Hvem sad ved tastaturet? Attribution af brugerhandlinger

Forside › Analyse og fortolkning · Gennemgået oktober 2026 · Af John Nielsen

Digitale spor viser i udgangspunktet, at en konto på en enhed udførte en handling. Om en bestemt person sad ved tastaturet, er en slutning, der skal bygges op af flere uafhængige spor: sessionsdata, autentifikation, enhedens tilstand, fysiske adgangsdata og konteksten omkring handlingen. Jo flere uafhængige kilder der peger på samme person, og jo bedre alternative forklaringer er afprøvet, jo stærkere er attributionen.

Hvordan en virksomhed praktisk håndterer en medarbejder, der afviser en handling, eller en konto, som flere deler, er beskrevet på bevissikring-digitalt.dk: → “Det var ikke mig” og → Delte logins og fælleskonti. Her handler det om den tekniske analyse.

Konto, session og person

Attribution foregår i tre led:

Handlingen hører til en konto. Fx en post i en auditlog eller et artefakt i en brugerprofil.
Kontoen var i brug i en bestemt session. Hvordan blev der logget på, fra hvilken enhed og hvilket netværk, og var sessionen interaktiv?
Sessionen blev brugt af en bestemt person. Det kræver spor, der kobler en fysisk person til enheden eller autentifikationen på tidspunktet.

De fleste fejl opstår, fordi led 2 springes over. En handling i en brugers profil kan være sket i en session, der blev startet via fjernskrivebord, af en planlagt opgave eller af en anden person på en ulåst maskine.

Sessionsdata på Windows

Windows’ sikkerhedslog kan, afhængigt af auditpolitikken, vise:

Logon og logoff (Event 4624 og 4634/4647) med logontype, fx interaktiv (2), netværk (3), fjernskrivebord (10) eller cachelagret (11).
Låsning og oplåsning af arbejdsstationen (Event 4800 og 4801), hvis den relevante underkategori er slået til.
Genforbindelse og afbrydelse af sessioner (Event 4778 og 4779), som er centrale ved fjernskrivebord og hurtigt brugerskift.

Både 4800/4801 og 4778/4779 hører under auditunderkategorien Other Logon/Logoff Events, som ikke er slået til på alle systemer. Mangler hændelserne, skal den gældende auditpolitik derfor kontrolleres, før fraværet tolkes.

Ud fra disse hændelser kan man rekonstruere, hvornår en session var aktiv, låst eller overtaget fra en anden maskine. En handling, der ligger i et tidsrum, hvor skærmen var låst, og hvor ingen anden session var aktiv, kræver en anden forklaring end brugerinput, fx en automatisk proces. → Event 4624 og 4625: logontyper og fortolkning

Autentifikation i cloud

I Microsoft 365 og andre cloudtjenester viser loginloggen typisk tidspunkt, IP-adresse, klientapp, enhedsoplysninger og om MFA blev opfyldt. Et vigtigt skel er mellem en ny autentifikation og en fortsat session med et eksisterende token. En handling kl. 22 kan stamme fra en session, der blev etableret kl. 8 på kontoret, og som fortsatte på en bærbar computer, der blev taget med hjem.

MFA-hændelser kan koble en autentifikation til en bestemt registreret enhed, typisk en telefon. Det er et stærkere spor mod en person end en adgangskode, men det viser stadig kun, at den, der havde telefonen, godkendte. → Entra ID-loginlogs: felter, fejlkoder og fortolkning

Fysiske og kontekstuelle spor

Koblingen fra session til person kommer oftest fra kilder uden for den undersøgte enhed:

Adgangskort og døre · At personen var i bygningen eller lokalet
Telefonens placerings- og brugsdata · Hvor personens telefon var, og om den var i brug
Kalender og mødelogs · At personen var optaget andetsteds
Andre konti på samme enhed · Hvem der i øvrigt brugte enheden i samme tidsrum
Kommunikation før og efter · Beskeder, der henviser til handlingen
Videoovervågning · Hvem der var til stede ved enheden

Disse kilder har hver deres fejlkilder. Adgangskort kan lånes, telefoner kan ligge på et skrivebord, og kalendere afspejler planer, ikke nødvendigvis det, der skete.

Alternative forklaringer, der skal afprøves

En forsvarlig attribution afprøver systematisk de forklaringer, der oftest ligger bag en fejlagtig tilskrivning:

Delt eller kendt adgangskode. Er der tegn på, at andre har brugt kontoen, fx logon fra enheder eller netværk, som personen ellers ikke bruger?
Ulåst eller efterladt session. Var der en aktiv session, mens personen ifølge andre spor var væk fra enheden?
Fjernadgang. Findes der spor efter fjernskrivebord, fjernsupportværktøjer eller RMM-agenter i tidsrummet?
Kompromitteret konto eller enhed. Er der tegn på phishing, stjålne sessionstokens eller fjernstyringsprogrammer?
Automatiseret handling. Kan en regel, et script, en synkroniseringsklient eller en planlagt opgave have udført handlingen?
En anden enhed på samme konto. Hos Apple kan et spor på én enhed stamme fra en anden enhed via synkronisering; se Synkronisering mellem Apple-enheder.
Administratorhandling. Kan en administrator have handlet i brugerens navn, fx via delegering eller adgang til postkassen?

Hver forklaring forudsiger bestemte spor. Fjernadgang efterlader typisk netværksforbindelser, procesdata og logposter. Fravær af disse spor er relevant, men kun hvis logningen var slået til og dækker perioden. → Fravær af spor

Enheden som mellemled

Mange attributioner går via enheden: Handlingen kom fra computer A, og computer A bruges af person B. Begge led skal underbygges. Det første led kræver, at enheden kan identificeres entydigt i kilden, fx via enheds-id i loginloggen, værtsnavn i en filserverlog eller MAC-adresse i DHCP-loggen. IP-adresser alene er sjældent nok, fordi flere enheder kan dele en offentlig adresse bag NAT. Det andet led kræver, at det kan vises, hvem der havde enheden på tidspunktet: udleveringskvitteringer, logonhistorik på enheden, MDM-registrering og om enheden har været lånt ud, sendt til reparation eller geninstalleret. En bærbar computer, der står i et mødelokale, er en anden sag end en, der er låst inde i et kontor.

Mønstre som støttespor

Brugsmønstre kan understøtte eller svække en attribution: hvilke programmer der typisk bruges, tastemønstre i dokumenter, sprogbrug, faste arbejdstider og rækkefølgen af handlinger. Sådanne mønstre er svage alene og kan ikke erstatte direkte spor. Sproglig stilanalyse ligger desuden uden for, hvad de fleste IT-sagkyndige bør udtale sig om, og bør i givet fald beskrives som en begrænsning.

Tidslinjen som ramme

Attribution er i praksis en tidslinjeøvelse. Læg session, autentifikation, fysiske spor og selve handlingen ind på samme tidsakse, normaliseret til samme tidszone, og se, om de hænger sammen. Afvigelser mellem enhedsure og serverure skal måles og noteres, før man konkluderer på minutniveau. → Tidslinjeanalyse: metode, kilder og faldgruber

Hvad attributionen kan og ikke kan bevise

Digitale spor kan i bedste fald vise, at handlingen skete i en session, som en bestemt person med stor sandsynlighed kontrollerede, fordi flere uafhængige spor peger samme vej, og fordi de oplagte alternativer er afprøvet og afvist. De kan sjældent udelukke enhver anden forklaring. Konklusionen bør derfor formuleres som en vurdering med en angivet sikkerhed, og den bør nævne de forklaringer, der ikke kunne afvises.

Dokumentation

Beskriv i rapporten for hvert led i kæden:

hvilke kilder der er brugt, og om de er uafhængige af hinanden,
hvilken logning der var slået til, og hvilken periode den dækker,
hvilke alternative forklaringer der er afprøvet, og hvilke spor der afviste dem,
hvilke forklaringer der ikke kunne afprøves på grund af manglende data.

Sondringen mellem konto og person er også den, en modparts sagkyndige vil gå efter. En rapport, der selv har gjort arbejdet, står stærkere. Den juridiske side af spørgsmålet, når flere har haft adgang til samme telefon eller konto, er beskrevet her: → Hvem skrev beskeden?

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Analyse og fortolkning

Læs også: Fra artefakt til konklusion: hvad et spor faktisk viser · Systemet eller brugeren? Aktivitet, der ligner brugeradfærd · Teknisk ordbog

→ Digital forensics-undersøgelse · For sagkyndige · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik