Defender XDR og Defender for Office 365 som datakilde

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Microsoft Defender XDR samler telemetri fra enheder, mail, identiteter og cloudapps i én portal, og avanceret søgning (advanced hunting) gør det muligt at stille præcise spørgsmål til dataene med forespørgselssproget KQL. For en undersøgelse er det en værdifuld kilde, fordi den kan vise processer, netværksforbindelser, filhændelser, mailleverancer og klik på links på tværs af hele organisationen. Men dataene har en begrænset levetid, de er ikke en fuldstændig optagelse af alt, og en søgning er et udtræk, som skal dokumenteres, før det kan bruges som bevis. Bruges data til at afgøre, om miljøet er kompromitteret uden en kendt hændelse, se Compromise assessment.

Haster det? Avanceret søgning i Defender XDR rækker kun 30 dage tilbage, så ældre telemetri skal sikres, før den falder ud af vinduet. Ved akut behov: akut forensisk sikring; hastesager koster ekstra.

Den lokale side af Defender på en Windows-computer, fx detektioner og karantæne, er gennemgået i Defender-logs og karantæne som kilde. Her ser vi på den centrale portal.

Hvad dataene dækker

Avanceret søgning er organiseret i tabeller. De vigtigste for en undersøgelse er:

Enheder · DeviceProcessEvents, DeviceFileEvents, DeviceNetworkEvents, DeviceLogonEvents, DeviceRegistryEvents
Mail · EmailEvents, EmailAttachmentInfo, EmailUrlInfo, EmailPostDeliveryEvents
Links · UrlClickEvents
Identitet · IdentityLogonEvents, IdentityDirectoryEvents
Cloudapps · CloudAppEvents
Advarsler · AlertInfo, AlertEvidence

Hvilke tabeller der er fyldt, afhænger af, hvilke Defender-produkter organisationen har, og om enhederne er tilsluttet. En enhed uden sensor giver ingen enhedsdata, og mailtabellerne kræver Defender for Office 365.

Opbevaring

Avanceret søgning kan på tidspunktet for gennemgangen (oktober 2026) kun række 30 dage tilbage for Defender XDR-data. Andre visninger, fx enhedens tidslinje i Defender for Endpoint, bygger på data, der som standard opbevares i op til 180 dage. Har organisationen sendt data videre til Microsoft Sentinel, et logarbejdsområde eller et lager, kan de findes der i længere tid. Spørg altid efter det.

Kort opbevaring betyder, at Defender-data skal sikres blandt de første kilder, når en hændelse opdages. Venter man, til omfanget er afklaret, kan de første dages hændelser, som ofte er de vigtigste for at fastlægge indgangen, allerede være væk. Notér dato og klokkeslæt for første udtræk, så det kan vises, hvilken periode der stadig var dækket.

Avanceret søgning i en undersøgelse

En forespørgsel i KQL filtrerer en eller flere tabeller på tid, enhed, konto, fil-hash, IP-adresse eller andre felter. Tre principper gør resultatet brugbart som bevis:

Bred først, smal bagefter. Hent alle hændelser for en enhed eller konto i perioden, før der filtreres på bestemte handlinger. Ellers overses det uventede.
Gem forespørgslen. Den præcise tekst, tidspunktet for kørslen og tidsintervallet skal gemmes, så søgningen kan gentages.
Kend grænserne. Portalen har grænser for antal rækker pr. resultat og for kørselstid, på tidspunktet for gennemgangen (oktober 2026) 100.000 rækker og 10 minutter pr. forespørgsel, og API’et har sine egne kvoter. Rammes grænsen, er resultatet ufuldstændigt uden nødvendigvis at sige det tydeligt. Del søgningen op i kortere tidsrum.

Resultatet kan eksporteres fra portalen eller hentes via API. API giver bedre mulighed for at dokumentere og gentage; se Eksport via Microsoft Graph og PowerShell.

Mail i Defender for Office 365

For mail giver Defender for Office 365 oplysninger, der supplerer message trace: om en mail blev vurderet som phishing eller spam, om vedhæftninger og links blev scannet, om mailen blev fjernet efter levering, og om modtageren klikkede på et link, som blev omskrevet af linkbeskyttelsen. Det er centralt i sager om svindel med mail, fordi det kan vise, hvem der modtog en bestemt kampagne, og hvem der klikkede.

En klikhændelse viser, at linket blev åbnet via den beskyttede omskrivning fra en bestemt konto. Links i QR-koder og delte dokumenter går ofte uden om omskrivningen; se QR-koder og delte dokumenter som phishing. Den viser ikke, hvad brugeren gjorde på siden bagefter. Fremgangsmåden ved kompromitterede postkasser er beskrevet i BEC-undersøgelse i Microsoft 365.

Indsamling fra enheder

Defender for Endpoint har funktioner til at indsamle en undersøgelsespakke fra en enhed og til at isolere den fra netværket. Det er administrative indgreb, som ændrer enheden: Der køres processer, skrives filer, og netværket afbrydes. De kan være nødvendige ved en aktiv hændelse, men de skal registreres i en indgrebslog med tidspunkt, bruger og formål, så de ikke senere forveksles med andre handlinger. Se Indgrebslog under incident response. Indsamlingen erstatter ikke en forensisk kopi, når enhedens indhold er centralt.

Nøgler, der binder sporene sammen

Defender-data bliver stærkest, når de bruges som bindeled mellem andre kilder. Tre felter er særligt nyttige:

Fil-hash. Filhændelser har typisk SHA-256 for filen. Den kan bruges til at finde den samme fil på andre enheder, i mailvedhæftninger og i forensiske kopier, uanset filnavn.
Kontoens id og logon-id. Processer og logins kan kobles til en bestemt logonsession på enheden, så det kan ses, hvilke handlinger der hører til samme session.
Netværksoplysninger. Fjern-IP, port og domæne i netværkshændelser kan sammenholdes med firewall-, proxy- og DNS-logs.

Brug de samme nøgler konsekvent, og skriv i rapporten, hvilken nøgle hver kobling bygger på.

Adgang og ændringer

Adgang til avanceret søgning giver indsigt i meget, også i private forhold på enhederne. Begræns rollerne til dem, der skal bruge dem i sagen, og notér, hvem der havde dem. Brugernes egne handlinger i portalen, fx søgninger, isolation og indsamling, registreres i auditloggen. Telemetrien i avanceret søgning kan ikke redigeres af almindelige administratorer, men indstillinger som ekskluderinger og deaktiverede sensorer kan ændre, hvad der registreres fremadrettet. Gennemgå derfor ændringer i indstillingerne for perioden, især hvis en administrator er involveret i sagen.

Fejlkilder i fortolkningen

Ikke alle hændelser registreres. Sensoren registrerer ikke nødvendigvis hver eneste forekomst af en hændelsestype; gentagne hændelser kan blive begrænset eller sammenfattet. Fravær af en hændelse er derfor svagere end tilstedeværelse.
Dækning over tid. En enhed kan være tilsluttet sent eller have været offline. Kontrollér enhedens tilslutningsdato og seneste kontakt.
Tidsfelter. Hændelsens tidspunkt på enheden og tidspunktet for indlæsning er forskellige. Brug hændelsestiden og angiv UTC.
Kontekst fra Microsoft. Felter som omdømme og kategorisering kan ændre sig, efterhånden som Microsoft opdaterer sine vurderinger. Gem resultatet med kørselstidspunkt.
Automatiske handlinger. Automatisk undersøgelse og afhjælpning kan have fjernet filer eller mails. Gennemgå handlingscentret for perioden.

Sådan sikres resultatet

Eksportér hændelser og advarsler for den relevante periode og de relevante enheder og konti, før de udløber.
Gem forespørgslerne som tekst med kørselstidspunkt og tidsinterval.
Gem resultaterne i rå form, fx CSV eller JSON fra API, og beregn hashværdier.
Eksportér handlingscentrets historik for automatiske og manuelle indgreb.
Notér licenser, tilsluttede enheder og eventuel videresendelse til andre logsystemer.
Sammenhold de vigtigste hændelser med andre kilder, fx auditloggen og enhedens egne logs; se Logkorrelation.

Hvad Defender-data kan og ikke kan bevise

Defender-data kan vise, at en proces kørte, en fil blev oprettet, en forbindelse blev oprettet, eller en mail blev leveret og klikket, på en bestemt enhed eller konto og et bestemt tidspunkt. De kan ikke alene vise, hvem der sad ved enheden, og de dækker kun det, sensorerne så. En forklaring af metoden og grænserne er en forudsætning for, at data kan bruges i en civil sag.

Dokumentation til rapporten

Angiv licenser og dækning, forespørgsler med tidsintervaller og kørselstidspunkter, antal rækker pr. delsøgning, eksportfiler med hashværdier, registrerede indgreb og den tidszone, der er brugt.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Eksport via Microsoft Graph og PowerShell: dokumentation af kommandoerne · Copilot-interaktioner i Microsoft 365 som datakilde

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik