Triage eller fuld kopi: hvornår er et hurtigt overblik nok?

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Triage i digital forensics betyder at indsamle eller gennemgå et udvalg af de mest informative artefakter hurtigt i stedet for at tage en fuld kopi af hele mediet først. Det giver svar på timer i stedet for dage, og det gør det muligt at prioritere mellem mange enheder. Prisen er, at alt det, der ikke indsamles, er væk, hvis enheden senere slettes eller returneres, og at triage på et kørende system ændrer det. Triage er derfor et bevidst valg, der skal begrundes og dokumenteres, ikke en genvej.

Hvordan triage står i forhold til fysisk, logisk og målrettet sikring, er beskrevet i Fysisk, logisk eller målrettet sikring. Her handler det om, hvornår et hurtigt overblik er forsvarligt.

Tre former for triage

Triage på stedet: en hurtig gennemgang af en kørende eller skrivebeskyttet startet maskine for at afgøre, om den er relevant, og hvad der skal sikres.
Triage-indsamling: et værktøj indsamler en fast liste af artefakter, fx registreringsdatabasens filer, hændelseslogs, MFT, ændringsjournal, Prefetch, browserdatabaser, brugerprofilernes seneste filer og udvalgte mapper. Resultatet er en lille beholderfil med hashværdi.
Triage af en fuld kopi: en fuld kopi tages, men analysen begynder med de hurtige artefakter. Det er analytisk triage, ikke sikringstriage, og den udelukker intet.

De to første kaldes også målrettet indsamling, se Målrettet indsamling. Den tredje er altid at foretrække, når tiden og forholdene tillader det.

Hvad en triage-indsamling typisk dækker

Et triage-værktøj indsamler normalt ikke filindhold i bred forstand, men de artefakter, der beskriver aktivitet:

filsystemets metadata, så filnavne, stier og tidsstempler kan ses for hele disken,
logs om logon, programkørsel og fjernadgang,
spor efter USB-enheder, netværk og cloudsynkronisering,
browserhistorik og downloads,
brugerens seneste filer, genveje og jump lists,
udvalgte mapper, fx skrivebord, dokumenter og downloads.

Det giver et godt billede af, hvad der er sket, men ikke nødvendigvis adgang til selve de filer, der er tale om, og slet ikke til slettede data i ikke-allokeret plads (unallocated).

Hvad triage kan overse

Slettede data: filer og fragmenter i ikke-allokeret plads, slack og volumen-skyggekopier kommer ikke med.
Uventede placeringer: data i mapper uden for indsamlingsprofilen, i omdøbte filer eller i programmers egne lagre.
Andre brugerprofiler og andre partitioner, hvis profilen er begrænset.
Nye spørgsmål: spørgsmål, der først opstår senere i sagen, og som kræver artefakter, der ikke blev indsamlet.
Sammenhæng: artefakter, der først giver mening i sammenhæng med andre, som ikke er med.

Det sidste punkt er det vigtigste. En tvist udvikler sig, og en modpart kan rejse spørgsmål, som triage-indsamlingen ikke kan besvare. Findes enheden ikke længere i uændret form, kan svaret ikke gives.

Hvad triage kan ændre

Triage på et kørende system kræver, at et program startes, og at data læses gennem styresystemet. Det ændrer hukommelsen, kan opdatere tidsstempler for adgang og skriver spor i logs. Med et værktøj, der læser filsystemet direkte og kører fra et eksternt medie, er påvirkningen lille, men den er der. Notér tidspunkt, værktøj og version, så ændringerne kan skelnes fra de oprindelige spor. Indsamling på kørende systemer er beskrevet i Live response.

Hvornår triage er nok

Triage er ofte et forsvarligt valg, når:

spørgsmålet er snævert og velafgrænset, fx om et bestemt USB-drev har været tilsluttet,
der er mange enheder, og formålet er at finde de få relevante,
enheden ikke kan tages ud af drift, fx en central server,
en fuld kopi er uforholdsmæssig i forhold til sagens omfang eller private data på enheden,
formålet er hurtig hændelseshåndtering, hvor svar inden for timer er vigtigere end fuldstændighed, se Forensic eller incident response.

Hvornår en fuld kopi er nødvendig

En fuld kopi bør vælges, når:

der er mistanke om sletning, skjulning eller manipulation,
spørgsmålene ikke er fastlagt endnu, eller sagen kan udvikle sig,
enheden skal returneres, geninstalleres eller slettes efter sikringen,
sagen forventes at ende i retten, og en modpart vil efterprøve resultatet,
der er få enheder, og tiden er til stede.

Hvordan en fuld kopi laves korrekt, står i Forensisk image trin for trin.

Triage på mange enheder

Når en undersøgelse omfatter mange computere, fx en afdeling eller alle maskiner, der har haft kontakt med en kompromitteret konto, er triage ofte den eneste realistiske vej til et overblik. Fremgangsmåden er typisk:

Definér, hvad der gør en enhed relevant, fx bestemte brugere, tidsrum, programmer eller netforbindelser.
Indsaml en ensartet triage-profil fra alle enheder, gerne centralt via eksisterende administrations- eller EDR-værktøjer, hvis de kan levere de nødvendige artefakter.
Gennemgå resultaterne efter kriterierne, og udvælg de enheder, der skal sikres fuldt.
Lav fuld kopi af de udvalgte og bevar triage-resultaterne for resten.

Det er vigtigt, at alle enheder behandles med samme profil og version, så resultaterne kan sammenlignes, og at kriterierne for udvælgelse er skrevet ned, før gennemgangen begynder.

Triage i cloud og på telefoner

Begrebet bruges også uden for den klassiske computer. I cloud kan triage være en hurtig eksport af de vigtigste logs, før en fuld eksport af postkasser og filer. På telefoner kan det være et logisk udtræk af udvalgte apps frem for et fuldt filsystemudtræk. Overvejelserne er de samme: hvad udelades, kan det hentes senere, og hvordan dokumenteres valget.

Kombinationen: sikr bredt, analysér smalt

Den mest robuste løsning er ofte at kombinere: triage-indsamling straks for at få hurtige svar og en fuld kopi af de enheder, der viser sig relevante, så snart det er muligt. Eller omvendt: fuld kopi af alt, men analyse kun af de artefakter, spørgsmålet kræver. Det sidste beskytter mod nye spørgsmål og giver samtidig mulighed for dataminimering i analysen, se Dataminimering i forensic.

Valget mellem sikring nu eller senere er beskrevet fra advokatens side i Beslutningstræ: skal data sikres nu?.

Dokumentation af valget

Valget skal kunne forklares bagefter. Dokumentér:

spørgsmålet, der lå til grund, og hvorfor triage blev valgt,
værktøj, version og indsamlingsprofil, dvs. den præcise liste over artefakter og mapper,
hvad der bevidst ikke blev indsamlet,
hashværdi for beholderfilen og eventuelle enkeltfiler,
tidspunkter og handlinger på enheden,
hvad der skete med enheden bagefter, og om en fuld kopi stadig er mulig.

Gem indsamlingsprofilen sammen med resultatet. Uden den kan ingen se, hvad der blev ledt efter, og hvad der ikke blev.

Typiske fejl

Triage valgt af vane i en sag, hvor en fuld kopi var nødvendig.
Ingen profil gemt, så omfanget ikke kan dokumenteres.
Fravær tolket som bevis: At et spor ikke er i triage-indsamlingen, viser ikke, at det ikke findes på enheden.
Forældet profil. En indsamlingsprofil, der ikke er opdateret til nye versioner af styresystem og programmer, kan mangle artefakter, som er flyttet eller nye. Kontrollér profilen mod den aktuelle platform.
Enheden frigivet efter triage, før det er afklaret, om en fuld kopi er nødvendig.

Hvad triage kan og ikke kan bevise

Triage kan vise, at bestemte artefakter findes, og hvad de indeholder. Den kan ikke vise, at noget ikke er sket, og dens konklusioner er begrænset til det indsamlede. Rapporten skal sige det tydeligt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Flygtighedsorden: hvad skal sikres først? · Fysisk, logisk eller målrettet sikring: valg af metode

→ Forensisk sikring · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik