Cloud- og SaaS-forensik

I cloud og SaaS ejer kunden data, men leverandøren ejer platformen. Der er ingen fysisk disk at tage et image af, ingen server at skrivebeskytte og sjældent adgang til de rå logs bag tjenesten. Det, der kan sikres, er det, platformen stiller til rådighed: API-kald, administratoreksporter, snapshots af virtuelle diske og de auditlogs, som kunden selv har slået til. Resten ligger hos leverandøren og kan kun fås ved at spørge, ofte inden for en kort frist.

Cloud-forensik handler derfor mere om forberedelse og hurtighed end om værktøjer. Er CloudTrail, Activity Log eller Data Access-logs ikke slået til, før hændelsen sker, findes sporet ikke. Og er de slået til, roterer de efter en periode, som afhænger af konfiguration og abonnement. Den vigtigste tekniske beslutning i en cloudsag er ofte, hvilke logs der skal eksporteres og bevares i dag.

Det særlige ved cloud og SaaS

Logs er en indstilling. Mange auditlogs er slået fra som standard eller dækker kun administrative handlinger. Læsning af data kræver ofte særskilt aktivering.
API-kaldet er hændelsen. I AWS, Azure og GCP er næsten alt et kald til en programgrænseflade. Auditloggen registrerer, hvem der kaldte, fra hvilken IP, med hvilke nøgler og hvad resultatet var.
Snapshots er den nærmeste ækvivalent til et image. Et snapshot af en virtuel disk kan kopieres til en separat konto og analyseres som en disk, men tidspunktet og kæden af ansvar skal dokumenteres.
SaaS-leverandører er forskellige. Et CRM, et ERP-system og en identitetsudbyder har hver sin auditlog med egne felter og egen opbevaring. Nogle eksporterer kun via support.

Kilder og hvad de viser

CloudTrail · Platform: AWS · Hvad den viser: API-kald med identitet, kilde og resultat · Læs mere: AWS CloudTrail
Activity Log og Log Analytics · Platform: Azure · Hvad den viser: Ændringer af ressourcer og diagnosticeringslogs · Læs mere: Azure
Cloud Audit Logs · Platform: Google Cloud · Hvad den viser: Administrative handlinger og dataadgang · Læs mere: Google Cloud Audit Logs
Disksnapshots · Platform: Alle · Hvad den viser: Kopi af en virtuel disk til analyse · Læs mere: Snapshots af cloud-diske
Objektlagerets adgangslogs · Platform: S3 og Blob · Hvad den viser: Læsning, download og tidligere versioner · Læs mere: Objektlager
SSO-systemlog · Platform: Identitetsudbydere · Hvad den viser: Samlet login-spor til mange tjenester · Læs mere: Identitetsudbydere og SSO
SaaS-auditlogs · Platform: CRM, ERP og andre · Hvad den viser: Feltændringer, eksporter og administratorhandlinger · Læs mere: SaaS-systemer som datakilde
Containere og Kubernetes · Platform: Cloud og on-premises · Hvad den viser: Flygtige spor, der forsvinder med containeren · Læs mere: Containere og Kubernetes
Hostinglogs · Platform: Webhotel og hosting · Hvad den viser: Adgang til websted, FTP og kontrolpanel · Læs mere: Hostingleverandørens logs
API-eksport · Platform: Alle · Hvad den viser: Dokumenteret sikring via programgrænseflade · Læs mere: Cloud-forensic via API

Typiske fejlkilder

Eksport uden kontekst. En JSON-fil med logposter er kun et bevis, hvis det fremgår, hvem der hentede den, hvordan, med hvilke filtre og hvornår. Hashværdien af eksporten skal registreres.
Kun administrative handlinger. Mange sager handler om, hvem der læste data. Hvis dataadgang ikke blev logget, kan det ikke dokumenteres bagefter, og det skal stå klart i rapporten. Se Fravær af spor.
Tidszoner og klientur. Cloudlogs skriver typisk UTC, mens SaaS-brugerflader viser lokal tid. Se Server-tid og klient-tid.
Nøgler roteres, før de er undersøgt. At tilbagekalde en lækket nøgle er rigtigt, men nøglens id og anvendelse skal dokumenteres først. Se Lækkede API-nøgler.
Leverandøren spørges for sent. Hostingfirmaer og SaaS-leverandører sletter logs efter deres egne regler. Anmodningen om bevaring bør sendes tidligt.

Hvor man starter

Lav en liste over de cloudkonti, abonnementer og SaaS-systemer, der berører sagen, og notér for hver, hvilke logs der er slået til, og hvor længe de gemmes. Identifikation af datakilder og Teknisk datakort hjælper med strukturen. Eksportér derefter de kilder, der roterer først, og dokumentér hver eksport som beskrevet i Cloud-forensic: sikring via API og administratoreksport. Handler sagen om en kundeliste fra et CRM, er Kundelisten fra CRM det konkrete udgangspunkt; handler den om en uventet cloudregning, er det Misbrug af cloudkontoen.

Når det skal være en opgave

Logundersøgelse Når svaret ligger i logfilerne.

Artikler

Cloud-forensic: sikring via API og administratoreksport Cloud-data kan ikke kopieres som en harddisk. Sådan sikres data fra Microsoft 365, Google og SaaS via API og eksport, og sådan dokumenteres integriteten.
AWS CloudTrail i undersøgelser: sikring og fortolkning AWS CloudTrail registrerer API-kald i en AWS-konto. Forskellen på management og data events, sikring til uforanderligt lager og fortolkning af identiteter.
Azure: Activity Log, Monitor og Log Analytics som bevis Azure logger handlinger på ressourcer uden opsætning, men dataadgang og gæstelogs kræver diagnostikindstillinger. Her er sikring, felter og fejlkilder.
Google Cloud Audit Logs i undersøgelser Google Cloud logger administrative handlinger altid, men dataadgang kun når det er slået til. Logtyper, felter, opbevaring og sikring til en civil sag.
Snapshots af cloud-diske som forensisk kopi Et snapshot af en cloud-disk bevarer data, men er ikke en klassisk forensisk kopi. Sådan sikres, hashes og dokumenteres det, så kopien kan efterprøves.
Objektlager (S3, Blob): adgangslogs og versionering Hvem hentede filerne i S3 eller Azure Blob? Adgangslogs er ofte slået fra, men versionering kan bevare tidligere udgaver. Kilder, felter og fejlkilder.
Identitetsudbydere og SSO: systemlogs som samlet login-spor Identitetsudbyderens systemlog viser, hvilke SaaS-systemer en konto loggede ind i via SSO. Her er felter, grænser, fejlkilder og sikring til en civil sag.
SaaS-systemer som datakilde: hvilke logs findes, og hvem har dem SaaS-systemer har kundelogs og leverandørlogs med forskellig adgang og opbevaring. Lagene, eksportvejene, fejlkilderne og spørgsmål til leverandøren.
ERP-systemers audit trail teknisk Sådan læses et ERP-systems audit trail teknisk: ændringslogtabeller, posteringsdato mod registreringstid, rettigheder og rekonstruktion af data.
Feltlog og ændringshistorik i CRM-systemer Feltlog i CRM viser gamle og nye værdier, men kun for felter, der var slået til. Sådan virker feltsporing, opsætningslog og loginhistorik teknisk.
Containere og Kubernetes: flygtige spor, der skal sikres hurtigt Containere lever kort, og deres logs og ændringer forsvinder med dem. Sådan sikres containerlag, images, Kubernetes-auditlog og nodens logs til en sag.
Hostingleverandørens logs: hvad kan leveres, og hvor hurtigt forsvinder det Webhoteller gemmer adgangslogs, FTP-logs og panel-logins i kort tid. Her er de typiske logtyper, hvad kunden selv kan hente, og hvad der skal bestilles.
Danske cloudregnskabsprogrammer: ændringslog og eksport Danske cloudregnskabsprogrammer skal gemme rettelser og bevare bogførte posteringer. Hvilke spor der findes, hvordan de eksporteres, og hvor de fejltolkes.
MitID og NemLog-in: hvilke logdata findes, og hvem har dem En MitID-godkendelse efterlader spor hos MitID, hos brokeren og hos tjenesten. Hvem der har hvilke logdata, og hvordan de lovligt kan skaffes til en sag.
HR- og lønsystemer: adgangslogs og ændringshistorik Hvem så kollegaens løn, og hvem ændrede kontonummeret før lønkørslen? Sådan læses ændringshistorik og opslagslogs i HR- og lønsystemer, og deres grænser.
Webshopplatforme: ordre-, admin- og ændringslogs Ordrehistorik, administratorlogs og databasen viser, hvem der refunderede, gav rabat eller ændrede priser. Sådan sikres sporene på de store webshopplatforme.
Kassesystemer og POS: journal, ændringer og eksport Kassesystemets elektroniske journal, Z-rapporter og SAF-T-fil kan vise annulleringer, rabatter og huller i nummerrækken. Sådan sikres og analyseres data.
Bank- og MobilePay-data som datakilde Kontoudtog, strukturerede bankfiler, netbankens logs og MobilePay-historik: hvilke data findes, hvem har dem, og hvordan fås og sikres de lovligt til en sag.
Adgangskodeadministratorer: auditlogs ved fratræden Erhvervsversioner af adgangskodeadministratorer logger visning, kopiering og eksport af delte elementer. Sådan sikres og læses loggen ved en fratræden.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.