Vi har allerede rørt maskinen: hvad der stadig kan reddes

Forside › Sikring: metoderne samlet · Gennemgået oktober 2026 · Af John Nielsen

Det er sjældent for sent. Et logon, en antivirusscanning eller en genstart ændrer bestemte spor, men efterlader langt de fleste andre urørte, og de vigtigste kilder ligger ofte slet ikke på maskinen, men i cloudlogs, på servere og i backup. Det afgørende er at stoppe nu, skrive ned, hvad der er gjort, og sikre resten, før næste handling ændrer mere.

Haster det? Cloudlogs, der kan vise den oprindelige tilstand, udløber løbende, i Entra ID efter 7 eller 30 dage, og hver ny handling på maskinen overskriver mere. Se akut forensisk sikring; hastesager koster ekstra.

Mange IT-afdelinger og MSP’er tøver med at ringe, fordi de frygter at have ødelagt sagen. Den frygt er sjældent begrundet. En håndtering, der er tidsfæstet og beskrevet, kan skilles fra resten af sporene. En håndtering, der fortsætter uden notater, kan ikke. Hvordan den sagkyndige teknisk adskiller egne og andres spor, er beskrevet i kontaminering: når undersøgelsen selv efterlader spor. Her er IT-afdelingens udgave: hvad hver handling koster, og hvad der overlever.

Stop, og skriv det ned

Før noget andet: lad maskinen være i den tilstand, den er i nu. Er den tændt, så lad den være tændt og fjern den fra netværket, hvis der er risiko for fjernadgang eller sletning. Er den slukket, så lad den være slukket.

Skriv derefter, så præcist som muligt:

hvem der har haft maskinen eller kontoen, og hvornår
hvilke handlinger der er udført: logon, filgennemsyn, scanning, kørsel af værktøjer, kopiering, genstart, nulstilling af adgangskode
hvilke konti og hvilke USB-medier der er brugt
om der er kopieret noget fra maskinen, og hvortil

Notér klokkeslæt efter et kendt ur, fx serverens eller telefonens, og skriv, hvilket ur der er brugt. Gem også tickets og chatbeskeder fra forløbet. Notaterne bliver senere grundlaget for at fastlægge et skæringstidspunkt i analysen.

Hvad de typiske handlinger ændrer

Logon med IT-konto · Hvad der typisk ændres: Nye logon-hændelser, ny profil eller profilændringer, registreringsdata for IT-kontoen · Hvad der typisk overlever: Den undersøgte brugers profil, filer, historik og de fleste ældre hændelser
Gennemsyn af filer og mapper · Hvad der typisk ændres: Nye LNK-filer, jump lists og shellbags for IT-kontoen; adgangstider kan ændres · Hvad der typisk overlever: Filernes indhold, oprettelses- og ændringstider, brugerens egne artefakter
Antivirus eller EDR-scanning · Hvad der typisk ændres: Adgangstider, karantæne eller sletning af fund, nye logposter · Hvad der typisk overlever: Filsystemets journal, de fleste brugerartefakter, ofte selve fundet i karantæne
Genstart · Hvad der typisk ændres: Al hukommelse, aktive netværksforbindelser, midlertidige filer · Hvad der typisk overlever: Disken, hændelseslogs (med nye poster), skyggekopier
Nulstilling af adgangskode · Hvad der typisk ændres: Aktive sessioner afsluttes, kontoen får nye hændelser · Hvad der typisk overlever: Loginhistorik i cloud, regler, enheder og tidligere aktivitet
Reimage eller nulstilling · Hvad der typisk ændres: Det meste af det lokale indhold · Hvad der typisk overlever: Cloudlogs, serverlogs, backup, synkroniserede kopier, mail

Tabellen er en grov rettesnor. Hvor meget en handling overskriver, afhænger af diskens type, mængden af ny aktivitet og logstørrelser. På en SSD med TRIM kan slettede data forsvinde hurtigt, mens en roterende disk kan bevare dem længe. Se SSD, TRIM og gendannelse af slettede filer.

Den alvorligste konsekvens er ikke tab af data, men forveksling. Et filgennemsyn fra en IT-konto kan i en tidslinje ligne brugerens egen aktivitet, hvis ingen ved, at det fandt sted. Derfor er notaterne vigtigere end selve handlingen.

Hvor sporene stadig er

Selv når den lokale maskine er nulstillet, ligger en stor del af sagen andre steder:

Cloudtjenester: Loginlogs, auditlogs og filaktivitet i Microsoft 365 eller Google Workspace føres på leverandørens servere og påvirkes ikke af, hvad der sker på klienten. De har dog begrænset opbevaringstid og bør sikres nu. På tidspunktet for gennemgangen (oktober 2026) gemmer Entra ID loginlogs i 7 dage uden betalt licens og 30 dage med P1 eller P2, og Purviews standardauditlog gemmes i 180 dage.
Servere og netværk: Filserverens auditlog, domænecontrollerens hændelser, firewall, VPN og proxy registrerer, hvad klienten gjorde udadtil.
Backup og skyggekopier: En backup fra før håndteringen er ofte den bedste kilde til den oprindelige tilstand. Volume Shadow Copies på selve maskinen kan rumme ældre versioner af filer og registreringsdatabasen, også efter at IT har arbejdet på maskinen. Se Volume Shadow Copies.
Synkroniserede kopier: OneDrive, mailserveren og mobilenheder kan have kopier af data, der er væk lokalt.
EDR og RMM: Telemetri og fjernadgangslogs viser både brugerens og IT’s handlinger med egne tidsstempler.

Når kontoen også er håndteret

Ofte er det ikke kun maskinen, der er rørt. Adgangskoden er nulstillet, MFA er fjernet, eller en leder har logget ind i postkassen for at se efter. Det ændrer andre ting end på klienten.

En nulstilling afslutter sessioner og kan fjerne overblikket over, hvilke enheder der var forbundet. Selve historikken over logins, registrerede enheder og MFA-ændringer ligger dog fortsat i auditloggene, så længe opbevaringstiden ikke er udløbet. Et logon i brugerens postkasse giver nye loginposter fra IT’s eller lederens IP-adresse og ændrer læsestatus på mails. Det kan senere forveksles med uautoriseret adgang, hvis det ikke er noteret.

Sikr derfor nu, før mere ændres: loginloggen for kontoen, auditposter for postkassen, indbakkeregler og videresendelse, registrerede enheder og app-samtykker. Brug administrative eksportveje og egne konti, ikke brugerens. Skriv også, hvilken administratorkonto der foretog nulstillingen, så handlingen kan genfindes i loggen og adskilles fra resten.

Det, der ikke må ske nu

Den største skade sker typisk efter, at man har opdaget, at maskinen er rørt. Undgå derfor:

at køre oprydningsværktøjer, defragmentering eller “fuld scanning med sletning”
at nulstille, reimage eller udlevere maskinen til en ny medarbejder
at slette brugerens konto eller lade den udløbe efter standardproceduren
at kopiere filer ud med Stifinder for at “redde dem”, fordi det ændrer tider og ikke dokumenterer noget
at ændre logindstillinger eller opbevaringspolitikker uden at notere det

Skal maskinen genbruges eller geninstalleres af driftshensyn, så sikr den først. Rækkefølgen er gennemgået i tjekliste: før reinstallation eller udskiftning af en maskine.

Hvad den sagkyndige gør med jeres notater

En uvildig IT-sagkyndig bruger IT’s forklaring som en hypotese, der efterprøves mod data. Logon-hændelser for IT-kontoen, tilsluttede USB-enheder, kørte værktøjer og nye artefakter findes i de samme kilder, som undersøges. Kan forklaringen bekræftes, kan analysen sætte et skæringstidspunkt og vurdere, hvilke konklusioner der bygger på påvirkede kilder, og hvilke der ikke gør.

Det er en fordel, at forklaringen skrives, før den sagkyndige ser data. Så bliver den ikke formet af sporene bagefter. Ufuldstændige eller usikre oplysninger skal også med; de er bedre end ingen.

Hvad det betyder for sagen

En håndtering før sikringen ugyldiggør sjældent en undersøgelse. Den svækker typisk de konklusioner, der bygger på spor fra tidsrummet omkring håndteringen. En modpart kan bruge den som argument, men argumentet står svagest, når rapporten selv har afgrænset håndteringen og redegjort for, hvad der kan være tabt.

Fra ledelsens side handler situationen om beslutninger og ansvar; den vinkel er beskrevet på bevissikring-digitalt.dk. Teknisk gælder det om at få de flygtige kilder sikret i de næste timer. Forløbet fra første opkald er beskrevet under når I ringer.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Sikring: metoderne samlet

Læs også: Tilbagelevering af originalmedier og dokumentation af tilstand · Adgang for en ekstern sagkyndig: roller i Entra ID, Purview, Google og AD

→ Forensisk sikring · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik