Nogle sager har en indbygget deadline. Firewallens log overskriver sig selv ved midnat, en bærbar står i køen til geninstallation, og licensen til en fratrådt brugers postkasse skal frigives i morgen. Når et af de tre ure tikker, er det ikke tid til at planlægge en undersøgelse. Det er tid til at standse tabet og få det vigtigste fastfrosset med hash og dokumentation.

Siden er skrevet til IT-afdelinger, MSP’er og SOC-teams, der står med en akut situation og skal handle, før en uvildig sagkyndig er fremme.

Typiske akutte situationer

• Logs med kort levetid: firewall, VPN, proxy, domænecontrollere og cloud-audit, hvor den ældste dag forsvinder løbende. → Logfiler og logrotation
• Maskiner på vej til genbrug: en computer eller telefon fra en fratrådt medarbejder skal nulstilles og gives videre til en kollega. → Før maskinen geninstalleres
• Konti, der lukkes: en Microsoft 365- eller Google-konto skal slettes, eller en licens fjernes, så postkasse og OneDrive går i oprydningsforløb.
• Driften vil i gang: efter en hændelse ønsker ledelsen servere gendannet, og de berørte systemer skal overskrives med rene versioner.
• En tændt enhed med noget åbent: en session, en krypteret container eller en fjernforbindelse, der forsvinder ved genstart.

De første minutter: hvad IT kan gøre selv

Målet er at fryse situationen uden at skabe nye spor, der blander sig med de gamle. Fem greb dækker de fleste sager:

1. Stop det automatiske. Sæt geninstallation, nulstilling, kontosletning og planlagt oprydning i bero. Én mail til servicedesk og én ændring i jobplanen kan redde mere end en hel analyse.
2. Forlæng eller eksportér logs. Hvis loggen kan få længere opbevaring eller eksporteres med det samme, så gør det, og notér hvordan. På Windows kan logstørrelsen ses med wevtutil gl Security; en eksport med wevtutil epl bevarer de rå hændelser.
3. Lad tændte maskiner være tændte, indtil det er besluttet, om hukommelsen skal sikres. Isolér fra netværket, hvis der er risiko for, at nogen fjernstyrer maskinen. → Beslutningen ved en tændt enhed
4. Skriv en handlingslog. Tid, person, maskine, handling og formål. Det gælder også det, der allerede er sket. → Skabelon: handlingslog
5. Brug ikke enheden til at lede. Søgning, åbning af filer og installation af værktøjer ændrer tidsstempler og kan overskrive slettede data.

Er maskinen allerede åbnet, nulstillet eller logget ind på, er det sjældent for sent. Notér hvad der er gjort, og gå videre med det, der stadig findes. → Vi har allerede rørt maskinen

Hvad sikres først

Rækkefølgen følger flygtigheden: det, der forsvinder hurtigst, tages først. Princippet stammer fra RFC 3227 og bruges stadig som udgangspunkt.

• 1 · Kilde: Hukommelse og aktive forbindelser på tændte enheder · Hvorfor først: Forsvinder ved genstart eller strømtab
• 2 · Kilde: Logs med kort opbevaring (netværk, VPN, cloud-audit) · Hvorfor først: Overskrives efter fast tid eller størrelse
• 3 · Kilde: Konti med planlagt sletning eller licensfjernelse · Hvorfor først: Oprydningsjob kører uden varsel
• 4 · Kilde: Diske i maskiner, der skal genbruges · Hvorfor først: Tabes ved nulstilling og reinstallation
• 5 · Kilde: Backup, filshares og arkiver · Hvorfor først: Typisk stabile, men tjek opbevaringsregler

Prioriteringen justeres efter sagen. Handler den om en fratrådt medarbejder, kan cloud-kontoen være vigtigere end den lokale disk; handler den om et angreb, kan netværksloggen være det eneste sted, hvor indgangsvejen ses.

Hurtig sikring på stedet eller på afstand

Når det brænder, kan John Nielsen nå ud til jeres adresse inden for få timer. Er afstand, adgang og omfang på plads, kan den første sikring ske samme dag, men det kan ikke garanteres på forhånd. Hastesager koster ekstra; se, hvordan opgaverne prissættes, på nielcoit.dk/priser.

Meget kan startes på afstand, især cloud-konti og logeksport, når der er givet en afgrænset administratoradgang. Hvad IT kan forberede, mens den sagkyndige er på vej, står på Fjernsikring: forberedelse. Er der flere adresser, der skal tages parallelt, hentes en ekstra konsulent ind, som udfører sikringen som IT-sagkyndig under Nielco IT.

Den sagkyndige medbringer selv skrivebeskyttere, lagermedier og værktøjer, så I ikke skal finde diske frem i en travl situation.

Hvad I står med bagefter

• beviskopier af de prioriterede kilder, hashet ved sikringen,
• en bevislog over hvem, hvad og hvornår, fra første håndgreb,
• en kort sikringsrapport med det, der blev sikret, det der manglede, og jeres egne indgreb før ankomst,
• en anbefaling om næste skridt, hvis sagen skal undersøges.

Den fulde beskrivelse af ydelsen, også når der ikke er travlt, står på Forensisk sikring.

IR-leverandøren er allerede i gang

Ofte er en IR-leverandør i fuld gang med at inddæmme, når spørgsmålet om bevis dukker op. Med erfaring fra incident response og hackerangreb kender Nielco IT inddæmningens logik og laver den uvildige sikring parallelt med IR-arbejdet, så inddæmning og sikring ikke står i vejen for hinanden. Deres indgreb noteres som kendte ændringer. → Samarbejde med IR-leverandøren

Uvildig fra første time

John Nielsen udfører sikringen selv. Nielco IT blev grundlagt i 2009, og John Nielsen har beskæftiget sig med IT-sikkerhed i over 30 år. Erfaringen stammer fra kritisk infrastruktur, finanssektoren og offentlige myndigheder. Der sælges hverken produkter eller licenser, og der findes ingen leverandørpartnerskaber. Et kort konflikttjek laves, før arbejdet går i gang, også når det haster. Beviskopierne opbevares krypteret og er omfattet af tavshedspligt.

Opgaverne gælder civile sager, interne undersøgelser og tvister. Læs mere i afgrænsningen.

Er data ved at forsvinde, så ring på 70 13 63 23. Beskriv kort, hvad der er tændt, hvad der skal slettes, og hvornår.

Kilder og versioner

• RFC 3227: Guidelines for Evidence Collection and Archiving
• NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
• Microsoft Learn: wevtutil
• Microsoft Learn: Audit log retention policies

Senest gennemgået: oktober 2026.