Sluk, isolér eller lad den køre? Beslutningen ved en tændt enhed

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Når en tændt computer, server eller telefon skal sikres, er der tre muligheder: slukke den, isolere den fra netværket eller lade den køre uændret, indtil den er sikret. Der findes ikke ét rigtigt svar. Beslutningen afhænger af tre forhold: om disken er krypteret og i øjeblikket låst op, om der er flygtige data i hukommelsen og på netværket, som sagen afhænger af, og om nogen udefra kan ændre eller slette data, mens enheden er tændt. Det gamle råd om altid at trække stikket er forældet, fordi fuld diskkryptering har gjort en slukket maskine til en låst maskine.

Haster det? Hukommelse, netforbindelser og en oplåst disk går tabt, så snart nogen slukker, genstarter eller geninstallerer maskinen. Se Akut forensisk sikring; hastesager koster ekstra.

Denne artikel handler om selve beslutningen. Udførelsen står i egne artikler: hukommelsen i RAM-dump: hukommelsessikring, sikring fra et kørende system i Live response og den generelle rækkefølge i Flygtighedsorden: hvad skal sikres først?.

Hvad der går tabt ved hver mulighed

Slukke · Hvad der typisk går tabt: Hukommelse, netforbindelser, adgang til ulåst krypteret disk · Hvad der typisk bevares: Disken i sin nuværende tilstand
Isolere · Hvad der typisk går tabt: Forbindelser til fjernservere, cloudsynkronisering · Hvad der typisk bevares: Hukommelse, ulåst kryptering, lokale processer
Lade køre · Hvad der typisk går tabt: Intet med det samme, men data ændres løbende · Hvad der typisk bevares: Alt, indtil noget ændres udefra eller af systemet

Ingen af mulighederne er neutrale. Selv en enhed, der bare står, ændrer sig: logfiler roterer, synkronisering henter og sletter, planlagte opgaver kører, og systemet skriver til disken.

Kryptering er ofte det afgørende

Er disken krypteret med BitLocker, FileVault eller tilsvarende, og er den låst op, fordi brugeren er logget på, kan en sikring af den kørende maskine give adgang til data, som en slukket maskine ikke giver uden nøgle. Før en slukning bør du derfor afklare:

Er disken krypteret? Status kan aflæses på den kørende maskine.
Findes gendannelsesnøglen et lovligt tilgængeligt sted, fx i virksomhedens Entra ID, Active Directory eller MDM?
Er der andre krypterede volumener eller containere monteret, som ikke har en central nøgle?

Hvis nøglen findes og er kontrolleret, falder vægten af kryptering. Hvis den ikke findes, er en logisk kopi af den monterede volumen, mens maskinen kører, ofte det eneste realistiske valg. Lovlige adgangsveje og nøglernes placering er beskrevet i BitLocker og FileVault i bevissikring.

Flygtige data

Hukommelsen kan indeholde krypteringsnøgler, åbne dokumenter, chatvinduer, kommandohistorik og spor af programmer, der aldrig er skrevet til disken. Netforbindelser viser, hvem maskinen talte med i det øjeblik. Er sagens spørgsmål af den slags, fx en mistanke om fjernadgang eller skadelig kode, taler det for at lade maskinen køre, indtil RAM og live-oplysninger er sikret. Handler sagen om dokumenter på disken, fx filer kopieret før en fratræden, betyder hukommelsen typisk mindre. Hvad analysen af en RAM-kopi kan give, står i Memory forensics. → Hukommelsessikring (RAM)

Risiko udefra

En tændt, netværkstilsluttet enhed kan påvirkes af andre:

Fjernsletning: Telefoner og bærbare kan slettes via MDM, Find My, Google-kontoen eller en tilsvarende tjeneste, så snart de har forbindelse.
Angriberen er stadig inde: Ved en hændelse kan en angriber se, at noget sker, og slette spor eller kryptere data.
Synkronisering: Cloudklienter kan synkronisere sletninger fra andre enheder ned på maskinen.
Brugeren: En bruger med adgang fra en anden enhed kan ændre data i cloud, som vises lokalt.

Er der en reel risiko af den slags, er isolation ofte det bedste kompromis: Netværket afbrydes, men maskinen holdes tændt. Isolation kan ske ved at trække kablet, slå Wi-Fi fra, sætte telefonen i flytilstand eller lægge den i en afskærmende pose, eller via EDR-systemets isoleringsfunktion. Hver metode har bivirkninger. Flytilstand kræver betjening af en låst telefon, en afskærmende pose kan få telefonen til at bruge strøm hurtigere, og EDR-isolering ændrer netværksopsætningen og registreres i systemets logs. → Isolering og genopsætning: hvad sker der med artefakterne?

Telefoner

Telefoner er særlige, fordi de krypterer data og kræver adgangskode efter genstart. En telefon, der har været låst op siden seneste genstart, giver typisk flere muligheder ved et udtræk end en, der er genstartet. Lad derfor en tændt telefon være tændt, isolér den fra netværk, og sørg for strøm, indtil den kan sikres. Slukker den, så notér tidspunktet. Nyere versioner af både iOS og Android kan desuden selv genstarte en telefon, der har været låst i en periode, og så er den i samme tilstand som efter en almindelig genstart. Tiden frem til et udtræk kan derfor være kort, selv om telefonen forbliver tændt. Udtræksmetoderne er beskrevet i Udtræk fra mobiltelefoner.

Servere og virtuelle maskiner

For servere er spørgsmålet sjældent kun teknisk. En nedlukning kan stoppe produktion, betalinger eller kundeadgang, og forretningen vil ofte presse på for at holde systemet kørende eller få det genetableret hurtigt. Det taler for live response og sikring af den kørende tilstand, efterfulgt af en kopi af diske eller virtuelle diske, mens systemet kører, eller i et aftalt vindue.

Virtuelle maskiner har en ekstra mulighed: Hypervisoren kan sætte maskinen på pause eller tage et snapshot med hukommelse. Det fryser tilstanden uden at køre kommandoer inde i maskinen. Snapshottet skal kopieres ud af hypervisoren og hashes, før det slettes eller konsolideres, og handlingen skal noteres, fordi den ændrer maskinens filer på værten. → Virtuelle maskiner og servere

For fysiske servere med RAID-controllere gælder desuden, at en nedlukning kan betyde, at den logiske volumen senere skal genskabes fra de enkelte diske. Det er muligt, men tidskrævende og fejlbehæftet. En logisk kopi fra det kørende system kan derfor være det mest pålidelige valg, suppleret med dokumentation af controllerens opsætning.

Når slukning er det rigtige

Der er situationer, hvor slukning er det bedste valg:

Disken er ikke krypteret, eller nøglen er sikret, og hukommelsen er uden betydning for spørgsmålet.
Der kører en aktiv destruktiv proces, fx kryptering fra ransomware eller en igangværende sletning.
Maskinen kan ikke isoleres pålideligt, og risikoen for fjernpåvirkning er høj.

Ved en aktiv destruktiv proces kan det være bedre at afbryde strømmen direkte end at lukke ned via styresystemet, fordi en normal nedlukning kører scripts og skriver til disken. En hård afbrydelse kan til gengæld efterlade filsystemet i en inkonsistent tilstand. Valget skal begrundes, og konsekvensen beskrives.

En enkel beslutningsrækkefølge

Notér enhedens tilstand: tændt, låst eller ulåst, hvad vises på skærmen, hvad er tilsluttet. Fotografér skærmen.
Vurdér risikoen udefra. Er den høj, isolér med det samme og notér metoden.
Afklar kryptering og nøgler.
Afgør, om flygtige data er relevante for spørgsmålet.
Sikr i flygtighedsorden: hukommelse og live-oplysninger først, derefter disk. → Flygtighedsorden
Sluk først, når det, der kun findes i den kørende tilstand, er sikret, eller når det er besluttet, at det ikke er nødvendigt.

Fejlkilder

At nogen “lige tjekker” maskinen, før beslutningen er taget, og derved ændrer hukommelse, logs og tidsstempler.
At slukke en krypteret maskine uden at have kontrolleret, at gendannelsesnøglen virker.
At lade en telefon gå i dvale og låse sig, fordi ingen tænkte på strøm.
At isolere via en metode, der kræver, at nogen logger på maskinen.
At glemme, at dvaletilstand skriver hukommelsen til disken og dermed både bevarer og overskriver data; se Hiberfil, pagefile og swap.

Dokumentation

Beslutningen er selv en del af beviset. Skriv ned, hvilken tilstand enheden var i, hvilke muligheder der blev overvejet, hvad der blev valgt, og hvorfor, med tidspunkt og navn. Det er langt lettere at forsvare et begrundet valg, der havde en ulempe, end et valg, ingen kan forklare. Hvordan en virksomhed i praksis afvejer at lukke en medarbejders adgange mod at bevare spor, er beskrevet på Luk adgangene med det samme, eller vent?.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Fjernindsamling via agent eller netværk · Selvindsamling: når brugeren selv eksporterer data

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik