Et retsmedicinsk billede er en teknisk kontrolleret repræsentation af et digitalt lagringsmedium eller et defineret datasæt, der bruges til efterfølgende retsmedicinsk analyse. I modsætning til en normal filkopi kan et retsmedicinsk billede, afhængigt af backupmetoden, ikke kun indeholde synlige filer, men også filsystemstrukturer, ikke-allokerede hukommelsesområder, slettede filreferencer, metadata og andre tekniske oplysninger.

Begrebet "image" beskriver indledningsvis den form, hvori et sikkerhedskopieret datasæt er gemt. Afgørende er det ikke kun filtypen eller det anvendte containerformat, der betyder noget, men også hvilken datakilde der rent faktisk blev registreret, på hvilket teknisk niveau sikkerhedskopieringen blev udført, og om det resulterende datasæt kan valideres på en sporbar måde senere.

Et retsmedicinsk billede er derfor ikke automatisk synonymt med en komplet fysisk kopi af enhver intern lagringstilstand. Den teknisk opnåelige datamængde kan variere betydeligt mellem traditionelle harddiske, SSD'er, smartphones, virtuelle maskiner og cloud-systemer.

Hvad er et retsmedicinsk billede præcist?

Et retsmedicinsk billede er en lagret repræsentation af et digitalt kildemedium. Det gør det muligt at analysere de sikrede data uafhængigt af den originale enhed.

I tilfælde af en traditionel harddisk kan billedet for eksempel indeholde hele det logisk adresserbare lagerområde. I andre systemer kan det være en repræsentation af et filsystem, en partition, et logisk volumen eller et datasæt defineret på en anden måde.

Udtrykket alene angiver ikke, hvor komplet sikkerhedskopien er. En teknisk forsvarlig undersøgelsesrapport bør altid desuden beskrive præcist, hvad der blev afbildet.

Hvorfor laves der retsmedicinske billeder?

Det primære mål er at holde den originale enhed ude af den faktiske analyse så meget som muligt, efter den er blevet sikret. Dette forhindrer gentagne undersøgelser i at unødvendigt tilgå originalen.

Samtidig muliggør et billede reproducerbar analyse. Det samme datasæt kan undersøges med forskellige værktøjer, evalueres flere gange eller videregives til en anden ekspert til uafhængig gennemgang.

På denne måde skaber et retsmedicinsk billede et stabilt teknisk grundlag for senere undersøgelser.

Hvad adskiller et retsmedicinsk billede fra en normal billedfil?

Selv almindelige IT-programmer bruger udtrykket "image". Systemimages, virtuelle harddiske eller backupimages tjener dog ofte et andet formål: gendannelse eller migrering af et system.

I modsætning hertil skabes et retsmedicinsk billede med fokus på sporbarhed, integritet og efterfølgende analyse. Afhængigt af metoden omfatter dette dokumenterede backuptrin, hashværdier, metadata om kildemediet og den mest kontrollerede mulige dataindsamling.

Derfor er ikke alle billeder automatisk egnede til retsmedicinsk brug.

Hvad er et RAW-billede?

Et RAW-billede er et direkte resultat af datablokkene, der læses fra et lagringsmedie. Det indeholder i bund og grund dataene, som de blev læst via den respektive grænseflade.

Typiske filtypenavne inkluderer .dd, .img og .raw. Filnavnet er dog mindre vigtigt end dets faktiske struktur.

RAW-billeder har den fordel, at de er meget bredt kompatible. Mange analyseværktøjer kan læse dem direkte, fordi der næsten ikke kræves yderligere containerlogik.

Hvad er fordelene ved et RAW-billede?

• simpelt dataformat
• bred support gennem retsmedicinsk software
• lav afhængighed af proprietære containerstrukturer
• direkte adgang til de lagrede datablokke
• velegnet til tværgående analyser

Ulempen er, at yderligere sagsinformation, komprimering og interne verifikationsmekanismer ikke er integreret på samme måde som med specialiserede retsmedicinske containere.

Hvad er et E01-billede?

E01 er et udbredt retsmedicinsk containerformat. Udover de faktiske data kan det gemme yderligere information til sikkerhedskopiering og understøtter funktioner som komprimering og segmentering.

Dette gør det muligt at opdele et stort billede i flere mindre filer. Analyseprogrammer kan derefter behandle disse segmenter som et sammenhængende datasæt.

E01 har været understøttet af adskillige retsmedicinske værktøjer i mange år og er derfor etableret i mange efterforskningsmiljøer.

Hvad er forskellen på RAW og E01?

Den vigtigste forskel ligger i lagringsmetoden. RAW indeholder i bund og grund en direkte sekvens af de optagede datablokke. E01 gemmer disse data i en struktureret container.

Containeren kan indeholde yderligere metadata, verifikationsoplysninger og komprimering. RAW er derimod teknisk set enklere og mere universel.

Hvilket format der er mest passende afhænger af den specifikke arbejdsgang. Fra et retsmedicinsk perspektiv er ingen af ​​formaterne automatisk bedre.

Hvad er AFF?

AFF står for Advanced Forensic Format. Det blev specifikt udviklet til digital retsmedicin og kan gemme yderligere metadata og revisionsoplysninger udover de faktiske data.

Der findes adskillige variationer af formatet. I praksis afhænger brugen af ​​det i høj grad af de anvendte analyseværktøjer og deres understøttelse.

Som med ethvert format bør det inden langtidsarkivering overvejes, om andre værktøjer vil være i stand til pålideligt at behandle dataene senere.

Hvad er et sparsomt billede?

Et sparse image indeholder ikke nødvendigvis alle lagerblokke på en databærer. I stedet kan kun specifikke relevante eller optagede områder gemmes.

Dette reducerer lagerkravene betydeligt. Fra et retsmedicinsk perspektiv er det dog vigtigt at dokumentere præcist, hvilke områder der ikke er inkluderet i backup'en.

Et sparsomt billede kan være uegnet til undersøgelse af slettede data, hvis ikke-allokerede lagerområder ikke blev registreret.

Hvad er et logisk billede?

Et logisk billede indeholder et logisk udvalgt datasæt. Dette kan f.eks. omfatte brugerfiler, specifikke mapper eller data leveret af operativsystemet.

Den adskiller sig fra en fuld sektor-for-sektor-backup ved, at den ikke optager hele den adresserbare lagerplads.

En logisk backup kan stadig være nyttig til retsmedicinske formål, hvis spørgsmålet er klart begrænset, eller hvis fuld adgang er teknisk umulig.

Hvad er et fysisk billede?

Et fysisk billede defineres ofte som en så omfattende repræsentation af det tilgængelige lagerområde som muligt. Med traditionelle lagringsmedier svarer dette ofte til en sektor-for-sektor-backup af hele det logisk adresserbare medie.

Udtrykket bruges dog mindre konsekvent i forbindelse med smartphones. På grund af moderne krypterings- og sikkerhedsarkitekturer er der ofte ikke mulighed for reel direkte adgang til den fysiske flashhukommelse.

Begrebet "fysisk billede" bør derfor altid betragtes i sammenhæng med den anvendte teknologi.

Hvad betyder sektor-for-sektor-beskyttelse?

I en sektor-for-sektor-backup læses den adresserbare lagring på en databærer blok for blok. Filsystemet bestemmer ikke, hvilke filer der kopieres.

Det betyder også, at lagerområder, der ikke i øjeblikket er tildelt nogen synlig fil, også registreres.

Dette er en betydelig fordel i forhold til en normal filkopi, når det er nødvendigt at undersøge slettede data, filsystemstrukturer eller tidligere lagerindhold.

Hvad betyder bitvis backup?

Udtrykket "bitvis kopiering" bruges ofte synonymt med sektorvis backup. Teknisk set læses en databærer dog normalt blokvis eller sektorvis via sin grænseflade.

Udtrykket er ment til at udtrykke, at ikke kun udvalgte filer kopieres, men at den tilgængelige lagerplads indfanges så fuldstændigt som muligt.

Med moderne SSD'er og flash-lagringsenheder bør det dog ikke konkluderes, at hver eneste fysiske hukommelsescelle kopieres direkte.

Hvad betyder logisk adresserbar hukommelse?

Et operativsystem ser normalt ikke den faktiske interne fysiske placering af hukommelsesceller på en lagerenhed. Det fungerer med logiske blokadresser.

Datalagringscontrolleren oversætter disse logiske adresser internt til fysiske hukommelsesområder.

Et klassisk retsmedicinsk billede indfanger derfor normalt den logisk adresserbare lagring. Med harddiske er forholdet relativt direkte. Med SSD'er kan controlleren dog flytte, erstatte eller internt rydde op i lagerområder i baggrunden.

Hvorfor er dette vigtigt for SSD'er?

SSD'er bruger teknologier som slidudjævning, garbage collection og TRIM. Dette gør det muligt for controlleren at administrere den fysiske flashhukommelse stort set uafhængigt af operativsystemet.

Et sektor-for-sektor-billede af en SSD kan fuldt ud indfange den logisk synlige lagring, men ikke nødvendigvis alle fysisk eksisterende tilstande i flashhukommelsen.

Dette er især relevant, når man skal gendanne slettede data.

Hvad betyder TRIM for et billede.

TRIM giver operativsystemet mulighed for at informere SSD'en om, hvilke datablokke der ikke længere er nødvendige. Disse områder kan derefter ryddes op internt.

Hvis et hukommelsesområde allerede er blevet ryddet op, vil et efterfølgende oprettet retsmedicinsk billede ikke længere indeholde disse tidligere data.

Billedet afspejler derfor den teknisk opnåelige tilstand på sikkerhedskopieringstidspunktet, ikke automatisk alle historiske lagringstilstande.

Hvad er Slack Space?

Slack space refererer til ubrugte områder inden for eller i slutningen af ​​allokerede hukommelsesblokke. Afhængigt af filsystemet og lagringsorganisationen kan der være rester af data der.

En normal filkopi udelukker typisk sådanne områder. En sektor-for-sektor-backup kan dog inkludere dem.

Hvorvidt relevante oplysninger rent faktisk er tilgængelige der, skal undersøges i hvert enkelt tilfælde.

Hvad er ikke-allokeret plads?

Ikke-allokeret plads er lagerplads, der ikke i øjeblikket er tildelt nogen aktiv fil. Under visse omstændigheder kan der stadig findes fragmenter af slettede filer i sådanne områder.

I et sektor-for-sektor sikkerhedssystem er dette område generelt inkluderet.

Det er netop derfor, at et komplet retsmedicinsk billede kan være betydeligt mere værdifuldt end en normal filkopi, når man undersøger slettede data.

Hvad er filudskæring?

File carving er en metode til at rekonstruere filer baseret på typiske filstrukturer eller signaturer uden udelukkende at stole på eksisterende filsystemoplysninger.

Metoden kan især bruges i ikke-allokerede hukommelsesområder.

Et problem er, at fragmenterede filer muligvis kun delvist eller slet ikke rekonstrueres korrekt. Desuden mangler udskårne filer ofte originale filnavne eller stioplysninger.

Kan filudskæring gendanne slettede filer fra ethvert billede?

Nej. Filudskæring fungerer kun, hvis relevante datablokke stadig er til stede. Hvis de er blevet overskrevet, fjernet af TRIM eller gjort kryptografisk utilgængelige, kan udskæring ikke rekonstruere dataene.

Derudover kan det være vanskeligt eller endda umuligt at gendanne meget fragmenterede filer korrekt.

Proceduren er derfor et værktøj til datarekonstruktion, men ikke en garanti for gendannelse.

Hvordan skabes et billede?

Kildemediet læses ved hjælp af passende hardware eller software, og de læste data gemmes på et separat målsystem.

Afhængigt af lagringsmediet kan en hardware-skriveblokering anvendes. Under sikkerhedskopieringsprocessen bør det dokumenteres, hvilket kildemedie der blev brugt, dets kapacitet, og om der opstod læsefejl.

Når sikkerhedskopieringsprocessen er fuldført, udføres der ofte en integritetskontrol.

Hvor lang tid tager billeddannelsesprocessen?

Varigheden afhænger primært af lagerkapacitet, grænseflade, læsehastighed, databærerens tilstand og måldrevet.

Under gunstige forhold kan en 1TB SSD sikkerhedskopieres betydeligt hurtigere end en ældre eller beskadiget 1TB harddisk.

Læsefejl kan øge varigheden betydeligt, fordi problematiske områder muligvis skal læses flere gange.

Hvorfor svarer billeddannelsestiden ikke blot til den maksimale grænsefladehastighed?

Teoretiske grænsefladeværdier som USB 3.x, SATA eller Thunderbolt angiver kun en maksimal overførselshastighed under ideelle forhold.

I praksis påvirker databærerhastighed, controller, kabinet, skriveblokering, målmedie, software og læsefejl den faktiske gennemstrømningshastighed.

Derfor bør seriøs planlægning ikke udelukkende baseres på grænsefladen's teoretiske maksimumværdier.

Hvad sker der, hvis der er en læsefejl?

Hvis en hukommelsesblok ikke kan læses, bør billeddannelsesværktøjet logge denne fejl. Afhængigt af backupstrategien kan området genlæses, springes over eller repræsenteres i billedet med en defineret erstatningsværdi.

Den anvendte metode skal dokumenteres, da den kan påvirke senere fortolkning.

Især ved fysisk beskadigede databærere er det ofte mere fornuftigt først at sikkerhedskopiere så mange letlæselige områder som muligt, i stedet for unødigt at belaste et ustabilt medie med intensive gentagelsesforsøg.

Hvad er en dårlig sektor?

En dårlig sektor er et hukommelsesområde, der ikke længere kan læses eller skrives pålideligt. I tilfælde af harddiske (HDD'er) kan dette skyldes fysisk skade eller ældning.

I SSD'er erstattes defekte flashområder ofte internt af reserveblokke. Denne proces forbliver delvist skjult for operativsystemet.

Et retsmedicinsk billede kan kun indfange data, der faktisk stadig kan læses via den respektive grænseflade.

Hvorfor skal der være læsefejl i rapporten?

Et billede med ulæselige områder kan stadig være meget værdifuldt. Det ville dog være teknisk forkert at præsentere det som komplet uden nogen begrænsninger.

Antallet og placeringen af ​​læsefejl kan være relevant under efterfølgende evaluering. Hvis et ulæseligt område for eksempel ligger i en vigtig fil eller database, kan dette påvirke fortolkningen.

Hvad er billedverifikation?

Billedverifikation refererer til at kontrollere, om det gemte billede stemmer overens med de data, der blev registreret under sikkerhedskopieringen.

Hashværdier bruges ofte til dette formål. Det genererede billede læses og hashes igen. Hvis de tilsvarende checksums stemmer overens, kan integriteten af ​​de lagrede data verificeres.

Den specifikke verifikationsmetode afhænger af det anvendte billedformat.

Hvilke hashværdier er egnede til billedverifikation?

Moderne arbejdsgange bruger ofte SHA-256. Ældre metoder som MD5 eller SHA-1 findes stadig i historiske og eksisterende retsmedicinske miljøer.

For simpelt at detektere utilsigtede ændringer kan ældre hashing-metoder stadig anvendes i praksis. Til nye arbejdsgange anbefales det dog at bruge moderne kryptografiske hash-funktioner.

Det er især vigtigt, at det tydeligt dokumenteres, hvilken algoritme der blev anvendt på hvilke data.

Kan en hashværdi autentificere et billede?

En hashværdi bekræfter ikke indholdets oprindelse eller sandhed. Den viser blot, om et defineret datasæt er forblevet uændret i forhold til en kendt referenceværdi.

Hvis de originale data allerede er blevet manipuleret, vil billedet også generere en teknisk korrekt hashværdi.

Integritet og autenticitet skal derfor betragtes separat.

Hvad betyder det at montere et retsmedicinsk billede?

Et retsmedicinsk billede kan monteres som et virtuelt drev ved hjælp af passende software. Denne proces kaldes montering.

Dette gør det muligt at se det indeholdte filsystem på samme måde som et normalt drev, uden at det originale datamedie behøver at være tilsluttet.

Af retsmedicinske årsager bør billedet indlejres i skrivebeskyttet tilstand for at forhindre ændringer i de data, der undersøges.

Hvad er skrivebeskyttet montering?

Ved skrivebeskyttet montering monteres billedet på en sådan måde, at data kan læses, men ikke skrives.

Dette reducerer risikoen for, at operativsystemer eller analyseprogrammer ændrer de sikkerhedskopierede data.

Derudover bør det kontrolleres, om det anvendte monteringsværktøj rent faktisk fungerer i skrivebeskyttet tilstand, og hvordan det håndterer indlejrede filsystemer.

Kan et retsmedicinsk billede ændres ved et uheld?

Ja. Et billede er i sidste ende en digital fil. Hvis det gemmes på et skrivbart lagringsmedie og åbnes uden beskyttelse, kan det teoretisk set ændres.

Derfor holdes det originale billede og arbejdskopien ofte adskilt. Den originale backup forbliver arkiveret uændret, mens analysen udføres på en kopi.

Hashværdier giver dig derefter mulighed for at kontrollere, om det originale billede har ændret sig.

Hvorfor skal man adskille det originale billede og arbejdskopien?

Under en analyse oprettes der ofte indekser, eksporter, søgedatabaser og midlertidige filer. Afhængigt af værktøjet kan direkte ændringer af en monteret datakilde også være mulige.

En separat arbejdskopi forhindrer, at det arkiverede kildebillede unødvendigt inkluderes i denne proces.

Hvis arbejdskopien bliver beskadiget, kan der altid oprettes en ny kopi ud fra det uændrede originale billede.

Hvad betyder validering på tværs af værktøjer?

Validering på tværs af værktøjer betyder, at et relevant fund verificeres med et andet uafhængigt værktøj.

Dette kan være nyttigt, hvis et fund er særligt vigtigt, eller hvis fortolkningen af ​​en artefakt ikke synes klar.

Retsmedicinsk software bruger parsere til at fortolke filformater og databaser. Parsere kan indeholde fejl. Derfor kan uafhængig verifikation øge pålideligheden af ​​en erklæring.

Hvorfor er understøttelse af åbne formater vigtig?

Et retsmedicinsk billede kan gemmes i mange år. Men hvis det anvendte format senere kun kan læses af et enkelt, forældet softwareprogram, opstår der en langsigtet risiko.

Derfor kan bred understøttelse af billedformatet være et vigtigt udvælgelseskriterium for arkiveringsværdige sikkerhedskopier.

Især i tilfælde af retssager eller langtidsarkiver bør fremtidig tilgængelighed tages i betragtning.

Hvad betyder billedmetadata?

Nogle containerformater kan gemme yderligere oplysninger om sikkerhedskopien. Afhængigt af formatet kan dette f.eks. omfatte sagsnummer, bevisbeskrivelse, efterforsker, dato og tidspunkt eller tekniske oplysninger om erhvervelsen.

Disse metadata erstatter ikke ekstern dokumentation, men kan give yderligere kontekstuel information.

Det er vigtigt, at indholdet af sådanne felter vedligeholdes korrekt og forståeligt.

Kan et billede indeholde personoplysninger, der ikke engang bliver undersøgt?

Ja. Et komplet diskbillede kan indeholde langt flere oplysninger, end der er relevante for det specifikke spørgsmål.

For eksempel kan en virksomhedscomputer indeholde private kommunikationsdata, personoplysninger fra tredjeparter eller fortrolige virksomhedsoplysninger.

Et billedes tekniske fuldstændighed betyder derfor ikke, at alle de oplysninger, det indeholder, kan eller skal evalueres.

Hvorfor er dataminimering relevant på trods af et komplet image?

Det kan være teknisk tilrådeligt først at sikkerhedskopiere en hel databærer for at undgå at miste relevante spor. Den efterfølgende analyse kan stadig begrænses til et specifikt spørgsmål.

Dette muliggør en kombination af bevisbevaring og databeskyttelsesorienteret evaluering.

Sikkerhedsniveauet og analyseniveauet bør derfor være konceptuelt adskilt.

Kan en virtuel maskine startes fra et image?

Under visse betingelser kan en sikret databærer overføres til et virtuelt miljø og startes der. Denne procedure kan være nyttig til visse undersøgelser.

Denne proces skaber dog nye tilstande og ændringer i den virtuelle kopi. Derfor bør en sådan start ikke forveksles med den oprindelige systemtilstand.

Det virtuelle miljø bør altid behandles som en separat arbejdskopi.

Hvornår er virtualisering nyttig?

Virtualisering kan være nyttig, når man undersøger opførslen af ​​installeret software eller replikerer et brugermiljø.

Det kan også give adgang til applikationer, hvis data kun kan fortolkes meningsfuldt i forbindelse med det originale operativsystem.

Med henblik på sikring af bevismateriale er virtualisering dog ikke en erstatning for en ren erhvervelse af originalen.

Kan malware i et billede være farligt?

Et retsmedicinsk billede kan indeholde malware. Så længe det kun gemmes som et datasæt, er dette normalt ikke kritisk.

Men hvis det inkluderede operativsystem startes, eller en mistænkelig fil køres, kan malwaren blive aktiv.

Derfor bør sådanne undersøgelser finde sted i isolerede analysemiljøer.

Kan et billede gemmes i krypteret form?

Ja. Retsmedicinske billeder indeholder ofte meget følsomme data og bør derfor beskyttes tilstrækkeligt.

Kryptering af lagringssystemet eller containeren kan være en vigtig del af sikkerhedskonceptet.

Nøglehåndteringssystemet skal være designet på en sådan måde, at dataene forbliver pålideligt tilgængelige senere.

Hvad sker der, hvis billedet bliver beskadiget?

Skader kan skyldes defekte lagringsmedier, transmissionsfejl eller problemer med filsystemet.

Derfor giver det mening at gemme vigtige billeder redundant og regelmæssigt kontrollere dem for læsbarhed og integritet.

En dokumenteret hashværdi kan hjælpe med at identificere, om den gemte fil er ændret.

Hvorfor kan et billede ikke kun gemmes én gang?

Et enkelt lagringsmedie repræsenterer et enkelt fejlpunkt. Hvis dette medie fejler, kan hele grundlaget for undersøgelsen gå tabt.

Derfor kan det i vigtige tilfælde være nyttigt med flere separate sikkerhedskopier.

Disse kopier skal beskyttes og dokumenteres på samme måde som det primære billede.

Hvad kaldes et retsmedicinsk billede?

Filnavnet skal være utvetydigt og forståeligt. Det skal undgå forveksling med andre beviser.

Professionelle arbejdsgange bruger ofte et unikt bevisnummer eller en sagsidentifikator.

Personnavne alene er ofte uegnede som filnavne, især når man undersøger flere enheder, der tilhører den samme person.

Hvad skal man overveje, når man arbejder med store datalagringsenheder?

For lagringsmedier med en kapacitet på flere terabyte øges lagringskravene, backuptiden og analyseindsatsen betydeligt.

Før start bør det kontrolleres, om der er tilstrækkelig ledig lagerplads til billedet, arbejdskopier og analyseprojekter.

Afhængigt af arbejdsgangen kan et outputmedie på 8 TB kræve betydeligt mere end 8 TB samlet lagerplads.

Hvorfor er et 8 TB-targetdrev ikke altid tilstrækkeligt til et 8 TB-billede?

Producentens specifikationer og kapaciteter vist af operativsystemet kan beregnes forskelligt. Derudover kræver selve filsystemet lagerplads.

Dette omfatter også mulige segmenteringsfiler, analyseprojekter og midlertidige data.

Derfor bør et målmedium have tilstrækkelig reservekapacitet og bør ikke dimensioneres nøjagtigt til den nominelle kildekapacitet.

Hvad er et billede af en enkelt partition?

Det er muligt kun at sikkerhedskopiere en enkelt partition i stedet for hele den fysiske disk.

Dette kan være nyttigt, hvis den relevante datakilde er tydeligt begrænset til denne partition.

Dette kan dog føre til tab af information uden for partitionen, såsom partitionstabeller, andre volumener eller ikke-allokeret plads.

Hvad er et volumenbillede?

Et volumenbillede repræsenterer et logisk volumen. Dette kunne for eksempel være et dekrypteret BitLocker-volumen eller et monteret filsystem.

Fordelen er, at de indeholdte filer kan analyseres med det samme.

Ulempen er, at information uden for dette logiske volumen muligvis ikke kan registreres.

Hvad er bedre: et fysisk billede eller et volumenbillede?

Der er ikke et enkelt svar. Et fysisk billede kan give en bredere database. Omvendt kan et volumenbillede være praktisk nødvendigt for krypterede systemer, hvis kun den allerede dekrypterede tilstand kan analyseres.

I nogle tilfælde kan det være nyttigt at sikkerhedskopiere begge versioner.

Beslutningen afhænger af spørgsmålet, enheden og sikkerhedsstatussen.

Hvad betyder dead-box-billeddannelse?

Dead-box-billeddannelse refererer til processen med at sikkerhedskopiere et slukket system eller en databærer uden at starte det oprindelige operativsystem.

Databæreren læses separat eller via et kontrolleret bootmedie.

Fordelen ligger i en stort set kontrollerbar indsamling. Med krypterede systemer kan adgangen til dataene dog være begrænset.

Hvad er forskellen på live-billeder?

Live-billeddannelse bruger et kørende system til at sikkerhedskopiere data. Dette kan være nødvendigt, hvis et drev kun er tilgængeligt, når det er ulåst.

Ulempen er, at hver sikkerhedskopieringsproces ændrer det kørende system.

Live-billeddannelse er derfor ikke en dårligere metode, men en anderledes metode til forskellige tekniske situationer.

Hvordan dokumenteres et billede?

Professionel dokumentation bør ikke kun indeholde billedfilnavnet. Kilden, sikkerhedskopieringstidspunktet, den anvendte metode og de tekniske specifikationer er også relevante.

• Bevisidentifikation
• Producent og model
• serienummer
• hukommelse
• Kildegrænseflade
• Backupmetode
• Billedformat
• Anvendt software og version
• brugt hardware
• Start og slut af sikkerhedskopieringen
• Hashingmetoder og hashværdier
• Læsefejl
• Afvigelser fra standardproceduren

Praktisk eksempel: Undersøgelsesrelevant Windows-pc

En virksomhedscomputer skal undersøges for at fastslå, om fortrolige data blev overført til en ekstern databærer, før en medarbejder forlod virksomheden.

En simpel kopi af brugermappen ville kun opfange en del af de potentielle spor. Yderligere Windows-artefakter, USB-historik, filsystemoplysninger, genvejsfiler, brugeraktivitet og andre systemdata kan være relevante for undersøgelsen.

Et komplet retsmedicinsk billede af den tilgængelige databærer skaber et betydeligt bredere grundlag for undersøgelse. Efterfølgende analyse kan derefter udføres flere gange og med forskellige værktøjer.

Praktisk eksempel: Beskadiget harddisk

En ældre harddisk viser i stigende grad læsefejl. Direkte åbning af individuelle filer via Stifinder kan forårsage yderligere adgang til problematiske områder.

I en sådan situation kan det være nyttigt først at lave en så komplet sikkerhedskopi af databæreren som muligt. Den efterfølgende analyse udføres derefter på det genererede billede.

Dette minimerer yderligere belastning af den ustabile originale databærer.

Praktisk eksempel: BitLocker-system

En Windows-notebook er tændt, og BitLocker-diskenheden er allerede låst op. Hvis enheden er slukket, er det kun det krypterede drev, der kan være tilgængeligt.

I en sådan situation kan det være nyttigt at lave en yderligere sikkerhedskopi af den dekrypterede tilstand.

Dette eksempel viser, at et fysisk billede ikke automatisk er den bedste eller eneste retsmedicinske datakilde.

Praktisk eksempel: Anden eksamen år senere

Et retsmedicinsk billede blev oprettet i en tidligere procedure og dokumenteret ved hjælp af SHA-256. År senere vil det blive verificeret, om en tidligere fortolkning af en artefakt var korrekt.

Hvis billedet forbliver uændret og stadig er læsbart, kan det analyseres igen ved hjælp af nuværende værktøjer.

Teknisk viden kan udvikle sig, mens de underliggende data forbliver de samme. Det er netop her, en betydelig langsigtet værdi af retsmedicinske billeder ligger.

Hvad er nogle typiske fejl i billeddannelse?

• Forkert kildedrev valgt
• Billede skrevet til kildemediet
• manglende eller ukontrolleret skrivebeskyttelse
• utilstrækkelig målhukommelse
• udokumenterede læsefejl
• falsk antagelse om, at et logisk billede er et komplet fysisk billede
• manglende verifikation
• uklar enhedstildeling
• Originalbillede og arbejdskopi ikke adskilt
• uegnet eller dårligt understøttet langtidsformat
• Billede gemt ukrypteret på et usikkert lagringsmedie
• Fejlfortolkning af en hashværdi som bevis på ægthed

Hvornår er et retsmedicinsk billede særligt værdifuldt?

Et retsmedicinsk billede er særligt værdifuldt, når en databærers tilstand skal bevares til senere analyse.

• Undersøgelse af slettede filer
• Mistanke om datatyveri
• Rekonstruktion af brugeraktiviteter
• Malware-analyse
• Undersøgelse af et muligt cyberangreb
• retslig bevissikring
• uafhængig anden vurdering
• Langtidsarkivering af et undersøgelsesgrundlag
• Analyse ved hjælp af flere forskellige retsmedicinske værktøjer

Hvornår er et komplet billede ikke absolut nødvendigt?

For klart definerede spørgsmål kan selektiv eller logisk backup være tilstrækkelig. Dette gælder især for meget store datasæt, eller når kun en specifik datakilde er relevant.

Selv i cloud-miljøer eller på mobile enheder kan et komplet klassisk image være teknisk umuligt.

Det korrekte spørgsmål er derfor ikke, om der altid skal oprettes et fuldt billede, men snarere hvilket niveau af backupdybde der kræves for pålideligt at besvare det specifikke spørgsmål.

Ofte stillede spørgsmål om retsmedicinske billeder

Er alle .img-filer et retsmedicinsk billede?

Nej. Filtypen alene siger intet om sikkerhedskopiens kvalitet eller oprindelse. Det, der betyder noget, er, hvordan billedet blev oprettet og dokumenteret.

Kan et retsmedicinsk billede åbnes direkte i Explorer?

Med passende monteringssoftware kan et billede monteres som et virtuelt drev. Til retsmedicinske undersøgelser bør dette ideelt set gøres i skrivebeskyttet tilstand.

Kan et billede indeholde slettede filer?

Ja, hvis de relevante lagerområder er en del af sikkerhedskopien, og dataene endnu ikke er blevet overskrevet eller internt ryddet op.

Er det muligt at gendanne data fra et billede?

Ja, under visse betingelser. Gendannelsen afhænger af filsystemet, lagringstilstanden og den resterende datastruktur.

Kan et billede være mindre end den originale databærer?

Ja. Komprimering, sparse metoder eller logiske backupteknikker kan reducere lagerkravene. Det skal dog være tydeligt, hvilke dataområder der rent faktisk blev registreret.

Kan et billede være større end den tildelte lagerplads?

Ja. Et fuldt RAW-billede bestemmes af den adresserbare diskkapacitet og ikke af antallet af aktuelt synlige filer.

Kan et billede ændres bagefter?

Teknisk set, ja. Derfor er adgangskontrol, separate arbejdskopier og dokumenterede hashværdier vigtige.

Kan det samme billede undersøges med flere programmer?

Ja, forudsat at det anvendte format understøttes. Dette kan være nyttigt til uafhængig validering af vigtige fund.

Er et retsmedicinsk billede automatisk tilladt i retten?

Nej. Et billedes blotte eksistens afgør ikke dets juridiske antagelighed. Afgørende faktorer omfatter dets oprindelse, bevaringsmetoden, dokumentationen, integriteten og den specifikke proceduremæssige kontekst.

Kan et billede bevise, hvem der har slettet en fil?

Ikke automatisk. Billedet indeholder de tilgængelige digitale spor. At tilskrive det til en bestemt person kræver yderligere artefakter og er ikke teknisk muligt i alle tilfælde.

Den reelle merværdi af et retsmedicinsk billede

Den største fordel ved et retsmedicinsk billede er ikke, at der findes en anden kopi af en databærer. Dets værdi ligger i, at en defineret digital tilstand bevares til senere undersøgelser.

Baseret på dette kan forskellige analytiske metoder anvendes, resultater kan reproduceres, og særligt relevante fund kan verificeres uafhængigt. Den originale enhed behøver ikke at blive brugt igen for hvert nyt spørgsmål.

Et retsmedicinsk billede af høj kvalitet er derfor karakteriseret ved fire punkter: en klart defineret datakilde, en passende backupmetode, sporbare integritetskontroller og dokumentation, der viser, hvad der rent faktisk blev sikkerhedskopieret.

Kun denne kombination forvandler en simpel billedfil til et pålideligt grundlag for digital retsmedicin.