BAKGRUND

Personer som lämnar sin anställning och konsulter som lämnar sina uppdrag tar många gånger med sig digitala kopior av den information de själva producerat tillsammans med annan "bra-att-ha" information, t.ex. ekonomiska kalkyler/mallar, kunduppgifter/kunddatabaser, källkod/skript, ritningar, upphovsrättsligt skyddade bilder, nätverksdesign, etc. Det enklaste sättet att kopiera information är till ett anslutet USB-minne. Genom att göra det, så kringgås de säkerhetsmekanismer som eventuellt finns i datornätverket för att upptäcka t.ex. filkopiering till externa molntjänster.

Utifrån erfarenheter från fler än 800 IT-forensiska utredningar, så vill vi dela med oss av viktig information angående brister i hur filkopiering registreras i en Windows-dator.

Vid IT-forensiska utredningar, ser vi ofta att flera nya USB-minnen anslutits precis innan en individ avslutar sitt uppdrag. Vår uppdragsgivare vet inte varför detta har skett och inga USB-minnen har återlämnats till företaget. Utifrån ett IT-forensiskt perspektiv är det dock mycket svårt (för det mesta omöjligt) att exakt kunna besvara hur många filer som kopierats till USB-minnen. Extra svårt är det om en hel mapp med undermappar kopierats. I 90% av alla ärenden kan vi bara konstatera att filkopiering har skett och i bästa fall exemplifiera med några enstaka filer. Det exakta antalet filer som kopierats går därför aldrig att redovisa.

För de datorer som har vår programvara USB2Log installerad, så kommer dock detta att kunna redovisas i detalj.