Acquisition: sikringsmetoderne samlet

Sikringen er det eneste trin i en undersøgelse, der ikke kan gøres om. En analyse kan gentages, en rapport kan skrives om, men hvis data ændres eller går tabt under sikringen, er de væk. Derfor handler valget af metode om mere end teknik: Det er en afvejning af, hvad sagen kræver, hvad enheden tillader, og hvad det koster at vente.

Det klassiske ideal er et fuldt, bit for bit-image af en slukket disk taget gennem en skrivebeskytter. Det er stadig den bedste metode, hvor den kan bruges. Men moderne enheder er krypterede, telefoner kan ikke kopieres som diske, servere kan ikke stoppes, og cloud har ingen disk. I praksis vælges metoden ud fra situationen, og det afgørende er, at valget begrundes, og at det, der ikke kom med, dokumenteres.

Metoderne og hvornår de bruges

Fuldt image (fysisk) · Hvornår: Computer eller disk, der kan slukkes og tilgås · Begrænsning: Krypterede og loddede diske kræver nøgle eller tændt maskine · Læs mere: Forensisk image trin for trin
Logisk sikring · Hvornår: Tændt, krypteret maskine; Mac; filsystemkopi · Begrænsning: Slettede data og ikke-allokeret plads kommer ikke med · Læs mere: Fysisk, logisk eller målrettet sikring
Målrettet indsamling · Hvornår: Afgrænset sag; postkasser, mapper, udvalgte artefakter · Begrænsning: Det, der ikke blev valgt, kan ikke undersøges senere · Læs mere: Målrettet indsamling
Live response og RAM · Hvornår: Tændt system med flygtige data, fx processer og netværk · Begrænsning: Selve indsamlingen ændrer systemet lidt · Læs mere: Live response og Hukommelsessikring
Fjernindsamling · Hvornår: Maskiner på andre adresser eller i drift · Begrænsning: Afhænger af netværk og agent · Læs mere: Fjernindsamling
Mobiludtræk · Hvornår: Telefoner og tablets · Begrænsning: Hash kan ikke gentages; adgang kræver kode · Læs mere: Udtræk fra mobiltelefoner
Cloud- og API-eksport · Hvornår: Microsoft 365, Google, SaaS og cloud · Begrænsning: Afhænger af licens, rettigheder og logopbevaring · Læs mere: Cloud-forensic via API
Snapshot · Hvornår: Virtuelle maskiner og cloud-diske · Begrænsning: Tidspunkt og konsistens skal dokumenteres · Læs mere: Virtuelle maskiner og servere
Triage · Hvornår: Hurtigt overblik før beslutning om fuld sikring · Begrænsning: Erstatter ikke en sikring, hvis sagen vokser · Læs mere: Triage eller fuld kopi

Det, der gælder for alle metoder

Rækkefølge efter flygtighed. Det, der forsvinder først, sikres først: hukommelse før disk, roterende logs før arkiver. Se Flygtighedsorden.
Verifikation med hash. Kopien verificeres mod kilden eller, hvor det ikke kan lade sig gøre, mod udtræksfilerne. Se Hashalgoritmer og Når hashværdien ikke stemmer.
Kæde af ansvar. Hvem havde data, hvornår, og hvad blev der gjort. Se Chain of custody-loggen og skabelonen Bevislog.
Masterkopi og arbejdskopi. Analysen sker aldrig på originalen eller på masterkopien. Se Arbejdskopier og masterkopi.
Kryptering håndteres lovligt. Nøgler fås fra ejeren, administratoren eller den centrale nøglehåndtering. Se Krypterede data i en undersøgelse.

Typiske fejlkilder

Maskinen slukkes eller genstartes uden overvejelse. Det kan låse krypterede data og slette hukommelsen. Se Sluk, isolér eller lad den køre?.
Brugeren eksporterer selv. Selvindsamlede data mangler metadata og kan være påvirket. Se Selvindsamling.
Netværksdrev kopieres med almindelige værktøjer. Tidsstempler ændres, og fuldstændigheden kan ikke vises. Se Kopiering af netværksdrev.
Store datamængder undervurderes. Multi-terabyte-systemer kræver planlægning af tid, lager og verifikation. Se Store datamængder.
Defekte diske behandles som raske. Gentagne læseforsøg kan forværre skaden. Se Defekte og fejlende diske.

Hvor man starter

Afklar først, hvad sagen handler om, og hvilke enheder og konti der kan rumme svaret; Identifikation af datakilder giver strukturen. Notér derefter, hvilke enheder der er tændte, krypterede eller i drift, og vælg metode for hver. Tjekliste: forensisk sikring af en computer og Tjekliste: tekniske trin ved sikring af en mobiltelefon er de praktiske udgangspunkter. Skal sikringen ske på afstand, beskriver Fjernsikring: forberedelse, hvilke adgange og oplysninger der skal være klar.

Når det skal være en opgave

Forensisk sikring Sikring af computere, servere og konti; sikring nu, undersøgelse senere.

Sikring og kæde af ansvar

Forensiske diskformater: raw, E01 og AFF4 Raw, E01 eller AFF4? Formatet ændrer ikke beviset, men det afgør, hvor let integriteten dokumenteres. Opbygning, metadata, hash og valg i praksis.
Skrivebeskyttere (write blockers): hvordan og hvorfor En skrivebeskytter lader disken læse, men ikke ændre under sikringen. Sådan virker hardware og software, hvor grænserne går, og hvordan brugen valideres.
Hukommelsessikring (RAM): hvad hukommelsen rummer, og hvordan den sikres RAM i en tændt computer kan rumme krypteringsnøgler, processer og netværksforbindelser, der forsvinder ved slukning. Her er, hvornår og hvordan RAM sikres.
Identifikation af datakilder: teknisk kortlægning før sikringen Hvilke data skal sikres? Sådan kortlægges endpoints, servere, cloud, SaaS, logs, backup og skygge-IT teknisk, før noget ændres eller forsvinder.
Flygtighedsorden: hvad skal sikres først? Flygtighedsordenen afgør rækkefølgen fra netforbindelser og processer til disk, logs og backup. Sådan bruges den på computere, servere og i cloud i dag.
Triage eller fuld kopi: hvornår er et hurtigt overblik nok? Triage giver hurtige svar fra udvalgte artefakter, men kan overse og ændre data. Hvornår triage er nok, og hvornår en fuld kopi af mediet er nødvendig.
Fysisk, logisk eller målrettet sikring: valg af metode Fysisk kopi, logisk kopi eller målrettet indsamling? Hvad hver metode udelukker, hvornår den er nok, og et beslutningstræ til valget i en civil sag.
Forensisk image trin for trin: fra kilde til verificeret kopi Sådan laves et forensisk image: forberedelse, skrivebeskyttelse, identifikation, valg af format, hash under sikringen, verifikation og dokumentation.
Målrettet indsamling af filer, mapper og postkasser Målrettet indsamling henter kun udvalgte filer, mapper og postkasser. Sådan bevares metadata, og sådan dokumenteres filtre og hashmanifest korrekt.
Live response: sikring af en kørende computer eller server Live response sikrer processer, netforbindelser, brugere og volumener fra et kørende system. Sådan gøres det med mindst mulig påvirkning og en fuld log.
Fjernindsamling via agent eller netværk Fjernindsamling via agent eller netværk sikrer data uden fremmøde. Hvornår det er forsvarligt, hvordan integriteten holdes, og hvilke spor agenten sætter.
Sluk, isolér eller lad den køre? Beslutningen ved en tændt enhed Sluk, isolér eller lad den køre? Beslutningen ved en tændt computer, server eller telefon afhænger af kryptering, flygtige data og fjernsletning.
Selvindsamling: når brugeren selv eksporterer data Når en bruger selv eksporterer mails, chats eller filer, mangler der ofte metadata, filtre og hashværdier. De tekniske risici, og hvordan de afbødes.
Kopiering af netværksdrev og filshares uden at ændre tidsstempler Almindelig kopiering af et netværksdrev ændrer oprettelsestid, rettigheder og metadata. Hvad der ændres, hvordan det undgås, og hvordan det dokumenteres.
Store datamængder: forensisk kopi af multi-terabyte-systemer Et forensisk image på mange terabyte kræver planlægning af tid, kapacitet, kompression, opdeling og verifikation. Sådan holdes kopien kontrollerbar.
Defekte og fejlende diske: dataredning eller forensic? En fejlende disk kan ofte sikres, men hver læsning kan forværre skaden. Ulæste sektorer, dokumentation og risici, når et dataredningsfirma skal involveres.
Teknisk kommissorium: fra spørgsmål til afgrænset analyseopgave Et teknisk kommissorium oversætter sagens spørgsmål til tidsrum, personer, kilder og spørgsmål, der kan besvares teknisk. Sådan skrives og bruges det.
Chain of custody-loggen: felter, hændelser og hashreferencer Hvilke felter skal en chain of custody-log have, hvilke hændelser skal med, og hvordan kobles loggen til hashværdier og afledte kopier? Teknisk gennemgang.
Mærkning, forsegling og fotodokumentation af medier Sådan mærkes, forsegles og fotograferes computere, telefoner og lagermedier ved en civil sikring, så det kan vises, at intet er byttet om eller åbnet.
Arbejdskopier og masterkopi: hvorfor originalen aldrig analyseres I digital forensics analyseres aldrig originalen og sjældent masterkopien. Sådan bygges kopi-hierarkiet, og sådan verificeres hver generation af kopier.
Overførsel af beviskopier: kryptering, transportmedie og kvittering Når en beviskopi skal fra én part til en anden, skal den krypteres, transporteres sikkert og kontrolleres ved modtagelsen. Gennemgang med kvittering.
Opbevaring af beviskopier: lagring, kryptering og adgangskontrol Teknisk opbevaring af forensiske kopier: valg af lagring, kryptering i hvile, nøglehåndtering, adgangskontrol og adskillelse mellem sagerne.
Sikker sletning af beviskopier, og hvordan sletningen dokumenteres Sådan slettes forensiske kopier sikkert på HDD, SSD og i cloud, og sådan dokumenteres sletningen med et slettecertifikat, der kan efterprøves bagefter.
Langtidsopbevaring: kan beviskopien læses om ti år? Kan en forensisk kopi læses om ti år? Valg af format og medie, periodisk hashkontrol, migrering og nøgler, så kopien kan bruges, når sagen dukker op igen.
Logning af analytikerens egen adgang til beviskopier Logning af analytikerens egen adgang til beviskopier giver sporbarhed for, hvem der har åbnet, søgt i og eksporteret hvad. Kilder, felter og integritet.
Tilbagelevering af originalmedier og dokumentation af tilstand Når en computer, telefon eller disk leveres tilbage efter en forensisk sikring, afsluttes kæden af ansvar. Sådan dokumenteres tilstand og kvittering.
Vi har allerede rørt maskinen: hvad der stadig kan reddes IT har logget ind, scannet, genstartet eller nulstillet maskinen. Her er, hvad hver handling ændrer teknisk, og hvilke spor der typisk stadig kan sikres.
Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD Roller til en ekstern IT-sagkyndig i Entra ID, Purview, Google Workspace og AD: mindst mulige rettigheder, tidsbegrænsning, logning og fjernelse.
Når MSP’en henvender sig på kundens vegne Når MSP’en kontakter en IT-sagkyndig for kunden: hvem er opdragsgiver, konflikttjek, ejerskab af beviskopier, hvem får rapporten og teknisk overdragelse.
RMM-værktøjet som sikringsværktøj Kan MSP’ens RMM-værktøj bruges til at sikre spor? Hvad agenten ændrer på endpointet, hvordan indsamlingen dokumenteres, og hvornår den ikke bør bruges.
MSP’ens egen rolle: adskillelse af drift og undersøgelse Når MSP’ens egne konti, værktøjer eller opgaver indgår i en hændelse: fastfrys egne ændringer, eksportér egne logs og lad en uvildig sikre resten.
Fælles sikring med modpartens sagkyndige: protokol Protokol for fælles sikring med modpartens IT-sagkyndige: roller, metode, hashudveksling på stedet, forsegling, kopier til begge parter og uenighed undervejs.
Sikring før en tenant lukkes Hvad der forsvinder, når en Microsoft 365- eller Google Workspace-tenant lukkes ved konkurs, opkøb eller ophør, og i hvilken rækkefølge data sikres.
E01-image: montering og verifikation Sådan monteres en E01-kopi skrivebeskyttet og verificeres mod sikringsrapporten. Lagene, offset, hashværdier, fejlmeddelelser og dokumentation.

Hash, tid og tidslinjer

Hashalgoritmer i forensic: MD5, SHA-1 og SHA-256 MD5 og SHA-1 har kendte kollisioner, men en forensisk kopi kan ikke derfor forfalskes. Forskellen på kollision og second preimage, og hvad der bør bruges.
Tidslinjeanalyse: metode, kilder og faldgruber En tidslinje samler tidsstempler fra filsystem, logs, cloud og telefoner i én rækkefølge. Sådan bygges den, og her opstår fejlene typisk i fortolkningen.
Når hashværdien ikke stemmer: årsager og håndtering Når to hashværdier ikke passer, er kopien ikke nødvendigvis forkert. De typiske årsager, hvordan afvigelsen fejlsøges, og hvordan den dokumenteres.
Mobiludtræk og cloud-eksporter: hvorfor hashværdien ikke kan gentages Et nyt udtræk af samme telefon eller konto giver en ny hashværdi. Hvorfor det er normalt, og hvordan integriteten vises på fil- og elementniveau.
Hashmanifest for filsamlinger og produktioner Et hashmanifest giver hver fil sin egen hashværdi, så modtageren kan kontrollere hele samlingen. Format, indhold, faldgruber og kontrol hos modtageren.
Hashlister og kendte filer: filtrering med referencesæt Hashlister frasorterer kendte systemfiler og finder bestemte filer igen. Sådan virker NSRL og egne referencesæt, og hvor filtreringen kan gå galt.
Fuzzy hashing: når en fil næsten er den samme Fuzzy hashing finder filer, der næsten er ens, hvor almindelig hash kun finder identiske. Sådan virker ssdeep og TLSH, og hvad en lighedsscore kan bære.
Tidsstempelformater: FILETIME, Unix, Apple og WebKit, og konvertering Et tidsstempel er et tal fra en bestemt epoke i en bestemt enhed. Oversigt over FILETIME, Unix, Apple og WebKit, og fejlene ved konvertering.
Hvad sker der med tidsstemplerne ved kopiering, zip, upload og mail? Kopiering, zip, upload og mail ændrer filens tidsstempler på hver sin måde. Hvad der bevares, hvad der skifter, og hvordan det undgås at blive fejltolket.
Sommertid og tidszoner i rapporten: UTC og den dobbelte time Tidszoner og sommertid giver forskydninger og en time, der findes to gange. Sådan normaliseres tider og angives entydigt i en forensisk rapport.
Når enhedens ur går forkert: urafvigelse og korrektion Et forkert systemur forskyder alle lokale tidsstempler. Sådan måles urafvigelsen, hvilke spor der viser tidsændringer, og hvordan der korrigeres.
Server-tid og klient-tid i cloud og apps Et tidsstempel kan være sat af enheden, serveren eller logplatformen. Sådan afgøres det, hvilket ur og hvilken hændelse tiden hører til i en sag.
Oprettet, ændret, åbnet: hvad fildatoerne betyder Oprettet er, hvornår filen kom til på drevet, ændret er seneste indholdsændring, og åbnet er ofte upålidelig. Sådan læses fildatoerne rigtigt.
Hash af en fil: Get-FileHash, certutil og sha256sum Sådan beregnes SHA-256 af en fil i Windows, macOS og Linux med indbyggede kommandoer, og sådan dokumenteres resultatet, så det kan efterprøves.

Gendannelse og kryptering

SSD, TRIM og gendannelse af slettede filer Slettede filer kan ofte gendannes fra en harddisk, men sjældent fra en SSD. Sådan virker TRIM og garbage collection, og disse spor findes stadig.
BitLocker og FileVault i bevissikring: nøgler og lovlig adgang En krypteret disk kan kun undersøges med den rigtige nøgle. Sådan virker BitLocker og FileVault, hvor gendannelsesnøglerne ligger, og hvad det betyder.
File carving: gendannelse af filer uden filsystem File carving finder slettede filer ud fra indholdet, når filsystemet ikke længere peger på dem. Sådan virker metoden, og hvad fundene kan bevise.
Delvist overskrevne og fragmenterede filer: hvad kan konkluderes? Et fragment af en slettet fil viser, at et indhold har været på mediet, men sjældent mere. Sådan vurderes fragmenter og beskrives uden overfortolkning.
USB-nøgler, SD-kort og flashmedier: gendannelse og begrænsninger USB-nøgler og SD-kort opfører sig anderledes end både harddiske og SSD’er. Sådan påvirker controller, FAT og exFAT gendannelsen af slettede filer.
Tidligere versioner i cloud: versionshistorik, papirkurv og opbevaring Versionshistorik, papirkurve og opbevaringspolitikker i cloudtjenester kan bringe tidligere tilstande frem. En metode, der virker på tværs af tjenesterne.
Krypterede data i en undersøgelse: de lovlige adgangsveje Kryptering er standard på computere, telefoner og i cloud. Overblik over de lovlige veje: deponerede nøgler, administratoradgang, samtykke og kendelse.
Krypterede containere og arkiver: identifikation og dokumentation Krypterede containere, arkiver og dokumenter skal identificeres og dokumenteres. Kendetegn, spor efter brug, fejlkilder og lovlig adgang med nøglen.
Når nøglen mangler: dokumentation af utilgængelige data Når en nøgle mangler, eller data ikke kan åbnes af andre grunde, skal rapporten sige det præcist og uden spekulation. Hvad der kan dokumenteres.
Filsystemer sammenlignet: NTFS, APFS, ext4, exFAT og ReFS Hvad NTFS, APFS, ext4, exFAT og ReFS gemmer om tid og sletning, hvordan tidsstemplerne skal læses, og hvad det betyder for gendannelse og konklusioner.
exFAT og FAT32: tidsstempler og sletning på flytbare medier Sådan fortolkes tidsstempler på exFAT og FAT32: lokal tid uden tidszone, to sekunders opløsning, kun dato for adgang, og hvad der sker med slettede filer.
Oprydningsprogrammer og sletteværktøjer: spor efter brug Systemrensere og sletteværktøjer efterlader spor af installation, kørsel, valgte indstillinger og effekt. Sådan opdages, dateres og dokumenteres de.
Formateret eller wipet? Tekniske tegn på en overskrevet disk Er disken bare formateret, eller er den overskrevet? Sådan aflæses hurtig formatering, fuld formatering, wipe og sanitize på sektorniveau, og hvad det viser.
ZFS og ReFS: copy-on-write og snapshots ZFS og ReFS i undersøgelser: hvad copy-on-write, snapshots og blokkloning betyder for sikring, gendannelse og fortolkning på NAS og Windows Server.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.