En Windows-computer er ofte det vigtigste sted at lede i en medarbejdersag. Windows gemmer nemlig spor af næsten alt, hvad brugeren har gjort: hvilke filer der er åbnet, hvilke USB-nøgler der er tilsluttet, hvilke programmer der er kørt, og hvilke hjemmesider der er besøgt. Men sporene er skrøbelige, og de forsvinder eller ændres, hvis computeren bruges.
Hvad kan en Windows-computer vise?
- Hvilke filer har brugeren arbejdet med? · Lister over seneste filer, genveje, filsystemets tidsstempler
- Er der brugt USB-nøgler eller eksterne diske? · Registreringer af tilsluttede enheder med tidspunkter
- Er filer uploadet til privat cloud eller mail? · Browserhistorik, downloads, synkroniseringsprogrammer
- Er der installeret eller kørt programmer? · Spor af programkørsel og installationer
- Er filer slettet? · Papirkurv, slettede områder på disken, spor i lister og logfiler
- Hvornår var computeren i brug? · Logins, opstart, nedlukning og aktivitet
Mange af sporene findes flere steder på én gang. Det gør det muligt at kontrollere dem op mod hinanden og at opdage, hvis noget er forsøgt skjult. → Spor efter sletning
Gør dette, når en computer skal sikres
- Brug den ikke. Hver gang computeren bruges, ændres og overskrives spor.
- Er den slukket, så lad den være slukket. Ved opstart skriver Windows til disken.
- Er den tændt, så sluk den ikke uden at have talt med en IT-sagkyndig. En tændt computer kan have data i hukommelsen og en åben krypteret disk, som går tabt ved nedlukning.
- Afbryd ikke strømmen på en bærbar, men sørg for, at den er tilsluttet en oplader.
- Skriv ned, hvem der har haft computeren, hvornår og hvor den har ligget. → Kæde af ansvar
- Sikr gendannelsesnøglen til BitLocker, hvis disken er krypteret. Den ligger ofte i virksomhedens Microsoft-konto eller hos IT-leverandøren.
Gør ikke dette
- Kig ikke selv efter beviser i mapper, mails eller browserhistorik.
- Kopier ikke filer over på en USB-nøgle "for en sikkerheds skyld".
- Geninstaller eller nulstil ikke computeren, og giv den ikke til en ny medarbejder.
- Kør ikke antivirus- eller oprydningsprogrammer.
- Log ikke ind som medarbejderen.
Kryptering med BitLocker
Mange Windows-computere i virksomheder er krypteret med BitLocker. Det er godt for sikkerheden, men det betyder, at en forensisk kopi kun kan læses med gendannelsesnøglen. Find nøglen, før computeren slukkes eller sendes nogen steder hen. Uden den kan indholdet i praksis være tabt.
Sådan foregår sikringen
Disken kopieres bit for bit med skrivebeskyttelse, og der beregnes hashværdier, så det kan dokumenteres, at kopien er identisk med originalen. Er computeren tændt, kan det være relevant først at sikre hukommelsen og de data, der kun findes, mens den kører. → Hvad er en forensisk kopi?
Derefter undersøges kopien inden for den afgrænsning, sagen kræver. Det betyder, at medarbejderens private filer og andre irrelevante data holdes uden for undersøgelsen.
Arbejdscomputer og privat brug
Mange medarbejdere bruger arbejdscomputeren lidt privat. Det giver ikke medarbejderen ret til at forhindre en lovlig undersøgelse, men det betyder, at undersøgelsen skal afgrænses og ske i overensstemmelse med reglerne om persondata og virksomhedens egne politikker.
Computeren er ikke det eneste sted
Ofte findes de samme spor også i Microsoft 365, OneDrive og logfiler. Sikr derfor også dem. → Microsoft 365 · OneDrive, SharePoint og Teams
Ofte stillede spørgsmål
Kan man se, om en medarbejder har kopieret filer til en USB-nøgle? Ofte kan man se, at en bestemt USB-nøgle har været tilsluttet og hvornår, og nogle gange hvilke filer der er åbnet fra den. Hvilke filer der præcist er kopieret, kan være sværere at vise uden selve nøglen.
Hvad hvis computeren allerede er geninstalleret? Så er mange spor væk. Der kan stadig være noget at hente i Microsoft 365, i backup og hos IT-leverandøren. Det skal undersøges hurtigt.
Hvor lang tid tager det? Selve kopieringen tager typisk en til flere timer per computer. Analysen afhænger af, hvad der skal undersøges.
