En USB-nøgle er stadig en af de mest almindelige måder at tage data med på. Den er lille, billig og efterlader ingen spor i cloud. Men den efterlader spor på computeren. Ofte kan det vises, at en bestemt USB-nøgle har været tilsluttet, og hvilke filer der er åbnet fra den, uden at man har nøglen selv.
Hvad computeren husker
- At en USB-enhed er tilsluttet · Ja
- Producent, model og serienummer · Ofte
- Første og seneste tilslutning · Ofte
- Hvilken bruger der var logget ind · Ofte
- Drevbogstav og navn på drevet · Ofte
- Filer åbnet fra drevet · Ofte, via genveje og lister over seneste filer
- Mapper vist på drevet · Ofte
- Hvilke filer der blev kopieret til drevet · Sjældent direkte
Den tekniske forklaring på disse spor findes på digitalforensics.dk.
Hvorfor kopiering er svær at vise direkte
Windows registrerer ikke, at "fil X blev kopieret til USB-drev Y". Men kombinationen af spor kan være stærk: En fil åbnes fra virksomhedens drev, et USB-drev tilsluttes, og kort efter åbnes en fil med samme navn fra USB-drevet. Det er indirekte, men ofte overbevisende.
Hvad kræver selve USB-nøglen?
- Indholdet: hvilke filer der ligger på nøglen nu
- Slettede filer: som kan gendannes fra nøglen
- Tidsstempler på nøglens filer
- Sammenligning: at nøglens serienummer passer med sporene på computeren
Sådan sikres en USB-nøgle
- Sæt den ikke i en computer for at "se efter". Det ændrer data og efterlader nye spor.
- Læg den i en pose eller kuvert med navn, dato og hvem der afleverede den.
- Lad en IT-sagkyndig lave en forensisk kopi med skrivebeskytter. → Hvad er en forensisk kopi?
- Notér kæden af ansvar. → Kæde af ansvar
Hvis du ikke har nøglen
Medarbejderen har nøglen med sig. Så er computeren den vigtigste kilde. Sørg for, at den ikke bruges eller geninstalleres. → Bevissikring af Windows
Har computeren vist sig at have spor af en bestemt nøgle, kan det være relevant at kræve nøglen udleveret. Det er et juridisk spørgsmål.
Eksterne harddiske og telefoner
Eksterne harddiske og SSD'er efterlader de samme typer spor som USB-nøgler. En telefon, der tilsluttes som lager, efterlader andre spor. Mac-computere har deres egne spor. → Bevissikring af Mac
Virksomheder: begræns USB
Mange virksomheder begrænser brugen af USB-lager via politikker og styring af enheder. Det forebygger, og en blokering registreres også ofte i en log. → IT-politik og orientering af medarbejdere
Cloud i stedet for USB
Er der ingen USB-spor, kan data være taget med via cloud, mail eller telefonen. Undersøg også de spor. → Hvad er metadata?
Nielco IT undersøger USB-spor og eksterne medier i civile sager. Se Nielco IT.
