen.
→ Windows-hændelseslogs: kanaler og event-id’er
$SI og $FN
De to sæt tidsstempler i en MFT-post: $STANDARD_INFORMATION, som brugerprogrammer kan ændre, og $FILE_NAME, som opdateres under andre betingelser.
T-V
TAR (technology assisted review)
Maskinlæringsbaseret prioritering af dokumenter i en gennemgang. Nyere varianter lærer løbende af gennemgangens beslutninger (kontinuerlig aktiv læring).
Thread-Index
Header, som Outlook og Exchange tilføjer mails, og som koder trådens starttidspunkt og et id, der forlænges ved hvert svar. Kan bruges til at samle tråde og afsløre, om en mail passer ind i den tråd, den påstås at tilhøre.
→ Mailtråde, Message-ID og familier
Tidslinje
Samling af hændelser fra flere kilder på en fælles tidsakse.
Time Machine
Backupfunktionen i macOS. Når den er slået til, laves der også lokale APFS-snapshots på selve Mac’en, så tidligere tilstande kan findes uden backupdisken.
Timestomping
Ændring af en fils tidsstempler for at skjule, hvornår den blev oprettet eller ændret. Kan ofte opdages ved at sammenligne $SI og $FN eller tidsstempler i dokumentets egne metadata.
Token (session token)
Bevis for en gennemført godkendelse, som giver adgang uden nyt login, indtil det udløber eller tilbagekaldes.
→ Sessioner, tokens og loginlogs
Triage
Hurtig, afgrænset indsamling og vurdering for at prioritere, hvad der skal sikres fuldt.
TRIM
Kommando, der fortæller en SSD, at blokke ikke længere er i brug. Gør gendannelse af slettede data sjælden.
UAL (Unified Audit Log)
Microsoft 365’s samlede auditlog på tværs af Exchange, SharePoint, OneDrive, Teams og Entra ID.
Unified Logs
macOS’ og iOS’ centrale logsystem med binære logarkiver, der roterer. Sikres som et samlet logarkiv, før de ældste poster forsvinder.
Unix-tid
Tidsformat, der tæller sekunder (eller milli- og mikrosekunder) siden 1. januar 1970 i UTC. Forveksling af enheden giver datoer, der er helt forkerte, og skal derfor kontrolleres ved konvertering.
Urafvigelse (clock skew)
Forskel mellem en enheds ur og den korrekte tid. Skal måles eller estimeres og korrigeres, før hændelser fra flere kilder placeres på samme tidslinje.
Usage stats (Android)
Androids registrering af app-brug og skift mellem apps i forgrund og baggrund. Kan vise, hvornår en app var i brug, og supplerer Digital Wellbeing-data.
USN-journal ($UsnJrnl)
NTFS-journal, der registrerer ændringer i filer, herunder oprettelse, omdøbning og sletning.
UserAssist
Registreringsnøgle i NTUSER.DAT, der tæller programstarter via Stifinder, med seneste tidspunkt.
→ UserAssist, RecentDocs og MRU
UTC
Koordineret universaltid. Den fælles tidsakse, analysen normaliseres til.
Validering og verifikation
Validering viser, at en metode er egnet til formålet. Verifikation viser, at et værktøj gav det forventede resultat i den konkrete brug.
Versionshistorik
Tidligere versioner af en fil, som en cloudtjeneste gemmer ved ændringer, for eksempel i SharePoint, OneDrive og Google Drive. Antal og opbevaringstid afhænger af indstillinger og politikker.
Volume Shadow Copy (VSS)
Windows-snapshots af et volume, som kan rumme tidligere versioner af filer.
VPN-log
Log fra en VPN-server over sessioner med bruger, offentlig kildeadresse, tildelt intern adresse og datamængde. Kobler intern aktivitet til en bestemt konto og forbindelse udefra.
→ VPN-logs
W-Å
WAL (write-ahead log)
SQLite-fil, hvor ændringer skrives, før de flettes ind i databasen. Kan rumme data, der ikke længere findes i hovedfilen.
WARC
Standardformat til arkivering af websider med HTTP-svar og metadata.
→ Webarkivering i forensisk kvalitet
Webserverlog
Adgangslog fra en webserver som IIS, Apache eller Nginx med tidspunkt, klientadresse, forespørgsel, statuskode og user agent. Tidszonen varierer mellem servertyper, og bag en proxy eller CDN står den rigtige klientadresse ofte i et separat felt.
Windows Recall
Funktion på nyere Windows-pc’er med AI-hardware, der gemmer skærmbilleder og tekst fra brugerens aktivitet lokalt og krypteret. Kan være en datakilde, hvis funktionen var slået til, men adgangen kræver brugerens godkendelse.
→ Windows Recall som datakilde
Windows Search-indeks
Windows’ søgedatabase (Windows.edb eller på nyere versioner en SQLite-database) med indekserede filer, mails og egenskaber. Kan rumme spor af filer, der siden er slettet.
XMP (Extensible Metadata Platform)
Adobes XML-baserede metadataformat, som kan ligge i billeder, PDF’er og andre filer. Kan rumme redigeringshistorik og dokument-id’er, der viser, at en fil er afledt af en anden.
Zone.Identifier
Alternativ datastrøm i NTFS, der bærer Mark of the Web og markerer, at en fil er hentet fra internettet, ofte med kilde-URL.
→ Downloads og Mark of the Web
Ændringshistorik
Systemets registrering af tidligere værdier for felter eller dokumenter, for eksempel i et CRM eller et ticketsystem.
Læs videre
Kilder og versioner
- NIST: Computer Security Resource Center Glossary
- NIST: National Software Reference Library (NSRL)
- IETF: RFC 6376 (DKIM) og RFC 8617 (ARC)
- Microsoft Learn: Continuous access evaluation
- Microsoft Learn: Sysmon
Senest gennemgået: oktober 2026.
Brug for en forensisk undersøgelse?
Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.
