Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen
Når en intern IP-adresse optræder i en firewall-, proxy- eller serverlog, er næste spørgsmål, hvilken enhed der havde adressen på det tidspunkt. Svaret findes typisk i tre kilder: DHCP-serverens log over tildelte adresser, Wi-Fi-controllerens log over tilkoblede klienter og, hvis netværket bruger 802.1X eller anden netværksadgangskontrol, RADIUS-loggen, som også kan vise en brugerkonto. Kæden går fra IP-adresse til MAC-adresse, fra MAC-adresse til enhed og fra enhed eller certifikat til bruger. Hvert led har sine fejlkilder, og flere af kilderne er blandt de mest kortlivede i hele netværket.
Haster det? Windows’ DHCP-server overskriver hver dagsfil, når samme ugedag kommer igen, og routere med indbygget DHCP har ofte kun en kort log i hukommelsen. Kontakt os via akut forensisk sikring; hastesager koster ekstra.
DHCP: fra IP-adresse til MAC-adresse
En DHCP-server udlejer IP-adresser til klienter for en periode, lejetiden. Loggen registrerer typisk:
- tidspunkt,
- hændelse: ny lejeaftale, fornyelse, frigivelse, afvisning eller konflikt,
- IP-adresse,
- klientens MAC-adresse,
- værtsnavn, som klienten selv oplyser,
- evt. klient-id.
Windows DHCP Server skriver en tekstbaseret auditlog pr. ugedag, som standard i mappen System32\dhcp med filnavne som DhcpSrvLog-Mon.log, og hver fil overskrives, når samme ugedag kommer igen. Det betyder, at der kun er omkring syv dages historik i standardopsætningen. Mappen kan være flyttet i serverens indstillinger, så den faktiske sti noteres. På Linux-baserede DHCP-servere ligger lejeoplysninger i en lejefil og hændelser i systemloggen. I routere og firewalls med indbygget DHCP findes ofte kun en tabel over aktuelle lejeaftaler og en kort log i hukommelsen.
Lejetabellen viser, hvem der har en adresse nu. Den siger ikke, hvem der havde den i går. Det er loggen over hændelser, der skal sikres.
Wi-Fi-controlleren: tilknytning og placering
En Wi-Fi-controller eller cloudadministreret Wi-Fi-platform logger, hvornår en klient med en bestemt MAC-adresse koblede sig på et bestemt netværk via et bestemt access point, hvornår den skiftede access point, og hvornår den forsvandt. Det giver en grov placering i bygningen og et tidsforløb. Platformen kan også vise klientens styresystem eller enhedstype, gættet ud fra adfærd, og brugernavnet, hvis netværket bruger 802.1X.
Opbevaringen i cloudadministrerede platforme afhænger ofte af licens. Lokale controllere har typisk en begrænset buffer, medmindre der logges til en syslog-server.
RADIUS og 802.1X: fra enhed til konto
Med 802.1X godkendes enheden eller brugeren, før den får adgang til netværket. RADIUS-serveren logger godkendelsen og, hvis regnskab er slået til, start og stop af sessionen. Typiske felter er brugernavn eller certifikatets emne, klientens MAC-adresse, det access point eller den switch, klienten forbandt sig til, tidspunkt, sessions-id og evt. den tildelte IP-adresse.
Er godkendelsen baseret på brugerens konto, kobler RADIUS-loggen enheden til en konto. Er den baseret på et maskincertifikat, kobler den til en bestemt computer. Begge dele er et stærkere led end værtsnavnet fra DHCP.
Switche og ARP
På kablede netværk kan switchens MAC-adressetabel vise, på hvilken port en MAC-adresse sås, og routerens eller firewallens ARP-tabel viser, hvilken MAC-adresse der hørte til en IP-adresse. Begge tabeller er flygtige og indeholder kun det aktuelle billede. De er nyttige, hvis enheden stadig er på netværket, og skal da sikres hurtigt, fx med en eksport af tabellerne og et tidsstempel.
Tilfældige MAC-adresser
Telefoner og tablets med iOS og Android bruger som standard en privat MAC-adresse pr. Wi-Fi-netværk, og nyere versioner kan også skifte den med jævne mellemrum eller efter glemt netværk. Hvilke netværk enheden selv husker, står i Wi-Fi- og Bluetooth-spor på enheden. På computere er det mere forskelligt: Windows bruger kun tilfældige adresser, hvis funktionen er slået til, mens nyere udgaver af macOS også har private adresser pr. netværk. Notér derfor enhedens version og indstilling. Det har tre konsekvenser:
- MAC-adressen i loggen er ikke enhedens fysiske adresse. Den kan ikke slås op mod indkøbsdata eller producent.
- Samme enhed kan have flere MAC-adresser over tid eller på forskellige netværk, fx gæstenet og firmanet.
- Koblingen kræver enheden. Den private adresse for et bestemt netværk kan ofte ses i enhedens egne Wi-Fi-indstillinger eller i en forensisk kopi af enheden. Uden adgang til enheden er koblingen svag.
Tilfældige adresser kan genkendes på, at de er markeret som lokalt administrerede. Det er en egenskab ved adressen, ikke et tegn på manipulation.
Sikring
- Kortlæg DHCP-servere for de relevante netværk og VLAN, også routere og firewalls, der deler adresser ud til gæstenet.
- Kopiér DHCP-logfilerne straks, før de overskrives. Tag også lejetabellen og konfigurationen med lejetid og adresseområder.
- Eksportér Wi-Fi-controllerens klienthistorik for perioden.
- Eksportér RADIUS-loggen, både godkendelser og regnskab.
- Gem ARP- og MAC-adressetabeller, hvis de er relevante.
- Notér hver kildes tidszone og om enheden synkroniserer med NTP.
- Beregn hashværdier for alle filer.
Logs fra netværksudstyr er blandt de første, der forsvinder. Sikr dem tidligt i forløbet, også selv om det endnu ikke er klart, om de bliver brugt. Den generelle prioritering er beskrevet i Flygtighedsorden.
Korrelation
Kæden bygges ved at gå fra en hændelse i en anden log, fx en upload i proxyloggen fra intern IP-adresse, til DHCP-loggen for samme tidspunkt, og derfra til Wi-Fi- og RADIUS-loggen for den MAC-adresse. Tidspunkterne skal være normaliseret, og lejetiden skal tages i betragtning: En adresse kan være udlejet før hændelsen og fornyet efter. Se Logkorrelation.
Når enheden er en domænecomputer
Er enheden en computer, der er meldt ind i et domæne, kan kæden ofte forlænges med kilder på serversiden. Domænecontrollerens logs registrerer, hvilken konto der loggede på fra hvilken computer og fra hvilken IP-adresse, og computerens egne hændelseslogs viser interaktive logins og oplåsninger. Sammen med DHCP-loggen kan det vise, at computeren havde adressen, og at en bestemt konto var logget ind på computeren på tidspunktet. Det er stadig en konto og ikke en person, men kæden er markant stærkere end et værtsnavn. Kilderne er beskrevet i Active Directory og domænecontroller-logs.
Fejlkilder i fortolkningen
- Værtsnavnet er klientens eget valg. Det kan være standardnavnet fra producenten, medarbejderens navn eller noget helt tredje.
- Statiske adresser optræder ikke i DHCP-loggen.
- Adressekonflikter kan give to enheder samme adresse i en periode.
- Gæstenet har ofte egen DHCP i routeren uden vedvarende log.
- Delte enheder som mødelokale-pc’er og fællescomputere kobler ikke til én person.
- Virtuelle maskiner og docking-stationer kan have deres egne MAC-adresser. En bærbar computer i en dockingstation kan fremstå med dockens netkort og dermed som en anden enhed end på Wi-Fi.
Hvad loggene kan og ikke kan vise
Sammen kan DHCP-, Wi-Fi- og RADIUS-logs vise, at en bestemt enhed eller konto havde en bestemt intern IP-adresse på et bestemt tidspunkt og var tilkoblet et bestemt sted i bygningen. De kan ikke alene vise, hvem der brugte enheden. Hvordan virksomheden praktisk håndterer private enheder på gæstenettet, er beskrevet i Netværk og gæstenet. Hvordan den offentlige adresse udadtil vurderes, er beskrevet i IP-adresser som bevis, og routerens log set fra advokatens side i Routerens log og IP-tildeling.
Dokumentation
Angiv for hver kilde udstyr, model og firmwareversion, logplacering, rotation eller opbevaring, tidszone og tidssynkronisering, eksportmetode og hashværdier. Beskriv kæden led for led med tidspunkter, og angiv for hvert led, om det bygger på en entydig identifikator som et certifikat eller en konto, eller på en svag som et værtsnavn eller en privat MAC-adresse. Jo flere svage led, desto mere forsigtig skal konklusionen formuleres.
Kilder og versioner
- Microsoft Learn: Set-DhcpServerAuditLog (DHCP-auditlog)
- Apple Support: Use private Wi-Fi addresses on Apple devices
- Android Open Source Project: MAC randomization behavior
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Netværk og logs
Læs også: IP-adresser som bevis: NAT, CGNAT, VPN og geolokationens fejl · DNS-logs som spor
→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
