Undersøgelse af en administrator, der kan slette loggen

Forside › Undersøgelse ved fratræden · Gennemgået oktober 2026 · Af John Nielsen

Når den, der undersøges, har administratorrettigheder, kan de almindelige kilder ikke tages for pålydende. En administrator kan ofte ændre, slette eller slå logning fra i de systemer, vedkommende styrer. Undersøgelsen skal derfor bygge på kilder, som administratoren ikke kunne ændre, eller hvor en ændring selv ville efterlade spor et andet sted. Det kræver tre ting: en kortlægning af administratorens faktiske rettigheder, en liste over uafhængige kilder og en indsamling, der udføres og kontrolleres af mindst to personer uden binding til den undersøgte. Ledelsens del af sagen, herunder hvem der tager over, er beskrevet i Mistanke mod IT-administratoren. Her er den tekniske tilgang. Delspørgsmålene har egne artikler: efterladte adgangsveje i Bagdøre efter en administrator, rettighedernes historik i Rollehistorik i Entra ID og en ekstern leverandørs adgang i RMM-logs og fjernsupport.

Haster det? Så længe administratoren har adgang, kan logs ryddes og logning slås fra, og flere af de uafhængige spor, fx CloudTrails hændelseshistorik, rækker kun 90 dage tilbage. Se akut forensisk sikring; hastesager koster ekstra.

Trin 1: kortlæg rettighederne

Start med at fastlægge, hvad administratoren faktisk kunne, ikke hvad stillingsbeskrivelsen siger:

roller i identitetsudbyderen og cloudtjenesterne, nu og historisk,
lokale administratorrettigheder på servere og klienter,
adgang til SIEM, logopsamling og backup,
adgang til firewall, hypervisor, mailgateway og adgangskodeadministrator,
tjenestekonti, delte administratorkonti og nødadgange, vedkommende kendte.

Rollehistorikken er vigtig, fordi rettigheder kan være tildelt og fjernet igen i perioden. → Privilegerede roller: tildelinger og ændringshistorik

Resultatet er et kort over, hvilke kilder administratoren kunne påvirke, og hvilke vedkommende ikke kunne. Kortet laves ud fra systemernes egne oplysninger, ikke ud fra interviews med kolleger, der kan advare den undersøgte.

Trin 2: find de uafhængige kilder

En kilde er uafhængig, når administratoren ikke kunne ændre den uden at efterlade spor i en anden kilde, som vedkommende heller ikke kunne ændre. Typiske kandidater:

Cloudtjenesters egne auditlogs · Kan typisk ikke redigeres af kunden, men logning kan i nogle tilfælde slås fra, og det logges
Logs videresendt til et eksternt SIEM · Hvis SIEM’et administreres af en anden
Uforanderlig lagring af logs eller backup · Hvis opbevaringslåsen er sat af en anden og ikke kan fjernes
IT-leverandørens fjernadgangslogs · Ligger i leverandørens system
EDR-leverandørens cloudkonsol · Hvis administratoren ikke havde fuld adgang
Firewall eller netværk drevet af tredjepart · Uden for administratorens rettigheder
Fysisk adgangskontrol · Driftes ofte af andre

Muligheden for at slå logning fra skal afklares for hver tjeneste. I Microsoft 365 kan en administrator med de rette roller slå den samlede auditlog fra og undtage bestemte brugere fra postkasse-auditeringen, men ændringen af auditstatus registreres selv med tidspunkt, administrator og IP-adresse. I AWS kan en trail stoppes eller slettes, men handlingen står i CloudTrails hændelseshistorik for de seneste 90 dage. I Google Cloud skrives administrative auditlogs altid og kan ikke slås fra. Hvordan det generelt vises, at en log ikke er ændret, står i logintegritet. IT-leverandørens egne logs er beskrevet i IT-leverandørens adgang: RMM-logs.

Trin 3: indsaml med firøjnesikring

Indsamlingen skal kunne tåle, at den undersøgte senere er den mest kritiske læser af den:

Brug konti uden binding til den undersøgte. En nødadgang eller en ny administratorkonto oprettet til formålet, med læserettigheder, hvor det er muligt.
To personer. Den ene udfører, den anden kontrollerer og kvitterer. Begge er uafhængige af den undersøgte.
Log jeres egen adgang. Hver handling noteres med tidspunkt, konto og formål, så den kan skelnes fra den undersøgtes.
Eksportér, hash og flyt. Logs eksporteres, hashes og lægges et sted, den undersøgte ikke har adgang til.
Rækkefølge. Indsaml fra de uafhængige kilder først og fra de kilder, administratoren kunne påvirke, bagefter. Så kan de sammenlignes.

Indsamlingen planlægges, så den ikke afslører sig selv i systemer, administratoren overvåger, fx alarmer om nye administratorkonti. Det er en del af den samlede plan for overtagelse, som ledelsen og advokaten fastlægger.

Trin 4: led efter manipulation

Når der findes både afhængige og uafhængige kilder, kan de sammenlignes. Tegn på manipulation omfatter:

Rydning af logs. Windows registrerer, når sikkerhedsloggen ryddes (Event ID 1102), og når andre logs ryddes (Event ID 104 i Systemloggen). → Windows-hændelseslogs
Ændret konfiguration: logning slået fra, opbevaringsperiode forkortet, videresendelse til SIEM afbrudt, diagnostiske indstillinger ændret.
Huller, hvor en kilde mangler poster i en periode, mens en uafhængig kilde viser aktivitet.
Uoverensstemmelser i antal, fx færre logins i den lokale log end i identitetsudbyderens.
Slettede eller ændrede backups og ændrede opbevaringsregler.

Hver uoverensstemmelse er et spor, ikke en konklusion. Logrotation, fejl i logopsamlingen og systemopdateringer kan give de samme mønstre. Teknikker til at skjule spor og hvordan de opdages er beskrevet i anti-forensics: sletning og manipulation.

Administratorens egne arbejdsstationer

Ud over de centrale systemer har administratoren typisk en eller flere maskiner, hvorfra arbejdet udføres: en bærbar computer, en administrationsserver eller en springserver. De sikres forensisk som en del af overtagelsen. Her findes ofte de mest detaljerede spor af, hvad der faktisk blev gjort: PowerShell-historik og scriptlogning, fjernskrivebordsforbindelser, gemte forbindelser i administrationsværktøjer, scripts og planlagte opgaver. Kør ikke administrationsværktøjer fra disse maskiner for at se, hvad de indeholder. Det ændrer netop de historikker, der skal undersøges.

Almindeligt administratorarbejde

Den største fejlkilde er at læse almindeligt arbejde som mistænkeligt. Administratorer logger ind med forhøjede rettigheder, nulstiller adgangskoder, ændrer indstillinger, sletter gamle data og bruger andres konti ved fejlsøgning. Det skal derfor fastlægges, hvad der var normalt: tickets, ændringslogs, aftaler med ledelsen og sammenligning med perioder uden mistanke. En handling, der er dokumenteret i en ticket, er noget andet end den samme handling uden.

Delte konti

Delte administratorkonti er et særligt problem, fordi handlinger ikke kan knyttes til en person ud fra kontoen alene. Kobl dem til den enhed, IP-adresse og session, de blev brugt fra, og til tidspunkter, hvor den undersøgte og andre vides at have været til stede. Lykkes det ikke, skal det stå, at handlingen ikke kan tilskrives en bestemt person. Det samme gælder tjenestekonti og automatiseringskonti, som administratoren kendte legitimationsoplysningerne til. Kortlæg, hvem der kendte dem, og om de blev brugt fra andre steder end de systemer, de var beregnet til, fx fra en klientcomputer eller en ukendt IP-adresse.

Vær særlig varsom med kilder, som både den undersøgte og undersøgelsen har haft adgang til. Et SIEM, som administratoren havde læseadgang til, er stadig en uafhængig kilde for logindholdet, men ikke for spørgsmålet om, hvad administratoren vidste om overvågningen. Skeln mellem de to spørgsmål, når kilderne vurderes.

Efter overtagelsen

Når adgangene er overtaget, skal det undersøges, om administratoren har efterladt vedvarende adgang: ekstra konti, app-registreringer, planlagte opgaver eller fjernadgangsværktøjer. Det er en selvstændig undersøgelse med sin egen fremgangsmåde. → Bagdøre efter en administrator

Hvad undersøgelsen kan bære

En undersøgelse, der bygger på uafhængige kilder og firøjnesikret indsamling, kan vise, hvad der er sket i systemerne, og om logs er ændret. Den kan sjældent alene vise hensigt. Kan manipulation ikke udelukkes for en kilde, skal fundene fra den kilde vurderes derefter og om muligt bekræftes andetsteds.

Dokumentation i rapporten

Rapporten skal gøre det muligt for en læser at vurdere hver kildes uafhængighed. Angiv for hver kilde, hvem der administrerede den, om den undersøgte havde rettigheder til den i perioden, og hvordan det er fastlagt. Beskriv indsamlingen med konti, personer, tidspunkter og hashværdier, og gengiv de sammenligninger mellem kilder, der understøtter eller svækker konklusionen om manipulation. Skriv også, hvilke kilder der ikke kunne anses for uafhængige, og hvordan fund fra dem er vægtet.

Tjekliste

☐ Rettigheder kortlagt, også historisk
☐ Uafhængige kilder identificeret og begrundet
☐ Indsamling med konti uden binding og to personer
☐ Egen adgang logget
☐ Eksporter hashet og opbevaret uden for den undersøgtes rækkevidde
☐ Afhængige og uafhængige kilder sammenlignet
☐ Normalt administratorarbejde fastlagt som sammenligning

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Undersøgelse ved fratræden

Læs også: Tidslinje for de sidste uger før fratræden · Bagdøre efter en administrator: opdagelse og dokumentation

→ Undersøgelse ved fratræden · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik