Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen
En moderne computer laver hele tiden ting, som ingen har bedt om: antivirus scanner filer, søgeindekset læser dem, synkroniseringsklienter henter og sender dem, og backup kopierer dem. Mange af disse processer efterlader de samme typer spor som en bruger, der åbner, ændrer eller kopierer en fil. Før en hændelse tilskrives brugeren, skal det derfor afprøves, om en automatisk proces kan have skabt sporet. Det gælder også i cloud, hvor automatiserede flows kan flytte og kopiere data i en brugers navn; se Power Automate og Logic Apps som skjult dataflow.
Fejlslutningen er en af de mest almindelige i forensisk arbejde, fordi analyseværktøjer præsenterer sporene ens, uanset hvem der har skabt dem.
Hvilke processer der typisk forveksles med brugeren
- Antivirus og EDR · Typiske spor: Læsning af filer, karantæne, ændret adgangstid · Hvad det kan forveksles med: At brugeren åbnede eller slettede filen
- Søgeindeksering · Typiske spor: Læsning af indhold, indeksdatabase · Hvad det kan forveksles med: At brugeren har set filen
- Cloudsynkronisering · Typiske spor: Oprettelse, ændring og sletning af lokale filer · Hvad det kan forveksles med: At brugeren kopierede eller slettede filer
- Backup og skyggekopier · Typiske spor: Læsning af store mængder filer · Hvad det kan forveksles med: Masseadgang eller kopiering
- Miniaturebilleder og forhåndsvisning · Typiske spor: Miniaturecache, læsning af filer · Hvad det kan forveksles med: At brugeren åbnede billeder eller dokumenter
- Opdateringer og installationer · Typiske spor: Prefetch, nye filer, registreringsændringer · Hvad det kan forveksles med: At brugeren startede programmer
- Mailklienter · Typiske spor: Synkronisering af mapper og vedhæftninger · Hvad det kan forveksles med: At brugeren åbnede mails eller gemte vedhæftninger
Tidsstempler, der ændres uden brugerinput
Senest tilgået
Tidsstemplet for seneste adgang er det mest misvisende. På NTFS har opdateringen af adgangstid i perioder været slået fra som standard, og på nyere versioner kan indstillingen være overladt til systemet selv, så den varierer mellem installationer. Indstillingen ligger i registreringsværdien NtfsDisableLastAccessUpdate og kan aflæses med fsutil behavior query disablelastaccess. Når opdateringen er slået til, kan en antivirusscanning eller indeksering ændre adgangstiden, medmindre programmet bevidst bevarer den. En adgangstid bør derfor kun bruges, når det er dokumenteret, at den opdateres på det konkrete system, og at andre processer kan udelukkes.
Ændret og MFT-ændret
Synkroniseringsklienter kan skrive filer på ny, når de henter en version fra skyen. Det kan ændre filsystemets tidsstempler og MFT-postens ændringstid, selv om indholdet er det samme. Karantæne og gendannelse fra antivirus kan flytte og genskabe filer. En ændret MFT-tid alene viser kun, at filens metadata er skrevet. → NTFS i dybden: MFT, $UsnJrnl og tidsstemplerne
Synkronisering: den største kilde til fejl
OneDrive, Google Drive, Dropbox og lignende klienter laver lokale ændringer, der afspejler handlinger på andre enheder eller i webgrænsefladen. Typiske situationer:
- En fil slettes i webgrænsefladen, og klienten sletter den lokalt. Den lokale sletning ligner en brugersletning på computeren.
- Filer gøres tilgængelige offline eller hentes ved behov. Hentningen ligner en kopiering til disken.
- En kollega ændrer et delt dokument, og den lokale kopi opdateres med ny ændringstid.
Synkroniseringsklientens egne logs og databaser kan ofte vise, om ændringen kom fra skyen eller fra den lokale enhed. Auditloggen i cloudtjenesten viser, hvilken konto og hvilken klient der udførte handlingen. Klienterne er sammenlignet i Synkroniseringsklienter: lokale spor. → OneDrive-klienten på Windows: lokale spor
Antivirus og EDR
Antivirus læser filer ved oprettelse, ved åbning og ved planlagte scanninger. Defender og andre produkter logger fund, karantæne og fjernelse. En fil, der forsvinder, kan være fjernet af antivirus, ikke af brugeren, og en fil, der dukker op i en karantænemappe, er ikke flyttet manuelt. Tjek produktets logs og karantænedata, før en sletning tilskrives en person. → Defender-logs og karantæne som kilde
EDR-telemetri kan omvendt være det bedste værktøj til at skelne: Den registrerer typisk, hvilken proces der åbnede eller ændrede en fil. Viser telemetrien, at handlingen blev udført af en systemproces, peger det væk fra brugeren.
Søgeindeks og forhåndsvisning
Windows Search læser indholdet af filer for at indeksere dem. Det betyder, at indholdet af en fil kan findes i indeksdatabasen, uden at brugeren nogensinde har åbnet filen. Forhåndsvisning i Stifinder og Outlook kan på tilsvarende måde læse filer og skabe miniaturebilleder. Tilstedeværelse i indekset eller i miniaturecachen viser derfor, at filen har været på systemet og tilgængelig for indeksering, ikke at den er set.
Backup, skyggekopier og migrering
Backupagenter læser typisk alle ændrede filer i et fast tidsvindue, ofte om natten. Det giver et mønster med mange læsninger i hurtig rækkefølge, som i en ufiltreret tidslinje kan ligne en masseeksport. Skyggekopier oprettes af systemet ved opdateringer og efter tidsplan, og en gendannelse fra en skyggekopi eller backup kan skabe filer med gamle indholdstidsstempler og nye filsystemtidsstempler. Migrering til en ny computer eller en ny profil har samme effekt i stor skala: Filerne bliver kopieret, og deres tidsstempler afspejler kopieringen, ikke brugerens arbejde. Hvis en enhed har været igennem en migrering, skal tidspunktet fastlægges, før tidsstempler fra før migreringen fortolkes. → Hvad sker der med tidsstemplerne ved kopiering, zip, upload og mail?
Mailklienter og telefoner
Outlook og andre klienter synkroniserer mapper og kan markere mails som læst via regler, forhåndsvisning eller handlinger på en anden enhed. En mail, der står som læst i postkassen, kan være åbnet på telefonen, i webgrænsefladen eller blot vist i læseruden. På telefoner skaber apps, notifikationer og baggrundssynkronisering tilsvarende spor, som ikke forudsætter, at skærmen var tændt.
Sådan skelnes system fra bruger
- Identificér processen. Hvis kilden registrerer proces eller program, fx EDR, Sysmon eller visse auditposter, er det det mest direkte spor.
- Se på mønstret. Automatiske processer arbejder ofte i store mængder, i alfabetisk eller mapperækkefølge og på faste tidspunkter. Brugere arbejder med få filer ad gangen i et uregelmæssigt mønster.
- Tjek sessionen. Var en bruger logget interaktivt på, og var skærmen låst? En handling under en låst skærm uden aktiv fjernsession peger mod en automatisk proces.
- Find bekræftende brugerspor. En brugerhandling efterlader typisk flere samtidige spor: LNK-filer, jump lists, shellbags, MRU-lister. Et isoleret tidsstempel uden andre spor er svagt.
- Afprøv adfærden. Er en bestemt systemadfærd afgørende, så genskab den på et testsystem med samme version og konfiguration, og beskriv afprøvningen.
Typiske faldgruber
- Masseadgang tolkes som kopiering. Tusindvis af filer med adgangstid inden for få minutter skyldes oftere en scanning eller backup end en person.
- Sletning i en synkroniseret mappe tolkes som lokal handling. Uden cloudsidens auditlog er kilden ukendt.
- Værktøjets tidslinje viser alle hændelser ens. En supertidslinje skelner ikke selv mellem system og bruger. Det gør analytikeren.
- Egne processer under sikringen. Live-sikring og IT-afdelingens håndtering kan også ændre tidsstempler. Det skal holdes adskilt. → Kontaminering: når undersøgelsen selv efterlader spor
Hvad analysen kan og ikke kan bevise
Ofte kan man ikke afgøre med sikkerhed, om et enkelt tidsstempel stammer fra en person eller en proces. Det, man kan, er at vise, om sporet passer bedst med det ene eller det andet, og hvilke andre spor der understøtter vurderingen. Konklusionen bør nævne de automatiske processer, der var aktive på systemet, og om de er afprøvet som forklaring.
Dokumentation
Beskriv i rapporten, hvilke automatiske processer der var installeret og aktive (antivirus, EDR, synkronisering, backup, indeksering), hvilke af deres logs der er sikret, og hvordan de er brugt til at afvise eller understøtte en brugerforklaring. Det gør vurderingen efterprøvelig og foregriber det mest oplagte modargument.
Kilder og versioner
- Microsoft Learn: fsutil behavior (disablelastaccess)
- Microsoft Learn: File Times
- NIST IR 8354: Digital Investigation Techniques: A NIST Scientific Foundation Review
Senest gennemgået: oktober 2026.
Næste skridt
- Bias i forensisk analyse: bekræftelsesbias og kontekstinformation
- Hvem slettede filen? Spor på fil-, server- og cloudniveau
- Memory forensics: hvad en RAM-kopi kan vise
Del af: Analyse og fortolkning
Læs også: Hvem sad ved tastaturet? Attribution af brugerhandlinger · Fravær af spor: hvad betyder det, at intet blev fundet? · Teknisk ordbog
→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
