Retsmedicinsk databackup er den metodisk kontrollerede bevaring af digitale data med det formål at skabe det mest pålidelige og verificerbare grundlag for senere undersøgelser. Det adskiller sig fra almindelig databackup primært ved, at ikke kun indholdet bevares, men også dets oprindelse, integritet, backupmetode og tekniske parametre dokumenteres.

Fokus er derfor ikke på, hvordan data kan kopieres så hurtigt som muligt. Det afgørende spørgsmål er snarere, hvilken datakilde der er tilgængelig, hvilke oplysninger der kan være relevante for undersøgelsen, og hvordan disse data kan sikkerhedskopieres uden unødigt at ændre den oprindelige situation.

Bevaring af retsmedicinske data kan variere betydeligt afhængigt af enheden. For en traditionel harddisk kan sektor-for-sektor-billeddannelse være passende. En smartphone kan derimod kræve filsystemudtrækning eller en anden teknisk tilgængelig indsamlingsmetode. En live-server kan til gengæld nødvendiggøre en live-backup. Der findes ingen enkelt backupmetode, der er egnet til alle digitale beviser.

Hvad betyder retsmedicinsk databackup præcist?

Retsmedicinsk databevaring betyder at indsamle digitale data på en sådan måde, at de kan bruges så pålideligt som muligt til senere teknisk undersøgelse. Dette omfatter mere end blot at kopiere filer. Afhængigt af systemet kan filsystemstrukturer, metadata, områder, der ikke er umiddelbart synlige, systeminformation, databaser eller andre tekniske artefakter også være relevante.

En professionel backup bør primært opnå tre mål: at bevare dataenes tilstand bedst muligt, at kontrollere eller minimere ændringer og at dokumentere hele backupprocessen på en sporbar måde.

Dette gør selve sikringsprocessen til en del af den retsmedicinske metode. En efterfølgende analyse kan kun være så pålidelig som de data, den er baseret på.

Hvorfor er en almindelig kopi ikke altid tilstrækkelig?

En standard filkopi opfanger typisk kun filer og mapper, der er synlige og tilgængelige for operativsystemet. I mange hverdagssituationer er dette fuldt ud tilstrækkeligt. Til en retsmedicinsk undersøgelse kan dette dog være utilstrækkeligt.

En simpel kopiering kan resultere i tab af information, der kan være relevant for at rekonstruere en situation. Afhængigt af systemet omfatter dette f.eks. filsysteminformation, slettede filreferencer, ikke-allokerede hukommelsesområder, visse metadata eller spor af tidligere brug.

Desuden kan selv den normale handling at åbne, kopiere eller flytte filer ændre tidsstempler eller andre systemoplysninger. Derfor tager retsmedicinsk databackup ikke kun det synlige indhold i betragtning, men også de tekniske metoder, der bruges til at sikkerhedskopiere data.

Hvad er forskellen mellem backup og retsmedicinsk datagendannelse?

En sikkerhedskopi tjener primært til at gendanne data efter tab, skade eller fejl. Den skal muliggøre genoptagelse af normal forretningsdrift eller brug af personlige data.

En retsmedicinsk databackup forfølger et andet mål. Her er fokus på efterfølgende undersøgelse. Derfor kan information, der ville være irrelevant for en normal backup, også være relevant.

• Sikkerhedskopier fokuserer normalt på brugbare filer og systemer.
• Retsmedicinske beviser kan indfange yderligere tekniske strukturer.
• Dokumentation af backupprocessen er afgørende for bevarelse af retsmedicinske beviser.
• Integritetstjek spiller en større rolle.
• Håndteringen af ​​originalen er strengere kontrolleret.
• Muligheden for at kunne spore dataenes oprindelse på et senere tidspunkt er afgørende.

En eksisterende backup kan stadig være en værdifuld retsmedicinsk datakilde. Den erstatter dog ikke automatisk en målrettet retsmedicinsk backup af det oprindelige system.

Hvad er en retsmedicinsk kopi?

Udtrykket "retsmedicinsk kopi" bruges på forskellige måder. I en snævrere forstand kan det henvise til en kopi af en databærer, der er så komplet som muligt og bruges til senere undersøgelse. Et retsmedicinsk billede oprettes ofte til dette formål.

Det er vigtigt ikke at bruge udtrykket for bredt. Med en traditionel harddisk kan et sektor-for-sektor-billede være teknisk nyttigt. Med moderne smartphones, krypterede systemer eller cloud-tjenester findes der dog ingen identisk form for en traditionel harddiskkopi.

Derfor bør det altid specifikt beskrives, hvilken type sikkerhedsforanstaltninger der rent faktisk blev implementeret.

Hvad er et retsmedicinsk billede?

Et retsmedicinsk billede er en struktureret repræsentation af et datalagringsmedie eller datasæt, der efterfølgende kan undersøges. Med traditionelle datalagringsmedier kan dette involvere en sektor-for-sektor-scanning af det adresserbare lager.

Afhængigt af det anvendte format kan yderligere metadata til sikkerhedskopiering, checksummer, komprimering eller segmentering inkluderes. Billedet tjener derefter som grundlag for analysen, så originalen ikke behøver at blive genbrugt til hver analyse.

Et retsmedicinsk billede er dog ikke en magisk formel for en "perfekt kopi". Den faktiske fuldstændighed afhænger af, hvilke områder der var teknisk tilgængelige, og hvilken backupmetode der blev brugt.

Hvad betyder "bitvis" eller "sektorvis" backup?

I en sektor-for-sektor-backup læses den adresserbare lagring på en databærer blok for blok. I modsætning til en normal filkopiering tilgår denne proces ikke kun de logisk synlige filer.

Under visse betingelser betyder det, at filsystemstrukturer, ikke-allokerede lagerområder eller fragmenter af slettede data også kan være inkluderet i sikkerhedskopien.

Dette kan være særligt relevant for senere datagendannelse med traditionelle harddiske. SSD'er og flash-lagringsenheder har dog yderligere tekniske begrænsninger, især på grund af hukommelsesstyring, TRIM og intern controllerlogik.

Er en 1:1-kopi altid virkelig 1:1?

Udtrykket "1:1-kopi" bruges ofte, men kan være misvisende. Med et traditionelt, direkte adresserbart lagringsmedie kan en sektor-for-sektor-kopi være meget tæt på en fuldstændig repræsentation af den tilgængelige hukommelse.

Situationen er mere kompleks med moderne lagringssystemer. SSD-controllere administrerer hukommelsesceller internt, defekte områder omkortes, og visse fysiske områder er ikke direkte synlige for operativsystemet. Selv i smartphones er der en betydelig forskel mellem det logiske datalag og fysisk lagring.

Derfor giver udsagnet "1:1-kopi" kun mening, hvis det tydeligt er beskrevet, på hvilket teknisk niveau kopien blev oprettet.

Hvilke typer retsmedicinsk databackup findes der?

Den passende sikkerhedskopieringsmetode afhænger af enheden, operativsystemet, sikkerhedsstatus og det specifikke problem. Forskellige metoder anvendes i praksis.

Logisk sikkerhedskopiering

En logisk sikkerhedskopi indsamler data, der er tilgængelige via operativsystemet, en grænseflade eller et program. Dette kan omfatte filer, kontakter, beskeder, dokumenter eller andre logisk leverede data.

Denne metode kan være hurtig og teknisk skånsom, men den indfanger normalt ikke alle underliggende datastrukturer.

Backup af filsystemet

En backup af filsystemet registrerer ikke kun udvalgte synlige filer, men også større dele af filsystemets struktur. Især på mobile enheder kan dette producere betydeligt flere artefakter sammenlignet med en rent logisk backup.

De faktiske indeholdte data afhænger af enheden, operativsystemet og adgangsmetoden.

Fysisk eller sektorbaseret sikkerhed

Med egnede lagringsmedier kan den adresserbare hukommelse scannes sektor for sektor. Denne metode kan afsløre yderligere information, som ikke ville være tilgængelig i en normal filkopi.

Med moderne krypterede enheder og smartphones er en sådan sikkerhed dog ikke altid teknisk tilgængelig eller meningsfuldt fortolkelig.

Live-backup

En live backup involverer undersøgelse eller backup af et kørende system. Dette kan f.eks. være nødvendigt, hvis data kun kan dekrypteres og tilgås, mens systemet kører, eller hvis flygtige oplysninger skal indsamles.

Ulempen er, at enhver adgang til et kørende system forårsager ændringer. Disse kan ikke helt undgås og skal derfor overvåges og dokumenteres.

Cloud-backup

Cloud-data kan sikkerhedskopieres via eksporterede datasæt, API'er, lokale synkroniseringsdata eller andre adgangsmetoder, afhængigt af tjenesten.

Også her skal det dokumenteres, hvordan dataene er indhentet, og hvilket omfang backup'en rent faktisk repræsenterer.

Hvornår bruges en skriveblokering?

En skriveblokering forhindrer en undersøgelsescomputer i at skrive data til en tilsluttet lagerenhed. For traditionelle harddiske, USB-drev eller andre egnede medier kan dette være en vigtig del af databackup.

Hardware-skriveblokkere er fysisk placeret mellem lagringsmediet og det retsmedicinske system. Softwarebaserede løsninger forsøger at forhindre skriveadgang på operativsystemniveau.

En skriveblokering er dog ikke et universelt værktøj til alle enheder. Smartphones, kørende systemer, påloddet hukommelse eller visse moderne lagringsmedier kræver forskellige backupstrategier.

Hvorfor er enhedens tilstand før sikkerhedskopieringen så vigtig?

En enheds tilstand kan påvirke hele backupstrategien. En slukket, krypteret computer har andre krav end et system, der allerede er startet og låst op.

En kørende enhed kan indeholde nøgler, dekrypterede databærere, aktive netværksforbindelser eller midlertidige oplysninger, der går tabt, når den er slukket.

På den anden side ændrer enhver yderligere operation af et system data. Derfor er beslutningen mellem øjeblikkelig nedlukning, live backup eller kontrolleret fortsat brug en professionel vurdering og ikke en standardbeslutning.

Hvorfor skulle en tændt enhed ikke refleksivt slukkes?

Det almindelige råd om øjeblikkeligt at slukke en enhed, hvis du har mistanke om et sikkerhedsbrud, er ikke korrekt i alle situationer. Med en krypteret computer kan det at slukke den gøre lagringsmediet utilgængeligt uden loginoplysninger.

Selv flygtige oplysninger gemt i RAM kan gå tabt. Desuden kan det at fortsætte med at bruge systemet under et igangværende cyberangreb forårsage yderligere skade.

Den passende fremgangsmåde afhænger derfor af den specifikke situation. Især når det drejer sig om vigtige beviser, bør en formelbaseret tilgang undgås.

Hvad er betydningen af ​​RAM?

RAM er ustabilt. Når et system lukkes ned, går dets indhold normalt tabt. I visse undersøgelser kan det dog indeholde relevante oplysninger.

Dette kan omfatte igangværende processer, netværksforbindelser, dekrypterede datakomponenter eller andre midlertidige oplysninger.

I visse tilfælde kan det derfor være tilrådeligt at sikkerhedskopiere RAM'en før nedlukning. Dette er dog en aktiv foranstaltning og ændrer systemet. Også her skal det overvejes, om den potentielle videngevinst berettiger indgrebet.

Hvordan er en Windows-pc retsmedicinsk sikret?

Afhængigt af hardwaren kan det være muligt at sikkerhedskopiere datalagringsenheden direkte, når en Windows-pc er slukket. Forskellige retsmedicinske hardware- og softwaremetoder kan bruges med traditionelle SATA- eller NVMe-lagringsenheder.

Hvis computeren er tændt, og lagringsmediet er krypteret, kan en live backup være nyttig. Den valgte metode afhænger af faktorer som BitLocker, hardwarekonfiguration, enhedsstatus og formålet med undersøgelsen.

En generel udtalelse som "fjern harddisken og kopier dataene" kan derfor være utilstrækkelig med moderne systemer.

Hvordan er en Mac retsmedicinsk sikret?

Moderne Mac-computere adskiller sig markant i deres tekniske design fra ældre computere med let udskiftelige harddiske. I nuværende Apple-systemer kan SSD'er, sikkerhedsarkitektur og kryptering være tæt integreret.

FileVault og hardwarebaserede sikkerhedsfunktioner påvirker adgangsmulighederne betydeligt. Med Apple Silicon-systemer er en traditionel opgradering af lagringsmediet praktisk talt umulig.

Backupstrategien skal derfor tilpasses den specifikke Mac-model, den tændte tilstand og de tilgængelige adgangsmuligheder.

Hvordan er en smartphone retsmedicinsk sikret?

Med smartphones bruges ofte udtrykket "dataudtrækning" i stedet for "klassisk billeddannelse". Moderne iPhones og Android-enheder er stærkt krypterede og har komplekse sikkerhedsarkitekturer.

Afhængigt af enheden kan forskellige udtrækningsmetoder være tilgængelige. For eksempel giver en logisk sikkerhedskopiering en anden mængde data end en filsystemudtrækning.

For smartphones er det også relevant, om enheden er låst eller ulåst, og hvad dens sikkerhedsstatus er. Selv en genstart kan ændre adgangsmulighederne.

Hvad betyder BFU og AFU i forhold til smartphones?

Moderne smartphones skelner ofte mellem tilstanden før den første oplåsning efter en genstart og tilstanden efter en vellykket oplåsning. Teknisk set kaldes disse ofte "Før første oplåsning" og "Efter første oplåsning".

Denne forskel kan være afgørende, fordi visse kryptografiske nøgler og dataadgange først bliver tilgængelige efter vellykket brugeroplåsning.

Derfor kan en unødvendig genstart af en allerede ulåst smartphone ændre de retsmedicinske muligheder betydeligt.

Hvordan sikkerhedskopieres eksterne harddiske og USB-nøgler?

Eksterne lagringsmedier tillader ofte direkte sektor-for-sektor-backups. En skriveblokering kan forhindre den computer, der udfører analysen, i at skrive til originalen.

Før der sikkerhedskopieres data, skal producent, model, serienummer, lagerkapacitet og synlig tilstand dokumenteres.

Når sikkerhedskopieringen er færdig, kan en hashværdi beregnes og logges for senere at verificere integriteten af ​​den genererede kopi.

Hvordan sikres SSD'er retsmedicinsk?

SSD'er kan generelt sikres retsmedicinsk, men de adskiller sig markant fra traditionelle magnetiske harddiske med hensyn til teknologi. Interne controllere, slidudjævning, garbage collection og TRIM påvirker alle, hvilke dataområder der rent faktisk er tilgængelige.

En sektor-for-sektor-kopi kan indfange de aktuelt adresserbare data. Det betyder dog ikke, at alle oplysninger, der nogensinde er gemt på flash-cellerne, er tilgængelige.

Dette er især vigtigt, når man har med slettede data at gøre. TRIM kan gøre frigivne lagerområder ubrugelige til meningsfuld rekonstruktion.

Hvorfor er TRIM relevant for en sikring?

TRIM informerer en SSD, hvilke hukommelsesområder der ikke længere er nødvendige for operativsystemet. Controlleren kan derefter rydde op i disse områder internt.

Det betyder, at slettede data på SSD'er kan gå permanent tabt hurtigere end på traditionelle harddiske.

Derfor kan fortsat brug af et system efter datasletning yderligere reducere risikoen for senere rekonstruktion.

Hvilken rolle spiller hashværdier i indsamling af retsmedicinsk bevismateriale?

Hashværdier bruges til at verificere integriteten af ​​et sikret datasæt. En checksum beregnes ud fra dataene ved hjælp af en kryptografisk metode.

Hvis det samme datasæt hashes igen senere, og den samme værdi opnås, tyder det på, at de pågældende data ikke har ændret sig siden den oprindelige beregning.

Hashværdier bør dog fortolkes korrekt. De beviser ikke, hvem der har oprettet dataene, om indholdet er sandt, eller hvornår en fil blev oprettet. De tjener primært til integritetskontrol.

Hvilken hash-algoritme bruges?

Historisk set har digital retsmedicin brugt metoder som MD5 og SHA-1. Moderne integritetstjek anvender ofte mere robuste metoder som SHA-256.

Valget af metode bør dokumenteres på en sporbar måde. I visse arbejdsgange kan flere hashværdier også beregnes parallelt.

Vigtigere end blot at nævne en algoritme er det tydeligt at dokumentere, hvilken mængde data der blev hashet, og på hvilket tidspunkt.

Hvad dokumenteres under en retsmedicinsk databackup?

Dokumentationen bør muliggøre senere sporing af backupprocessen. De specifikke oplysninger, der kræves, afhænger af sagen.

• Beskrivelse af beviserne
• Producent og model
• Serienummer eller andre identificerende funktioner
• hukommelse
• ydre tilstand
• På tilstand
• Dato og tidspunkt for overtagelse
• Dato og tidspunkt for sikkerhedskopiering
• anvendt backupmetode
• anvendt hardware og software
• relevante versionsniveauer
• brugt billedformat
• beregnede hashværdier
• eventuelle fejl eller læsefejl, der opstod
• særlige tekniske omstændigheder

Hvorfor skal fejl i backup dokumenteres?

Ikke alle lagringsmedier kan læses fuldstændigt uden fejl. Beskadigede sektorer, defekte hukommelsesceller, ustabil hardware eller grænsefladeproblemer kan føre til, at individuelle områder ikke kan læses.

Sådanne fejl må ikke gå ubemærket hen. De kan påvirke den senere validitet af resultaterne og skal derfor dokumenteres i backupprotokollen.

En transparent backup er mere værdifuld fra et teknisk synspunkt end en tilsyneladende perfekt backup, hvor tekniske problemer ikke er blevet dokumenteret på en sporbar måde.

Hvad er en arbejdskopi?

Efter den egentlige retsmedicinske konservering kan der oprettes en yderligere arbejdskopi. Analysen udføres derefter på denne kopi.

Det originale billede kan arkiveres uændret. Hvis en fil ændres under analysen, eller hvis software ved et uheld skriver til den, bevares den originale sikkerhedskopi.

Denne tilgang kan forbedre sporbarheden og repeterbarheden af ​​en undersøgelse.

Hvorfor ikke arbejde direkte på originalen?

Enhver direkte adgang til et originalt dokument indebærer risiko for ændringer. Operativsystemer kan automatisk skrive metadata, oprette indeksfiler eller ændre tidsstempler.

Hvis det er teknisk muligt, oprettes der derfor først en passende sikkerhedskopi, og analysen udføres derefter på en kopi.

Med smartphones og live-systemer er adgang til originalen dog ofte uundgåelig. I disse tilfælde skal proceduren tilpasses i overensstemmelse hermed og dokumenteres.

Hvad er live leadgenerering?

Live-optagelse er processen med at sikkerhedskopiere data fra et kørende system. Det bruges, når visse oplysninger kun er tilgængelige, mens systemet er aktivt.

Dette kan f.eks. omfatte dekrypterede drev, ustabilt hukommelsesindhold, aktive processer eller netværksforbindelser.

Den største ulempe er, at selve backupprocessen ændrer systemet. Hver kommando, der udføres, og hvert værktøj, der startes, skaber nye spor. Derfor skal live-dataindsamling planlægges og dokumenteres med særlig omhu.

Hvornår er en live backup nyttig?

En live backup kan være nyttig, for eksempel hvis et krypteret drev allerede er blevet låst op og muligvis ikke længere er tilgængeligt efter at være blevet slukket.

Live-optagelse kan også være nødvendig med kørende servere, virtuelle systemer eller et aktivt cyberangreb.

Beslutningen indebærer altid en afvejning af beskyttelsen af ​​den eksisterende tilstand mod det potentielle tab af vigtige, ustabile data.

Hvordan kan cloud-data sikres på en juridisk kompatibel måde?

Cloud-data præsenterer unikke udfordringer, fordi dataene ikke nødvendigvis befinder sig på et fysisk kontrolleret lagringsmedium. Den faktiske lagringsplacering kan være uden for undersøgerens direkte kontrol.

Afhængigt af tjenesten kan eksportfunktioner, programmeringsgrænseflader, synkroniseringsmapper, lokale cachedata eller administrative logfiler anvendes.

Det er særligt vigtigt at dokumentere hentetidspunktet, den anvendte konto, adgangsstien og datamængden. Da cloudindhold kan ændres dynamisk, er timingen af ​​sikkerhedskopieringen af ​​største betydning.

Kan en retsmedicinsk backup forblive fuldstændig uændret?

For visse traditionelle lagringsmedier kan en skrivebeskyttet backup komme meget tæt på dette ideal. Absolut frihed fra ændringer kan dog ikke garanteres for alle digitale systemer.

Selv oplåsning, dataudtrækning eller systemkommunikation på en smartphone kan forårsage ændringer. Tilsvarende genererer de værktøjer, der bruges i en live backup af en computer, også nye data.

Den teknisk korrekte udtalelse er derfor ikke "Intet blev ændret", men snarere hvilke ændringer der blev undgået, hvilke der var teknisk uundgåelige, og hvordan disse blev dokumenteret.

Kan en defekt sikring ødelægge bevismateriale?

Ja. Forkerte handlinger kan ændre relevante data eller gøre dem permanent utilgængelige.

Særligt problematisk kan være en nyinstallation, en nulstilling af enheden, en systemoprydning, datagendannelsessoftware på den originale databærer eller yderligere intensiv brug af et system.

På SSD'er og smartphones kan tidligere slettede data gå permanent tabt. Derfor bør det kontrolleres, om en retsmedicinsk backup er nødvendig, før der foretages større indgreb.

Hvorfor bør der ikke installeres datagendannelsessoftware på den originale enhed?

De, der ønsker at gendanne data, der er blevet slettet ved et uheld, installerer ofte datagendannelsessoftware direkte på den berørte computer. Dette kan være problematisk.

Installationsprocessen opretter nye filer og kan overskrive ledig lagerplads. Der kan dog stadig være fragmenter af de slettede data til stede.

Fra et retsmedicinsk perspektiv bør en relevant databærer derfor sikkerhedskopieres hurtigst muligt, før der foretages forsøg på gendannelse.

Hvad sker der, hvis en datalagringsenhed bliver beskadiget?

Backupstrategien skal justeres for fysisk eller logisk beskadigede lagringsmedier. Gentagne normale læseforsøg kan belaste et ustabilt lagringsmedie yderligere.

I sådanne tilfælde kan en prioriteret eller fejltolerant backup være nyttig, hvor så mange læsbare områder som muligt registreres først.

I tilfælde af alvorlig fysisk skade kan specialiseret datagendannelse være nødvendig. Det retsmedicinske formål bør kommunikeres tydeligt, før der træffes foranstaltninger.

Hvor meget lagerplads kræver en retsmedicinsk backup?

Lagringskravene kan være betydelige. En sektor-for-sektor-backup af en 4 TB harddisk kan nemt kræve adskillige terabyte lagerplads. Dette er ud over arbejdskopier, eksporterede data, analyseindekser og rapporter.

Med flere enheder kan det faktiske lagerbehov derfor være betydeligt højere end summen af ​​de nominelle enhedsstørrelser.

Et professionelt retsmedicinsk miljø skal tage højde for dette behov inden backupprocessen og sørge for tilstrækkelig sikker lagring.

Hvordan opbevares retsmedicinske bevisfiler?

Retsmedicinske bevisfiler kan indeholde meget følsomme personlige og forretningsmæssige data. Derfor er kravene til adgangskontrol og sikker opbevaring tilsvarende høje.

Afhængigt af beskyttelseskravene kan krypterede lagringssystemer, separate adgangsrettigheder, logning og fysiske sikkerhedsforanstaltninger være nødvendige.

Det bør også fastsættes, hvor længe data opbevares, og hvornår de slettes eller returneres til klienten.

Hvordan sikres en databærers identitet?

En vigtig del af dokumentationen af ​​bevismateriale er den utvetydige identifikation af den enhed, der undersøges. Hvor det er muligt, registreres unikke identificerende karakteristika til dette formål.

Producent, model, serienummer, kapacitet og andre tekniske oplysninger kan hjælpe med at undgå forvirring.

Tydelig identifikation er især vigtig, når man har at gøre med flere lignende enheder.

Hvad betyder "Chain of Custody" i forbindelse med databackup?

Sporbarhedskæden beskriver den sporbare beviskæde. Den dokumenterer, hvem der tog i besiddelse af, sikrede, undersøgte, opbevarede eller videregav en enhed, og hvornår.

Den tekniske kvalitet af en backup alene er ikke tilstrækkelig, hvis det senere er uklart, hvilken original dataene stammer fra, eller hvem der havde adgang til dem.

En ren beviskæde kombinerer derfor teknisk sikkerhed med forståelig organisatorisk dokumentation.

Hvornår skal der udføres en retsmedicinsk databackup?

Retsmedicinsk bevaring er særligt nyttig, når digitale data senere kan blive relevante til teknisk rekonstruktion eller juridisk evaluering.

• Mistanke om datatyveri
• Mistanke om uautoriseret kopiering af data
• Afskedigelse af en medarbejder i tilfælde af konkret mistanke
• Sletning af vigtige virksomhedsdata
• Mistanke om manipulation
• Cyberangreb eller malwarehændelse
• potentielt bevismateriale på en smartphone
• juridiske tvister
• Mistanke om uautoriseret kontoadgang
• Undersøgelse af e-mails eller Messenger-data
• Mulig gendannelse af slettede filer

Hvornår er en komplet backup ikke tilrådelig?

Ikke alle undersøgelser kræver nødvendigvis en komplet sektor-for-sektor-backup af alle eksisterende systemer. For meget store infrastrukturer, serverlandskaber eller cloud-miljøer kan en målrettet backup-tilgang være mere passende.

Den afgørende faktor er det stillede spørgsmål. Hvis kun et snævert defineret datasæt er relevant, kan en kontrolleret selektiv backup være tilstrækkelig, forudsat at ingen information, der er essentiel for opgaven, går tabt som følge heraf.

Retsmedicin betyder derfor ikke automatisk, at man indsamler så mange data som muligt. En god databevaringsstrategi indfanger de data, der er nødvendige for en reproducerbar efterforskning.

Hvad er typiske fejl i retsmedicinsk databackup?

• arbejder direkte på originalen uden behov
• manglende dokumentation af den oprindelige tilstand
• ingen unik enhedsidentifikation
• unødvendig start eller genstart af en enhed
• Deaktivering af et allerede dekrypteret system uden forudgående verifikation
• Installation af datagendannelsessoftware på det berørte lagringsmedie
• manglende integritetskontrol
• uklar beskrivelse af sikringsmetoden
• Utilstrækkelig lagerplads under sikkerhedskopiering
• Manglende dokumentation af læsefejl
• Blanding af original, backup og arbejdskopi
• Manglende adgangskontrol til følsomme backupdata

Praktisk eksempel: Mistanke om datakopiering før opsigelse

En virksomhed har mistanke om, at en medarbejder kopierede fortrolige projekt- og kundedata kort før vedkommende forlod virksomheden. Den pågældende virksomhedsbærbare computer er stadig i daglig brug.

Hvis computeren skulle fortsætte med at køre i flere uger, kunne relevante systemoplysninger blive overskrevet. Omvendt ville en øjeblikkelig og ukontrolleret søgning efter mistænkelige filer også skabe nye spor.

En fornuftig fremgangsmåde kunne være at dokumentere den aktuelle tilstand og først oprette en passende retsmedicinsk backup. Denne backup kan derefter undersøges for at bestemme, hvilke USB-enheder der blev tilsluttet, hvilke filer der blev brugt i den relevante periode, og om der er yderligere tekniske indikationer på dataoverførsler.

Merværdien ved retsmedicinsk databevaring ligger ikke kun i at kopiere filer. Den indefryser data, der er relevante for efterforskningen, så vidt det er teknisk muligt, på et bestemt tidspunkt, hvilket muliggør senere analyse uden løbende at skulle bruge virksomhedens bærbare computer som primær informationskilde.

Praktisk eksempel: Slettede filer på en SSD

En bruger bemærker, at vigtige filer er blevet slettet på en bærbar computer, og fortsætter derefter med at fungere normalt i flere dage. Enheden har en moderne SSD.

Hver yderligere skriveoperation kan reducere chancerne for gendannelse. Derudover kan TRIM og intern garbage collection ændre frigivne områder.

Tidlig sikkerhedskopiering kan derfor være afgørende. Selvom det ikke garanterer, at slettede data kan gendannes, forhindrer det i det mindste unødvendige yderligere ændringer i at ske ved yderligere normal brug.

Praktisk eksempel: Mac tændt med FileVault

Mac'en er tændt, låst op, og brugeren er logget ind. Den interne lagring er beskyttet med FileVault.

En impulsiv nedlukning kan føre til data, der efterfølgende kun kan dekrypteres med de nødvendige adgangsoplysninger. Derfor kan en kontrolleret sikkerhedskopiering, mens systemet kører, i visse situationer være mere fornuftig end en øjeblikkelig nedlukning.

Dette eksempel illustrerer, hvorfor generelle regler er problematiske for digital bevisopbevaring. Enhedens tilstand er en del af bevissituationen og skal overvejes, før der træffes foranstaltninger.

Praktisk eksempel: Smartphone med relevante messenger-data

Beskeder og appdata på en smartphone skal undersøges. Enheden er tændt og låst op.

En genstart kan ændre sikkerhedstilstanden og gøre adgang til visse data vanskeligere. Samtidig kan enhver yderligere normal brug generere nye data.

Den korrekte procedure involverer derfor ikke nødvendigvis at slukke enheden eller fortsætte med at bruge den. Først er det nødvendigt at kontrollere enhedens aktuelle tilstand og hvilke udpakningsmuligheder der er tilgængelige for den specifikke model og det specifikke operativsystem.

Ofte stillede spørgsmål om retsmedicinsk databackup

Er en retsmedicinsk backup altid en komplet kopi?

Nej. Omfanget afhænger af enheden og den anvendte metode. En sektor-for-sektor-backup af en harddisk kan være meget omfattende, mens en logisk smartphone-udtrækning kun omfatter visse tilgængelige data.

Kan en retsmedicinsk backup indeholde slettede data?

Under visse betingelser, ja. Sektor-for-sektor sikkerhedskopier kan også omfatte ikke-allokerede lagerområder. Om slettede data kan gendannes fra disse områder afhænger dog af lagermediet og dets tilstand.

Er en skriveblokering altid nødvendig?

Nej. Skriveblokkere er nyttige på egnede lagringsmedier, men ikke på alle enheder. Smartphones, kørende systemer eller permanent installeret lagring kræver forskellige metoder.

Ændrer sikringen originalen?

Med traditionelle lagringsmedier kan en skrivebeskyttet backup i vid udstrækning forhindre ændringer. Med smartphones eller live-systemer kan teknisk forårsagede ændringer ikke altid helt udelukkes.

Hvorfor beregnes hashværdier?

Hashværdier muliggør efterfølgende integritetstjek af de sikkerhedskopierede data. De hjælper med at verificere, om et datasæt er blevet ændret siden beregningen.

Kan en normal Windows-kopi bruges som en retsmedicinsk backup?

Muligvis til simpel dokumentbackup. Til en omfattende retsmedicinsk undersøgelse er en normal filkopi ofte utilstrækkelig, fordi yderligere filsystem- og lagerinformation kan gå tabt.

Kan en sikring undersøges igen senere?

Ja. Det er præcis her, en stor fordel ligger. En korrekt arkiveret retsmedicinsk backup kan senere analyseres igen med andre værktøjer eller under et nyt spørgsmål, uden at skulle genbruge originalen.

Hvor længe skal en retsmedicinsk bevisoptagelse opbevares?

Der er ingen generel frist for dette i alle tilfælde. Opbevaringsperioder, juridiske formål, databeskyttelse og kontraktlige aftaler skal tages i betragtning.

Den virkelige værdi ligger i sikkerhedens kvalitet.

Efterfølgende analyse kan kun være så pålidelig som de data, den er baseret på. Derfor er sikkerhedskopiering af retsmedicinske data et af de vigtigste trin i en digital efterforskning.

En god backupstrategi handler ikke blot om at indsamle så mange data som muligt. Den tager højde for systemets tekniske tilstand, vælger en passende indsamlingsmetode, dokumenterer nødvendige indgreb og sikrer, at oprindelsen og integriteten af ​​de data, der undersøges, kan spores senere.

Især med moderne smartphones, SSD'er, krypterede computere og cloud-systemer findes der ingen universel metode. Professionel digital retsmedicin betyder derfor at vælge den sikkerhedsstrategi for hvert bevismateriale, der bedst passer til de tekniske forhold og det specifikke spørgsmål.