Defender‑logs og karantæne som kilde

Forside › Windows-forensik · Gennemgået oktober 2026 · Af John Nielsen

Microsoft Defender Antivirus er installeret på stort set alle Windows-computere, og dens logs er derfor en kilde, der næsten altid findes. De registrerer detektioner, de handlinger, Defender udførte, ændringer af beskyttelsens indstillinger og forsøg på at slå den fra. Karantænen kan endda indeholde de filer, der blev fjernet. I en undersøgelse fungerer Defender-sporene som tidsmarkører og som tegn på, at bestemte værktøjer har været på maskinen. En detektion viser dog ikke, at et program blev kørt, og mange detektioner gælder legitime værktøjer.

Den centrale cloudtelemetri fra Defender for Endpoint og Defender XDR er en anden og langt rigere kilde; den er behandlet i Defender XDR som datakilde. Her handler det om de lokale spor på computeren.

Hændelsesloggen

Defender skriver til sin egen Operational-kanal. De vigtigste hændelsestyper er:

1116 · Type: Detektion · Indhold: Truslens navn, kategori, alvor, sti til filen og den proces, der var involveret
1117 · Type: Handling udført · Indhold: Karantæne, fjernelse eller tilladelse, med resultat
1118 og 1119 · Type: Handling mislykkedes · Indhold: Filen kunne ikke håndteres, fx fordi den var låst; 1119 er en kritisk fejl
5001 · Type: Realtidsbeskyttelse slået fra · Indhold: Tidspunkt for deaktiveringen
5007 · Type: Konfiguration ændret · Indhold: Gammel og ny værdi for en indstilling, fx en ny undtagelse
5013 · Type: Ændring blokeret af manipulationsbeskyttelse · Indhold: Hvilken indstilling der forsøgtes ændret

Id’erne følger Microsofts oversigt over Defender Antivirus’ hændelser. En 1117 med handlingen “tillad” betyder, at truslen blev fundet, men tilladt efter en indstilling, ikke at den blev fjernet.

Hændelserne om ændret konfiguration er ofte de mest interessante i en sag. En ny undtagelse for en bestemt mappe eller filtype, eller realtidsbeskyttelse slået fra kort før et værktøj dukker op, kan være et stærkt indicium for, at nogen har forberedt maskinen. Hændelsesloggen generelt er beskrevet i Windows-hændelseslogs.

Supportlogs og detektionshistorik

Defender fører desuden detaljerede tekstlogs i sin supportmappe under ProgramData. De indeholder scanninger, opdateringer, detektioner og ofte information om de processer, der blev undersøgt, også når der ikke blev fundet noget. De går typisk længere tilbage end hændelseskanalen og kan derfor dække perioder, hvor kanalen er overskrevet. Formatet er ikke officielt dokumenteret og har ændret sig over tid, så fund herfra bør verificeres omhyggeligt. Hvor langt tilbage logs rækker, afhænger af filstørrelse og rotation, og tidszonen for tidsangivelserne bør afklares ved at sammenholde en kendt hændelse med den tilsvarende post i hændelseskanalen.

Detektionshistorikken gemmes som separate filer pr. detektion med oplysninger om filen, truslen og handlingen. Den kan bevare oplysninger om detektioner, som brugeren har ryddet fra historikken i Windows Sikkerhed.

Karantænen

Filer, der sættes i karantæne, flyttes til en mappe under Defenders programdata og gemmes i en kodet form, så de ikke kan køres. Forensiske værktøjer kan genskabe de oprindelige filer fra karantænen sammen med metadata som oprindelig sti og tidspunkt.

Genskabte filer kan være skadelige og skal håndteres på et isoleret analysesystem. Ofte er det tilstrækkeligt at beregne en hashværdi og sammenholde den med lister over kendte filer frem for at analysere selve indholdet; se Hashlister og kendte filer.

Undtagelser i registreringsdatabasen

Defenders indstillinger, herunder undtagelser for stier, filtyper og processer, ligger i registreringsdatabasen. Nøglernes LastWrite viser, hvornår undtagelser senest blev ændret, og værdierne viser, hvad der er undtaget. Indstillinger sat via central politik ligger et andet sted end lokale indstillinger, og det skal skelnes, fordi en central undtagelse er sat af IT, ikke af brugeren.

Brug i en undersøgelse

Defender-sporene kan bidrage til:

at datere, hvornår et bestemt værktøj første gang var på maskinen, fx et fjernadgangsprogram eller et værktøj til at udtrække adgangskoder,
at vise, at en fil blev fjernet automatisk, og at brugeren derfor ikke selv slettede den,
at vise ændringer af beskyttelsen, der faldt sammen med andre hændelser,
at kortlægge, hvilke filer der var på et USB-drev eller i en downloadmappe, ud fra scanningshændelser.

Fundene bør altid sammenholdes med programkørsel og autostart; se Prefetch, Amcache og Shimcache og Autostart, planlagte opgaver og tjenester.

Andre antivirusprodukter

Er Defender erstattet af et andet antivirus- eller EDR-produkt, går Defender typisk i passiv tilstand eller slås fra. Dens logs kan da være næsten tomme for perioden, og fravær af detektioner siger intet. Det andet produkt har sine egne lokale logs, karantæne og ofte en central konsol hos leverandøren. Principperne er de samme, men placering, format og opbevaring er produktspecifikke og skal afklares med leverandørens dokumentation, før fund tolkes. Notér altid, hvilket produkt der var aktivt i perioden, og hvornår et eventuelt skift skete.

Fravær af detektioner

At Defender ikke har registreret noget, er et svagt fund. Nye eller tilpassede værktøjer genkendes ikke nødvendigvis, legitime fjernadgangsprogrammer udløser ofte ingen alarm, og en undtagelse kan have holdt en mappe uden for scanningen. Omvendt kan et pludseligt hul i de ellers regelmæssige scannings- og opdateringshændelser i supportloggen være værd at undersøge, fordi det kan skyldes, at beskyttelsen var slået fra.

Fejlkilder

Detektion er ikke kørsel. Mange detektioner sker, når en fil skrives til disken eller scannes, før den nogensinde køres.
Legitime værktøjer markeres. Administrationsværktøjer, fjernsupportprogrammer og værktøjer til gendannelse af adgangskoder markeres ofte som potentielt uønskede programmer. Navnet på detektionen er en kategori, ikke en konklusion.
Generiske navne. Detektionsnavne kan være generiske eller heuristiske og kan ændre sig mellem definitionsversioner.
Arkiver og backup. En scanning af et zip-arkiv, en mailvedhæftning eller en backup kan udløse detektioner for filer, der aldrig har været udpakket.
Tidszoner. Hændelseskanalen gemmer i UTC, mens tekstlogs kan bruge et andet format.
Definitionsopdateringer. En fil, der har ligget i måneder, kan blive detekteret første gang, når en ny definition kommer. Detektionstidspunktet er da ikke tidspunktet for filens ankomst.

Sikring

Sikr Defenders Operational-kanal som EVTX, supportlogs, detektionshistorik og karantænemappen fra en forensisk kopi. Kopiering fra et kørende system kan blokeres af Defender selv. Notér Defenders version og definitionsversion på sikringstidspunktet, og om manipulationsbeskyttelse og central administration var aktiv.

Er maskinen tilsluttet Defender for Endpoint, bør den centrale telemetri sikres parallelt, fordi den opbevares uden for maskinen og ikke kan ryddes lokalt; se EDR-telemetri som bevis.

Hvad sporene kan og ikke kan bevise

Defender-sporene kan vise, at en bestemt fil med en bestemt sti var på maskinen og blev detekteret på et bestemt tidspunkt, hvad Defender gjorde ved den, og om beskyttelsen blev ændret. De viser ikke, hvem der placerede filen, om den blev kørt, eller hvad den gjorde. Det kræver de øvrige artefakter samlet i en tidslinje.

Dokumentation

Angiv for hvert fund: kilde (kanal, supportlog, detektionshistorik eller karantæne), tidspunkt med tidszone, truslens navn og kategori, filens sti og hashværdi, Defenders handling, definitionsversion og den proces, der var involveret. Beskriv ændringer af konfigurationen med gammel og ny værdi, og om de var lokale eller centrale. Er en fil genskabt fra karantænen, angives det, hvordan genskabelsen er sket, med hvilket værktøj, og at den genskabte fils hashværdi svarer til den værdi, Defender selv registrerede. Gengiv ikke skadeligt indhold i rapporten; en beskrivelse, en hashværdi og en henvisning til den sikrede kopi er tilstrækkeligt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Windows-forensik

Læs også: Active Directory og domænecontroller-logs: konti, grupper og nulstillinger · OneDrive-klienten på Windows: lokale spor af synkronisering

→ Forensisk undersøgelse af en computer · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik