En bitvis kopi er en repræsentation af det læsbare lagerområde på en databærer på et specifikt teknisk niveau, hvilket skaber en så komplet repræsentation som muligt. I modsætning til en normal filkopi overfører den ikke kun synlige filer og mapper. Med traditionelle harddiske læses det adresserbare lager blok for blok eller sektor for sektor og overføres til et retsmedium eller et passende målmedium.

Inden for IT-forensik er denne metode særligt relevant, når undersøgelsen sigter mod at omfatte mere end blot den aktuelle filbeholdning. Afhængigt af lagringsmediet og den anvendte backupmetode kan filsystemstrukturer, ikke-allokerede hukommelsesområder, fragmenter af slettede filer og andre tekniske artefakter også være en del af backupen.

Det almindeligt anvendte udtryk "1:1-kopi" skal fortolkes teknisk. Med moderne SSD'er, NVMe-lagring og smartphones betyder en sektor-for-sektor-backup ikke automatisk, at alle fysiske hukommelsesceller læses. Derfor er den afgørende faktor, hvilken datakilde der rent faktisk blev registreret, og på hvilket teknisk niveau.

Hvad er en bitvis kopi?

Inden for digital retsmedicin refererer en bitvis kopiering til en backupmetode, hvor en databærer ikke kopieres baseret på dens synlige filer. I stedet læses den adresserbare hukommelse på det respektive lag systematisk.

Med en traditionel harddisk (HDD) sker dette normalt sektor- eller blok-for-sektor. Filsystemet bestemmer ikke, hvilke filer der kopieres. Som følge heraf kan lagerområder, der ikke er synlige for brugeren i operativsystemet, også inkluderes i sikkerhedskopien.

Dette er netop den afgørende forskel i forhold til en normal sikkerhedskopiering via Windows Stifinder, macOS Finder eller et konventionelt sikkerhedskopieringsprogram.

Hvorfor kaldes metoden "bitvis", når sektorer læses?

Udtrykket er blevet etableret inden for digital retsmedicin, men er en teknisk forenkling. Moderne datalagringsenheder læses normalt ikke ved at adressere hver enkelt bit separat.

Kommunikation foregår via adresserbare lagerblokke eller sektorer. Fra et teknisk perspektiv kan "sektorvis" eller "blokvis backup" derfor være mere præcist.

Udtrykket "bitvis kopiering" er primært ment til at udtrykke, at ikke blot et udvalg af synlige filer kopieres, men at den tilgængelige lagerplads på det valgte tekniske niveau indfanges så fuldstændigt som muligt.

Hvad adskiller en bitvis kopi fra en normal filkopi?

En normal filkopiering fungerer på det logiske niveau i filsystemet. Hvis for eksempel en mappe, der indeholder forretningsdokumenter, kopieres til en ekstern harddisk, overføres stort set alle de filer, der er til stede og tilgængelige der.

Lagringsområder, der ikke aktuelt er tildelt nogen fil, tages normalt ikke i betragtning. Ligeledes går mange tekniske oplysninger, der kan være relevante for senere rekonstruktion, tabt.

I modsætning hertil registrerer en sektor-for-sektor-backup selve den adresserbare lagring. Dette gør det muligt at bevare ikke kun synlige filer, men også filsystemstrukturer, ikke-allokerede områder, slettede filrester og andre tekniske oplysninger.

Hvorfor er en normal filkopi ofte utilstrækkelig til en retsmedicinsk undersøgelse?

For mange retsmedicinske spørgsmål er det ikke kun de filer, som en bruger i øjeblikket kan se, der er relevante.

Lad os antage, at en virksomhed har mistanke om datatyveri . En medarbejder er anklaget for at have overført fortrolige filer til en ekstern lagringsenhed kort før han forlod virksomheden og derefter slettet spor af dem.

En standardkopi af de eksisterende dokumenter ville kun sikkerhedskopiere den aktuelle filbeholdning. Rekonstruktion af de faktiske hændelser kan dog kræve yderligere datakilder: filsystemmetadata, oplysninger om tilsluttede USB-enheder, genvejsfiler, systemlogfiler, ikke-allokeret hukommelse og andre brugerartefakter.

Sektor-for-sektor sikkerhed skaber et betydeligt bredere grundlag for efterforskning.

Hvilke data kan en bitvis kopi indeholde?

Det specifikke indhold afhænger af lagringsmediet, filsystemet og backupmetoden. For eksempel kan backupen på et fuldt scannet traditionelt lagringsmedie omfatte partitionstabeller, filsystemstrukturer, aktive filer, filmetadata, systemfiler, programdata, ikke-allokeret plads, slack space, fragmenter af slettede filer, midlertidige data og log- og hændelsesdata.

At disse områder er en del af en backup betyder ikke automatisk, at relevante oplysninger kan udtrækkes fra dem. Den egentlige retsmedicinske analyse begynder først efter databackup'en.

Hvad er ikke-allokeret plads?

Ikke-allokeret plads refererer til lagerområder, som filsystemet ikke i øjeblikket tildeler til nogen aktiv fil.

Når en fil slettes, betyder det ikke nødvendigvis, at dens indhold fysisk fjernes samtidig i visse lagringssystemer. Ofte fjernes filtilknytningen først, og den relevante plads frigives til senere genbrug.

Så længe de originale data stadig eksisterer, kan de potentielt rekonstrueres retsmedicinsk. En standard filkopi optager ikke denne lagring. En komplet sektor-for-sektor-backup kan dog inkludere den.

Hvad er Slack Space?

Filsystemer administrerer lagring i bestemte enheder. Hvis en fil ikke fuldt ud udnytter den sidst tildelte lagringsblok, kan ubrugt lagerplads forblive i det område.

Afhængigt af filsystemet og tidligere brug kan der stadig være datarester der. Dette område kaldes ofte "slack space".

Dens betydning afhænger af sagen. Den bør hverken kategorisk ignoreres eller automatisk betragtes som en frugtbar beviskilde.

Kan en bitvis kopi indeholde slettede filer?

Ja. Den kan indeholde lagerområder, der stadig indeholder data fra en slettet fil.

Dette er dog ikke det samme som vellykket gendannelse. Om en slettet fil kan rekonstrueres, afhænger blandt andet af, om dens oprindelige lagerområder stadig findes, allerede er blevet overskrevet, fragmenteret eller ændret af andre processer.

Moderne SSD'er inkorporerer også yderligere faktorer såsom TRIM og garbage collection.

Er en bitvis kopi virkelig en komplet 1:1-kopi?

Udtrykket "1:1-kopi" er forståeligt i almindelig brug, men ikke altid teknisk præcist.

Med en traditionel harddisk (HDD) kan den logisk adresserbare lagring via standardgrænsefladen kopieres meget omfattende. Dette betyder dog ikke automatisk, at alle tænkelige interne områder på drevet er tilgængelige.

Denne sondring er endnu vigtigere med SSD'er. Operativsystemet ser ikke direkte den faktiske placering af dataene i flashhukommelsescellerne. En controller fungerer mellem operativsystemet og flashhukommelsen og styrer den fysiske lagerstruktur.

Derfor bør teknisk præcis dokumentation specificere, hvilket lagerområde der blev registreret via hvilken grænseflade og med hvilken metode.

Hvorfor behandles en SSD anderledes i retsmedicinsk analyse end en harddisk?

En harddisk lagrer information magnetisk på roterende diske. En SSD bruger flashhukommelse og en controller med sin egen hukommelsesstyring.

Denne controller er blandt andet ansvarlig for at kortlægge logiske til fysiske hukommelsesområder. Dette gør det muligt for operativsystemet at se en abstrakt hukommelsesstruktur. Den fysiske position af information i flash-chips kan ændres uden at dette er synligt for operativsystemet.

Hvad betyder slidudligning?

Flash-hukommelsesceller kan ikke skrives til og slettes et ubegrænset antal gange. SSD-controllere fordeler derfor skriveoperationer på tværs af forskellige fysiske områder for at fordele sliddet mere jævnt.

Denne mekanisme kaldes "slidudjævning". Som følge heraf behøver en logisk blokadresse ikke permanent at korrespondere med den samme fysiske hukommelsescelle.

For digital retsmedicin er dette en vigtig grund til, at det kan være problematisk at angive en absolut fysisk "1:1-kopi" med en SSD.

Hvad er affaldsindsamling?

SSD'er organiserer løbende deres flashhukommelse. Ubrugte hukommelsesområder kan internt flettes sammen, forberedes og slettes, så der kan skrives til dem igen senere.

Denne proces kaldes garbage collection. Den kan påvirke slettede data, fordi hukommelsesindhold kan blive fjernet internt, selvom brugeren ikke bevidst har overskrevet dataene på operativsystemniveau.

Hvad er TRIM?

TRIM tillader et operativsystem at informere en SSD om, at bestemte logiske datablokke ikke længere er nødvendige.

SSD'en kan derefter bruge disse oplysninger til administration af sin interne lagerplads.

Af retsmedicinske årsager betyder det, at en slettet fil kan være betydeligt vanskeligere at gendanne på en SSD end på en traditionel harddisk. Hvis det berørte lagerområde allerede er blevet slettet internt, kan selv en efterfølgende sektor-for-sektor-backup ikke gendanne de tidligere data.

Hvorfor skal en SSD bruges så lidt som muligt efter sletning af vigtige data?

Yderligere brug kan generere nye skriveoperationer. Derudover kan interne hukommelsesprocesser fortsætte med at køre.

Hvis vigtige data slettes ved et uheld, og der er en seriøs interesse i gendannelse eller retsmedicinsk undersøgelse, bør der udføres så lidt arbejde som muligt på den berørte databærer.

Der er dog ingen garanti for, at dataene vil blive bevaret.

Kan en NVMe SSD sikkerhedskopieres bit for bit?

Ja. Den logisk adresserbare lagring via NVMe-grænsefladen kan læses blok for blok med passende hardware og software.

Det samme gælder dog her: Backup'en afspejler det logiske niveau, som controlleren leverer. Det er ikke automatisk et direkte billede af alle fysiske flashceller.

Derudover skal formfaktoren, grænsefladen og protokollen identificeres korrekt.

Hvorfor er M.2 og NVMe ikke det samme?

M.2 refererer i første omgang til en formfaktor, eller rettere et design og en stiktype. NVMe refererer derimod til en protokol til kommunikation med ikke-flygtig lagring via PCI Express.

Et M.2-drev er derfor ikke nødvendigvis et NVMe-drev. Denne sondring er vigtig for at vælge passende adaptere og skriveblokkere.

Kan en USB-stick kopieres bit for bit?

Ja. Hukommelsen leveret af USB-controlleren kan generelt læses sektor for sektor.

USB-flashdrev bruger også flashhukommelse. Interne styremekanismer kan derfor også påvirke, hvilke data der er tilgængelige på logisk niveau.

Kan et SD- eller microSD-kort sikkerhedskopieres bit for bit?

Ja. Hukommelseskort kan generelt sikkerhedskopieres i blokke.

Dette kan for eksempel være relevant for digitale kameraer, dashcams, navigationsenheder, smartphones eller andre indlejrede systemer.

Før sikkerhedskopiering skal det sikres, at operativsystemet ikke udfører unødvendige skrivehandlinger på det originale medie.

Hvad er formålet med en skriveblokering?

En skriveblokering er designet til at forhindre en undersøgelsescomputer i at sende skrivekommandoer til en oprindelig databærer.

Dette er relevant, fordi operativsystemer kan udføre automatisk adgang, så snart et drev tilsluttes. Kontrolleret skrivebeskyttelse reducerer risikoen for utilsigtede ændringer.

Hardware- eller softwareskriveblokering?

Hardware-skriveblokkere er fysisk installeret mellem den originale databærer og det retsmedicinske system. Afhængigt af enheden understøtter de forskellige grænseflader såsom SATA, SAS, USB eller NVMe.

I modsætning hertil fungerer softwarebaserede skrivebeskyttelsesmekanismer på niveau med undersøgelsesoperativsystemet.

Hvilken mulighed der er egnet, afhænger af databæreren og den specifikke sikkerhedskopieringsprocedure.

Kræver alle retsmedicinske backups en skriveblokering?

Nej. En hardware-skriveblokering kan være meget nyttig til flytbare traditionelle lagringsmedier. Denne metode er dog ikke umiddelbart anvendelig til smartphones, påloddet hukommelse, virtuelle maskiner eller visse live-backups.

Det egentlige mål er at forhindre undgåelige ændringer og at dokumentere uundgåelige ændringer på en forståelig måde.

Hvad sker der, når en harddisk krypteres?

En krypteret harddisk kan generelt kopieres sektor for sektor. Det resulterende billede vil dog i første omgang indeholde de krypterede data.

Til senere analyse kræves passende adgangsdata, nøgler eller andre dekrypteringsmetoder. Derfor er det vigtigt at vide , om et system i øjeblikket er ulåst, før der sikkerhedskopieres data.

Hvorfor kan det være problematisk at slukke en computer med det samme?

På et kørende krypteret system kan volumen allerede være dekrypteret og tilgængelig. Denne tilstand kan gå tabt, når computeren lukkes ned.

Derudover fjernes flygtige oplysninger fra RAM'en, når enheden slukkes.

Derfor bør retsmedicinsk relevante systemer ikke behandles efter det generelle princip om at "lukke dem ned med det samme". Beslutningen afhænger af systemets tilstand og det specifikke spørgsmål, der undersøges.

Hvad skal man overveje, når man bruger BitLocker?

Hvis en BitLocker-beskyttet computer er slukket, kan en sektor-for-sektor-backup muligvis være mulig, men indholdet forbliver krypteret.

Hvis systemet allerede er startet, og volumen er låst op, kan yderligere backupmuligheder være tilgængelige.

Derfor bør det kontrolleres, hvilken datakilde der er nødvendig til den efterfølgende undersøgelse, før systemtilstanden ændres.

Hvad skal du overveje, når du bruger FileVault med moderne Mac-computere?

I moderne Mac-computere er kryptering, hardware og lagringsarkitektur tæt forbundet. Især med Apple Silicon-systemer følger backup ikke længere det klassiske scenarie med en fjernet SATA-harddisk.

Den passende metode afhænger blandt andet af Mac-modellen, driftstilstanden, macOS-versionen og de tilgængelige adgangsmuligheder.

Kan en smartphone kopieres bid for bid?

Moderne smartphones adskiller sig fundamentalt fra traditionelle harddiske. Hardwarebaseret kryptering, sikker nøglehåndtering og operativsystemspecifikke sikkerhedsmekanismer bestemmer, hvilke data der overhovedet kan udtrækkes.

Smartphone -forensik anvender derfor forskellige udtrækningsmetoder. Den faktisk opnåelige datadybde afhænger blandt andet af producent, model, operativsystemversion, enhedens tilstand og sikkerhedskonfiguration.

Den generelle påstand om, at en moderne smartphone er blevet "fuldstændig kopieret bid for bid", kan derfor være teknisk set misvisende.

Logisk udtrækning, filsystemudtrækning og fysisk erhvervelse

For mobile enheder er det vigtigt at angive præcis, hvilken type ekstraktion der blev udført.

En logisk udtrækning leverer typisk data, der er tilgængelige via et defineret operativsystem eller backup-grænseflader.

Filsystemudtrækning kan give betydeligt dybere adgang til filer, databaser og systemstrukturer.

En anskaffelse, der beskrives som fysisk, kan have et forskelligt omfang afhængigt af enheden. Derfor skal disse begreber altid betragtes i sammenhæng med det specifikke værktøj og den specifikke enhed.

Hvad betyder BFU og AFU i forhold til smartphones?

BFU står for "Before First Unlock". Kort sagt refererer det til en enheds tilstand efter en genstart, før den er blevet låst op for første gang.

AFU står for After First Unlock og beskriver tilstanden efter denne første vellykkede oplåsning.

Visse kryptografiske nøgler og dataklasser kan være tilgængelige i varierende grad afhængigt af denne tilstand. En unødvendig genstart kan derfor ændre mulighederne for en mobil retsmedicinsk undersøgelse.

Kan RAM'en også sikkerhedskopieres?

Ja. Under passende forhold kan indholdet af RAM gemmes i en hukommelsesdump eller et RAM-billede.

Dette er dog ikke den samme datakilde som en harddiskkopi.

Hovedhukommelsen kan indeholde kørende processer, aktive netværksforbindelser, midlertidige data og andre flygtige oplysninger.

Hvorfor kan RAM være afgørende i et cyberangreb?

Visse malwareprogrammer opererer primært i RAM. Aktive processer og netværksforbindelser kan også detekteres der.

Hvis computeren slukkes, går mange af disse oplysninger tabt.

I tilfælde af en sikkerhedshændelse skal der derfor træffes en beslutning om, hvorvidt flygtige data skal sikres først, inden en traditionel databærererhvervelse finder sted.

Hvordan verificeres integriteten af ​​en bitvis kopi?

Kryptografiske hashfunktioner bruges til integritetskontrol. En checksum beregnes ud fra et defineret datasæt.

Hvis den samme mængde data behandles igen senere ved hjælp af den samme algoritme, og den samme hashværdi produceres, kan dens uændrede tilstand sammenlignet med den dokumenterede referencetilstand verificeres.

Til moderne retsmedicinske arbejdsgange kan SHA-256 for eksempel anvendes.

Hvad beviser en hashværdi?

En hashværdi er et bevis på integritet. Den kan vise, at et defineret datasæt ikke er blevet ændret i forhold til en kendt referenceværdi.

Han beviser ikke, at de oprindelige data var faktuelt korrekte. Han identificerer heller ikke den person, der oprettede eller ændrede en fil.

Integritet, autenticitet og forfatterskab er forskellige emner.

Hvorfor er det nødvendigt at dokumentere, hvad der blev hashet?

En hashværdi kan kun fortolkes meningsfuldt, hvis det er kendt, hvilke data den refererer til.

For eksempel kan den rå datastrøm fra et RAW-billede hashes. Et struktureret containerformat kan desuden indeholde metadata, verifikationsoplysninger eller komprimering.

Hashværdien af ​​en hel containerfil behøver derfor ikke at være identisk med en hashværdi af den oprindelige rådatastrøm.

Hvad sker der i tilfælde af læsefejl?

Et beskadiget lagringsmedie kan indeholde hukommelsesområder, der ikke længere kan læses pålideligt.

Professionelle billeddannelsesværktøjer bør opdage og dokumentere sådanne læsefejl.

Afhængigt af mediets tilstand kan problematiske områder genlæses, springes over i første omgang eller håndteres i henhold til en defineret strategi.

Er en bitvis kopi med læsefejl ubrugelig?

Nej. En databærer kan for eksempel være næsten fuldstændig læsbar og kun have fejl på få områder.

De resterende data kan stadig have betydelig retsmedicinsk værdi.

Det er afgørende, at fejlene dokumenteres, og at fortolkningen tager højde for, om et relevant område er berørt.

Hvorfor skulle en beskadiget harddisk ikke kunne læses på ubestemt tid?

Gentagne læseforsøg kan forværre en harddisks tilstand, hvis den allerede er mekanisk beskadiget.

Usædvanlige lyde, kraftige hastighedsfald eller hyppige forbindelsestab kan være tegn på en fysisk defekt.

I sådanne situationer kan specialiseret datagendannelse være nødvendig. Prioriteten er derefter at gendanne så mange tilgængelige data som muligt.

Kan en bitvis kopi analyseres flere gange?

Ja. Det er netop en af ​​deres vigtigste fordele.

Hvis den relevante databærerstatus er korrekt sikkerhedskopieret, kan det samme datasæt undersøges igen senere. Forskellige analyseprogrammer kan også anvendes, forudsat at de understøtter det respektive billedformat.

Dette gør det muligt for en undersøgelse at blive reproduceret eller gennemgået af en anden ekspert.

Hvorfor skulle det originale billede ikke bruges som arbejdsfil?

I professionelle arbejdsgange kan det originale billede arkiveres uændret, mens den faktiske analyse udføres på en arbejdskopi.

Dette sikrer, at den oprindelige sikkerhedsindstilling forbliver uændret.

Hvis arbejdskopien bliver beskadiget, eller en ny analyse er nødvendig, kan der oprettes et nyt arbejdsgrundlag ud fra det arkiverede billede.

Kan en bitvis kopi bevise datatyveri?

Ikke alene. Sikkerhedssystemet danner i første omgang det tekniske grundlag for efterforskningen.

For at rekonstruere et potentielt databrud skal forskellige artefakter derefter analyseres. Disse kan omfatte tilsluttede USB-enheder, filadgang, genvejsfiler, tidsstempler, brugeraktivitet eller andre systemoplysninger.

Kun en samlet evaluering af disse spor kan muliggøre en pålidelig udtalelse.

Kan en bitvis kopi bevise, hvem der kopierede en fil?

Ikke automatisk. For eksempel kan en computer vise, at en aktivitet har fundet sted under en bestemt brugerkonto.

Dette betyder dog ikke nødvendigvis, at kun én specifik fysisk person havde adgang til denne konto.

Derfor skal en teknisk tildeling til en brugerkonto og den personlige tildeling til en bestemt person vurderes separat.

Praktisk eksempel: Mistanke om datatyveri begået af en medarbejder

En virksomhed opdager, at en medarbejder behandlede usædvanligt store mængder data kort før vedkommende forlod virksomheden. Der er mistanke om, at fortrolige kunde- og projektdata blev kopieret til et USB-drev.

Der er ingen åbenlyst mistænkelige filer tilbage på selve computeren.

En standardkopi af brugermappen er muligvis ikke tilstrækkelig til undersøgelsen. Relevante oplysninger kan omfatte USB-artefakter, genvejsfiler, filsystemoplysninger, brugeraktivitet og slettede data.

En sektor-for-sektor-backup giver et bredere datagrundlag. Dette muliggør efterfølgende undersøgelse for at afgøre, om flere uafhængige spor understøtter den samme rækkefølge af begivenheder.

Praktisk eksempel: Slettede billeder på en harddisk

Billeder blev ved et uheld slettet fra en traditionel harddisk. Derefter blev computeren brugt meget lidt.

En standard filkopi ville kun indfange de filer, der forbliver synlige.

I modsætning hertil kan en sektor-for-sektor-backup også omfatte lagerområder markeret som frie. Hvis de originale data stadig findes der, kan senere rekonstruktion være mulig.

Der er ingen garanti, da tidligere overskrivninger kan forhindre gendannelse.

Praktisk eksempel: Slettede filer på en NVMe SSD

Det samme udgangspunkt kan vurderes forskelligt med en moderne NVMe SSD.

TRIM og oprydning af intern hukommelse kan relativt hurtigt forårsage, at slettede data bliver utilgængelige på logisk niveau.

Også her er en rettidig sikkerhedskopi tilrådelig. Den kan dog ikke gendanne information, som SSD-controlleren allerede har fjernet internt.

Praktisk eksempel: En BitLocker-aktiveret notesbog

En Windows-notebook er tændt, og det BitLocker-beskyttede system er allerede låst op. Enheden skal retsmedicinsk undersøges på grund af en intern hændelse.

Hvis den slukkes uden forudgående evaluering, går den aktuelt afkodede tilstand tabt.

En efterfølgende sektor-for-sektor-backup af databæreren kan stadig være mulig, men yderligere nøgler kan være nødvendige til senere analyse.

Dette eksempel viser, hvorfor den korrekte backupstrategi bør bestemmes, før der foretages ændringer i enhedens tilstand.

Hvornår er en bitvis kopi særligt nyttig?

Bitvis eller sektorvis backup er særligt nyttig, når slettede filer skal undersøges, et muligt datatyveri skal rekonstrueres, manipulationer mistænkes, brugeraktiviteter skal evalueres, eller en defineret databærertilstand skal bevares til en senere sekundær undersøgelse.

Det kan også give et passende udgangspunkt i visse malware- og cyberhændelser, ved undersøgelse af eksterne databærere eller i sager, der involverer tekniske problemer, der er relevante for bevismateriale.

Hvornår er en bitvis kopi ikke nødvendigvis den bedste backupmetode?

En komplet sektor-for-sektor-backup er ikke nødvendig eller teknisk mulig for alle problemer.

I store servermiljøer kan målrettede sikkerhedskopier af relevante systemer og datakilder være mere praktiske. Med cloudtjenester mangler en efterforsker ofte direkte adgang til de underliggende fysiske lagringsmedier.

For smartphones bestemmer sikkerhedsarkitekturen og udtrækningsmulighederne, hvilke data der rent faktisk kan sikkerhedskopieres.

Selv med et krypteret system i drift, kan en backup på det dekrypterede niveau være mere værdifuld for det specifikke spørgsmål end blot et billede af den krypterede rådatabærer.

Typiske fejl i en bitvis backup

En af de mest almindelige fejl er at omtale en normal filkopi som en bitvis kopi. Det er også problematisk at beskrive en logisk smartphone-udtrækning som en komplet fysisk kopi eller at bruge udtrykket "1:1-kopi" uden teknisk kontekst.

Andre fejl omfatter forveksling af kilde- og destinationsdrev, unødvendig skriveadgang til originalen, manglende dokumentation af læsefejl, utilstrækkelige integritetskontroller og forkert fortolkning af hashværdier.

Derudover er det problematisk for SSD'er at ignorere TRIM og interne controllermekanismer. På krypterede systemer kan for tidlig nedlukning af drevet eliminere værdifulde adgangspunkter.

Ofte stillede spørgsmål om bitvis kopiering

Hvad forklares en bitvis kopi på en enkel måde?

En bitvis kopi er en så komplet sikkerhedskopi som muligt af den tilgængelige lagerplads på et datamedie på det anvendte tekniske niveau. Med traditionelle harddiske omfatter dette ikke kun synlige filer, men også andre adresserbare lagerområder.

Er en bitvis kopi det samme som en sektorvis kopi?

Udtrykkene bruges ofte synonymt. Teknisk set er "sektorvis" eller "blokvis" normalt mere præcist, fordi databærere læses via adresserbare hukommelsesblokke.

Er en bitvis kopi en ægte 1:1-kopi?

Med en traditionel harddisk kan den logisk adresserbare lagring kortlægges meget omfattende. For SSD'er og andre flash-lagringsenheder bør angivelsen af ​​en fuldstændig fysisk 1:1-kopi undgås, fordi controlleren medierer mellem de logiske og fysiske lagringsstrukturer.

Hvad er forskellen på en bitvis kopi og en sikkerhedskopi?

En backup tjener primært til at gendanne filer eller systemer. En bitvis retsmedicinsk backup er derimod beregnet til at bevare en defineret lagringstilstand til senere undersøgelse. Den kan derfor indfange områder, som en normal backup ikke inkluderer.

Kan en bitvis kopi indeholde slettede filer?

Ja. Hvis de relevante lagerområder stadig findes og ikke er blevet overskrevet eller internt renset, kan datarester være en del af sikkerhedskopien.

Gendannes slettede filer automatisk af sikkerhedskopien?

Nej. Backup'en bevarer i første omgang de tilgængelige data. Først under analysen kontrolleres det, om slettede oplysninger kan identificeres og rekonstrueres.

Kan slettede data på en harddisk altid gendannes?

Nej. Hvis de oprindelige lagringsområder allerede er blevet overskrevet, kan de tidligere data ikke gendannes fra dem ved hjælp af en normal retsmedicinsk analyse.

Er det muligt at gendanne slettede data på en SSD?

Dette er muligt, men det afhænger i høj grad af de specifikke omstændigheder. TRIM, garbage collection, kryptering og intern flashhåndtering kan gøre slettede data utilgængelige.

Hvor hurtigt skal der gribes ind efter en utilsigtet sletning?

Hvis dataene er vigtige, bør yderligere brug af det berørte lagringsmedie undgås, hvis det er muligt. Der er ingen fast tidsramme, inden for hvilken datagendannelse er garanteret.

Skal jeg selv installere datagendannelsessoftware på det berørte drev?

Dette kan være problematisk. Installationsprocessen genererer nye skriveoperationer og kan overskrive lagerområder, der stadig indeholder relevante data. For vigtige data bør kildemediet ideelt set ikke ændres yderligere.

Kan en SSD sikkerhedskopieres fuldt ud bit for bit?

Logisk adresserbar hukommelse kan i princippet sikkerhedskopieres blok for blok. Dette betyder dog ikke, at alle interne fysiske flashtilstande læses med det samme.

Kan en NVMe SSD sikres retsmedicinsk?

Ja, forudsat at passende hardware og software er tilgængelig, og at drevet er tilgængeligt. De specifikke egenskaber ved flashhukommelse og controllerstyring forbliver uændrede.

Kan en USB-stick sikkerhedskopieres bit for bit?

Ja. Den hukommelse, der er tilgængelig via dens controller, kan i princippet scannes sektor for sektor.

Kan et SD-kort sikkerhedskopieres bit for bit?

Ja. SD- og microSD-kort kan også læses blok for blok.

Hvorfor bruges en skriveblokering?

En skriveblokering er designet til at forhindre utilsigtet skriveadgang til et originalt datamedie. Dette reducerer risikoen for, at den computer, der udfører analysen, ændrer de originale data.

Er en skriveblokering nødvendig til hver sikkerhedskopiering?

Nej. Det afhænger af enhedsklassen og indsamlingsmetoden. Det kan være nyttigt for en traditionel, eksternt monteret lagringsenhed. Smartphones eller visse live-systemer kræver andre metoder.

Kan en krypteret harddisk kopieres bit for bit?

Ja. Den resulterende backup kan dog stadig være krypteret. Der kræves derefter passende nøgler eller andre adgangsmetoder til indholdsanalyse.

Skal en tændt computer slukkes med det samme for at kunne foretage retsmedicinsk analyse?

Ikke nødvendigvis. Med et ulåst krypteret system eller relevante flygtige data kan værdifuld adgang til efterforskning gå tabt. Den rigtige beslutning afhænger af systemets specifikke tilstand.

Kan en smartphone kopieres bid for bid?

Moderne smartphones kan på grund af deres sikkerheds- og krypteringsarkitektur normalt ikke behandles som traditionelle harddiske. Mobil retsmedicin anvender forskellige enhedsspecifikke udtrækningsmetoder.

Hvad er en logisk smartphone-udvinding?

En logisk udtrækning indsamler data, der er tilgængelige via definerede grænseflader på enheden eller operativsystemet. Det svarer ikke automatisk til en komplet sektor-for-sektor-kopi af den interne hukommelse.

Hvad er filsystemudpakning?

Filsystemudtrækning kan give mere omfattende adgang til filer, databaser, programdata og systemstrukturer. Det nøjagtige omfang afhænger af enheden og den anvendte metode.

Hvorfor bruges hashværdier?

Hashværdier bruges til integritetskontrol. De kan bruges til at verificere, om et defineret datasæt har ændret sig i forhold til en dokumenteret referencetilstand.

Er SHA-256 egnet til retsmedicinsk analyse?

Ja. SHA-256 er en moderne kryptografisk hashfunktion og kan bruges til integritetskontrol af retsmedicinske datasæt.

Beviser en hashværdi, at en fil er ægte?

Nej. En hashværdi kan bekræfte, at en fil ikke er blevet ændret i forhold til en referencetilstand. Den beviser ikke indholdets sandhed, og den beviser heller ikke automatisk en fils oprindelse.

Hvor stor er en bitvis kopi af en 1 TB harddisk?

I en ukomprimeret, fuld sektor-for-sektor-backup er lagerkravet groft baseret på kildemediets adresserbare kapacitet og ikke kun på størrelsen af ​​de synlige filer. Med passende billedformater kan tabsfri komprimering reducere det faktiske lagerkrav.

Kan en bitvis kopi komprimeres?

Ja. Retsmedicinske containere kan lagre data i et tabsfrit komprimeret format. Forudsætningen er, at det originale informationsindhold bevares fuldt ud under efterfølgende behandling.

Hvad sker der, hvis individuelle sektorer ikke kan læses?

Læsefejlene bør dokumenteres. De resterende data kan stadig analyseres fuldt ud. Vurderingen skal overveje, om relevante filer eller strukturer er påvirket af de fejlagtige områder.

Kan den samme bitvise kopi undersøges igen senere?

Ja. En uændret og dokumenteret backup kan analyseres igen senere eller med andre retsmedicinske værktøjer.

Kan en bitvis kopi bevise, at data blev kopieret til en USB-stick?

Ikke alene. Det kan dog danne grundlag for at undersøge forskellige artefakter, der kan understøtte eller afkræfte en sådan proces. Et tilsluttet USB-drev alene beviser ikke en konkret filoverførsel.

Kan en bitvis kopi bevise, hvem der har slettet en fil?

Ikke automatisk. Digitale spor kan potentielt knyttes til en brugerkonto eller specifikke aktiviteter. Det kræver dog yderligere pålidelig dokumentation at kunne knytte dem endeligt til en fysisk person.

Er en bitvis kopi automatisk tilladt i retten?

Nej. Metoden til sikring af bevismateriale er kun én del af en retsmedicinsk undersøgelse. Faktorer, der er relevante for vurderingen, omfatter bevismaterialets oprindelse, dokumentation, integritet, beviskæde, efterforskningsmetode og den specifikke juridiske situation.

Hvad er vigtigst: så mange data som muligt eller den rigtige backupmetode?

Den passende metode til databackup til det aktuelle spørgsmål. Et større datasæt giver ikke automatisk et bedre grundlag for beviser. Det afgørende er, at de nødvendige datakilder sikkerhedskopieres på en teknisk egnet, sporbar og, hvis muligt, uændret måde.

Det afgørende punkt vedrørende en bitvis kopiering

Den retsmedicinske værdi af en bitvis kopi stammer ikke fra betegnelsen "1:1 kopi". Det afgørende er, hvad der rent faktisk blev gemt.

Med en traditionel harddisk kan sektor-for-sektor-backups skabe en meget omfattende repræsentation af det logisk adresserbare lagringsmedie. Med SSD'er, NVMe-lagring og smartphones skal der dog tages højde for controllere, flashstyring, kryptering og sikkerhedsarkitektur.

Derfor bør professionel dokumentation tydeligt registrere datakilde, backupmetode, anvendte værktøjer, eventuelle læsefejl og integritetskontroller.

Den bitvise kopi besvarer endnu ikke det egentlige retsmedicinske spørgsmål. Den skaber det mest stabile mulige grundlag for undersøgelsen. Kun den efterfølgende analyse afgør, hvilke digitale spor der er til stede, hvordan de teknisk kan klassificeres, og hvilke konklusioner der rent faktisk kan drages ud fra dem.

Tilbage til vidensoversigten