Filkopiering

Ett alternativ till skivavbildningen är att kopiera de filer som tycks relevanta, och låta resten vara. En möjlig arbetsgång är även att först skapa en skivavbildning för att kunna analysera materialet enklare, för att sedan slänga skivavbildningen när det relevanta materialet sparats undan.

Tillvägagångssätt

För att ta tillvara filer från en bärare kan man kopiera filerna direkt efter att ha kopplat bäraren till en dator, alternativt efter att först ha skapat en skivavbildning.

Rekommendationen är att alltid skapa en skivavbildning ifall möjligheten finns, då detta minimerar risken att missa eller förlora information som kan vara av intresse. Skivavbildningen kan sedan arkiveras eller gallras beroende på gällande förutsättningar.

Kopiera från skivavbildning

Då en skivavbildning skapas, är det möjligt att extrahera filer från denna. I BitCurator-sviten utförs detta med hjälp utav programmet Bulk Extractor, som kan plocka ut samtliga eller en delmängd av de tillgängliga filerna på disken. Bulk Extractor och likvärdiga programvaror har fördelen att de även kan extrahera raderade filer från skivavbildningen.

Kopiera filer direkt från bäraren

Ifall det inte är tillämpbart att skapa en skivavbildning av bäraren, finns möjligheten att extrahera filerna från en bärare genom att koppla denna direkt till en dator. Detta tillvägagångssätt rekommenderas i regel inte förutom i särskilda fall, exempelvis då bäraren är för stor för att på ett enkelt sätt kunna skapa en skivavbildning.

Dokumentation

Även då filer kopierats från en hårddisk, levererats via USB-sticka eller skickats via mail, behöver all möjlig information om filens ursprung dokumenteras. Detta även fast materialet inte kan analyseras i detalj ännu, då kontexten lätt kan gå förlorad.

Ifall filerna kopierats efter att en skivavbildning skapats, sparas med fördel den DFXML som genererats för skivavbildningen, då den då kan fungera som auktoritet för var filen ursprungligen kommer ifrån.

Fördelar med filkopiering

• Tar upp mindre lagringsutrymme, då endast relevanta data sparas.

• Undviker rättighetsproblem, då ev. problematisk data kan försakas.

Nackdelar med filkopiering

• Riskerar att framtida intressant data går förlorad, då de data som ej kopieras från bäraren får anses vara förlorad (sådan data kommer att nå det stadiet vid någon tidpunkt).

• Källinformation om filens ursprung måste lagras separat, eller anses förlorad.