Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen
Volume Shadow Copies er Windows’ øjebliksbilleder af en volumen. De kan indeholde filer, der siden er slettet, ældre versioner af dokumenter, registreringsdatabasen og hændelseslogs fra før en oprydning, og dermed vise en tilstand, der ellers er tabt. De findes kun, hvis funktionen var aktiv, de forsvinder løbende, når pladsen bruges op, og de kommer kun med i sikringen, hvis kopien omfatter hele volumen. Er de slettet, kan selve sletningen ofte påvises.
Backup som beviskilde i bred forstand er beskrevet på hubben i Backup som bevis. Her gennemgås skyggekopierne teknisk.
Hvordan skyggekopier virker
Volume Shadow Copy Service (VSS) laver et øjebliksbillede af en volumen på et bestemt tidspunkt. Det sker ved copy-on-write på blokniveau: Når en blok på volumen skal overskrives efter øjebliksbilledet, kopieres den oprindelige blok først til et lagerområde i den skjulte mappe System Volume Information. Skyggekopien består altså af de blokke, der er ændret siden, ikke en fuld kopi af volumen.
Det har to konsekvenser:
- En skyggekopi fylder relativt lidt, men er afhængig af den aktuelle volumen for alle uændrede blokke.
- En skyggekopi kan kun læses korrekt sammen med den volumen, den hører til.
Hvornår de opstår
Skyggekopier oprettes typisk af:
- systembeskyttelse og gendannelsespunkter, fx før installation af programmer og opdateringer,
- planlagte skyggekopier af delte mapper på filservere,
- backupprogrammer, der bruger VSS til at få en konsistent kopi; nogle sletter skyggekopien igen bagefter,
- administratorer, der opretter dem manuelt.
Om systembeskyttelse er slået til på en klient, varierer med Windows-version, installationsmåde og virksomhedens politik, og skyggekopier af delte mapper på en server skal aktiveres pr. volumen. Den faktiske tilstand aflæses derfor på systemet, fx med vssadmin, frem for at blive antaget. Der afsættes en maksimal lagerplads, og når den er brugt, slettes de ældste skyggekopier automatisk.
I Stifinder vises skyggekopier som “Tidligere versioner”. Funktionen kan også vise versioner fra Filhistorik, som er noget andet, nemlig en filbaseret backup til et andet drev.
Hvad de kan indeholde af værdi
- Slettede eller overskrevne filer i den tilstand, de havde ved øjebliksbilledet.
- Ældre versioner af registreringsdatabasen, der kan sammenlignes med den aktuelle, fx for at vise et afinstalleret program eller en ryddet liste over seneste filer; se Registreringsdatabasen i en undersøgelse.
- Ældre hændelseslogs, der kan dække perioder, som den aktive log har overskrevet.
- Ældre versioner af MFT og ændringsjournalen, der forlænger den periode, filsystemets historik dækker; se NTFS i dybden.
Netop i sager, hvor der er ryddet op, kan skyggekopierne være den eneste kilde til tilstanden før oprydningen.
Sikring: hvorfor de skal med
Skyggekopierne ligger i System Volume Information og kan kun bruges, hvis hele volumen er sikret, inklusive den skjulte mappe og de blokke, de refererer til. Det betyder:
- En fysisk kopi af disken eller en logisk kopi af hele volumen bevarer dem.
- En målrettet kopi af brugermapper mister dem helt.
- En kopi af en BitLocker-krypteret volumen skal kunne låses op for at læse dem.
Fremgangsmåden ved en fuld kopi er beskrevet i Forensisk image trin for trin. Under analysen monteres eller udtrækkes hver skyggekopi fra kopien med værktøjer, der kan læse VSS-formatet. Hver skyggekopi behandles som en selvstændig kilde med eget oprettelsestidspunkt.
På et kørende system, der ikke kan slukkes, kan skyggekopierne registreres med Windows’ egne administrationsværktøjer, så deres antal og oprettelsestidspunkter dokumenteres. Opret ikke nye skyggekopier uden grund. Hvis lagerpladsen er brugt op, kan en ny skyggekopi få Windows til at slette den ældste, og det kan være netop den, der var relevant.
Analyse: sammenligning med den aktuelle volumen
Den mest effektive brug af skyggekopier er at sammenligne dem med den aktuelle volumen og med hinanden. Fremgangsmåden er:
- Opstil skyggekopierne kronologisk efter oprettelsestidspunkt.
- Lav en filliste med sti, størrelse, tidsstempler og hashværdi for hver skyggekopi og for den aktuelle volumen.
- Find filer, der findes i en ældre skyggekopi, men ikke i den aktuelle volumen. Det er kandidater til slettede filer.
- Find filer, der findes begge steder med forskellig hashværdi. Det er ændrede filer, hvor den ældre version kan sammenlignes med den nyere.
- Begræns analysen til de mapper og perioder, sagen handler om, og dokumentér afgrænsningen.
Sammenligningen giver et intervalsvar: En fil fandtes ved én skyggekopi og var væk ved den næste. Det præcise tidspunkt for sletningen skal findes i andre kilder, fx ændringsjournalen eller papirkurven.
Skyggekopier på filservere
På filservere med skyggekopier af delte mapper er der ofte faste, planlagte øjebliksbilleder flere gange dagligt. De kan give en tæt række af tilstande for netop de mapper, en sag om fjernede eller ændrede dokumenter drejer sig om. Brugere kan selv gendanne fra dem via Tidligere versioner, og det bør kontrolleres, om nogen har gjort det, før serveren blev sikret, fordi en gendannelse ændrer den aktuelle tilstand.
Sletning af skyggekopier
Skyggekopier kan slettes af en administrator med Windows’ egne værktøjer, af programmer og automatisk ved pladsmangel. Sletning er et kendt trin i ransomware-angreb, fordi det forhindrer gendannelse, men det sker også ved helt almindelig drift og vedligeholdelse.
Sletning kan ofte påvises gennem flere uafhængige spor:
- Prefetch og Amcache for de administrationsværktøjer, der bruges til sletning; se Prefetch, Amcache og Shimcache.
- Procesoprettelse med kommandolinje i sikkerhedsloggen, hvis revisionen var slået til.
- Hændelser fra VSS-tjenesten og skyggekopidriveren i Application- og System-kanalerne. Hvilke id’er der optræder, afhænger af version og af det program, der oprettede eller slettede kopien, så de skal tolkes ud fra hændelsens tekst og kilde.
- EDR- og antiviruslogs, som ofte registrerer netop denne type kommando.
- Et pludseligt fravær af skyggekopier på et system, hvor politikken tilsiger, at de burde findes.
Fundet skal tolkes i sammenhæng. Automatisk sletning ved pladsmangel ser anderledes ud end en kommando kørt af en bestemt konto. Den generelle tilgang til spor efter sletning er beskrevet i Anti-forensics, og ransomware-situationen i Ransomware: bevissikring parallelt med genopretning.
Fejlkilder
- Tidspunktet for en skyggekopi er tidspunktet for øjebliksbilledet, ikke for filens ændring. En fil i en skyggekopi kan være meget ældre end selve kopien.
- Dubletter: Samme fil i flere skyggekopier giver mange identiske hits. Afdubler med hashværdier, men bevar oplysningen om, hvilke skyggekopier filen fandtes i.
- Ufuldstændige kopier: En beskadiget skyggekopi kan give delvise eller forkerte data. Kontrollér afgørende filer for konsistens.
- Volumenændringer: Er volumen ændret i størrelse eller defragmenteret kraftigt, kan ældre skyggekopier være ugyldige.
- Forveksling med Filhistorik og cloudversioner, som har andre mekanismer og andre tidspunkter.
Hvad skyggekopierne kan og ikke kan bevise
En skyggekopi viser volumens tilstand på et bestemt tidspunkt. Den kan bevise, at en fil fandtes med et bestemt indhold på det tidspunkt, og den kan levere ældre versioner af logs og registreringsdatabase. Den viser ikke, hvad der skete mellem to øjebliksbilleder, og fraværet af en fil i en skyggekopi viser kun, at den ikke lå på volumen på det tidspunkt.
Dokumentation
Angiv antal skyggekopier, oprettelsestidspunkt og id for hver, hvordan de er udtrukket, værktøj og version, og for hver fil, der indgår, hvilken skyggekopi den stammer fra. Er skyggekopier slettet, beskrives sporene efter sletningen, tidspunktet og de alternative forklaringer, der er overvejet.
Kilder og versioner
Senest gennemgået: oktober 2026.
Næste skridt
- Opstart, nedlukning, lås og dvale: Windows-events
- Windows audit policy: de indstillinger en undersøgelse har brug for
Del af: Windows-forensik
Læs også: NTFS i dybden: MFT, $UsnJrnl, $LogFile og tidsstemplerne $SI og $FN · USB-tidslinjen i Windows: første og sidste tilslutning, serienummer og drevbogstav
→ Forensisk undersøgelse af en computer · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
