En digital forensics-undersøgelse er en teknisk undersøgelse af computere, telefoner, konti og logs, lavet så hvert skridt kan dokumenteres og gentages. Resultatet er ikke en mavefornemmelse fra IT-afdelingen, men en rapport, der viser, hvad data siger, hvordan det er fundet, og hvor sikkert konklusionen står. Undersøgelsen bruges i civile tvister, interne undersøgelser og udenretlige forhandlinger, hvor den anden part kan forventes at gå metoden efter i sømmene.

Nielco IT laver undersøgelsen som uvildig IT-sagkyndig: ingen software eller hardware at sælge, ingen bindinger til leverandører, og tavshedspligt om alt, hvad data viser.

Situationen

Behovet opstår sjældent planlagt. Typisk står IT-afdelingen med et af disse spørgsmål:

• Har en fratrådt medarbejder taget kundedata eller kildekode med?
• Hvem ændrede kontonummeret på fakturaen, og fra hvilken konto?
• Er dokumentet, modparten har fremlagt, ændret efter den dato, det bærer?
• Hvad skete der i systemerne i dagene op til et nedbrud, som en leverandør og en kunde nu er uenige om?

Fælles for dem er, at svaret ligger i artefakter og logs, som ændres eller forsvinder, mens driften kører videre. Det er derfor rækkefølgen betyder noget: først sikring, så analyse. → Forensic eller incident response?

Hvad der sikres, og hvordan

Undersøgelsen starter med et teknisk kommissorium: hvilke spørgsmål skal besvares, hvilke personer, perioder og systemer er relevante. Ud fra det vælges metoden for hver kilde:

• Fuldt forensisk image af diske, når sletning, programkørsel eller USB-aktivitet er centralt. → Forensisk image trin for trin
• Målrettet indsamling af postkasser, mapper og filshares, når omfanget skal holdes nede. → Målrettet indsamling
• Cloud-eksport via administrative grænseflader for Microsoft 365, Google Workspace og SaaS-systemer. → Cloud-forensic via API og eksport
• Udtræk fra mobiltelefoner ad lovlige veje: kendt kode, samtykke eller administratoradgang.

Alt hashes ved sikringen, og hashværdien kontrolleres igen før analysen. Hver overdragelse registreres i en bevislog. Analysen sker på arbejdskopier, aldrig på originalen. → Sikring: metoderne samlet

Hvad undersøgelsen kan vise

En digital forensics-undersøgelse kan typisk belyse:

• hvilke filer der er åbnet, kopieret, slettet eller uploadet, og hvornår,
• hvilke programmer der er kørt, og hvilke USB-enheder der er tilsluttet,
• hvilke konti der har logget ind, fra hvilke adresser og enheder,
• hvilke mails der er sendt, videresendt eller læst,
• om et dokuments metadata og indhold hænger sammen med den historie, det fortæller,
• en samlet tidslinje på tværs af kilderne. → Tidslinjeanalyse

Lige så vigtigt er det, undersøgelsen ikke kan. Et spor viser, at en konto eller enhed gjorde noget, ikke nødvendigvis hvem der sad ved tastaturet. Manglende logs kan betyde, at intet skete, eller blot at intet blev logget. Den slags forbehold skrives ind i rapporten, ikke ud af den. → Fra artefakt til konklusion og Fejlkilder i digital forensics

Hvad I får

• En dokumenteret sikring med hashværdier, værktøjer og versioner, tidspunkter og bevislog.
• En analyse, der besvarer kommissoriets spørgsmål, med hypoteser og alternative forklaringer.
• En rapport med metode, fund, konklusionsgrader og forbehold, som kan læses af ledelse og advokat og efterprøves af en anden sagkyndig. → Rapportskrivning i digital forensics
• Mulighed for forklaring i retten eller ved voldgift, hvis sagen ender dér.

Leverancens opbygning kan ses på forhånd: indholdsfortegnelse til en forensic-rapport og hash-log over sikrede filer og images.

Den juridiske side af, hvordan undersøgelsen bruges i en retssag, er beskrevet på Digital forensics i civile sager.

Samarbejde med jeres IT, MSP eller IR-leverandør

En undersøgelse erstatter hverken driften eller et igangværende IR-forløb. Jeres IT eller MSP skaffer adgang og forklarer opsætningen, en IR-leverandør inddæmmer og genopretter, og Nielco IT sikrer og analyserer uvildigt ved siden af. Nielco IT kender selv incident response og hackerangreb indefra, så rækkefølgen mellem genstart og bevis kan aftales, uden at en af delene tabes. Rollefordelingen står på Samarbejde med IR-leverandøren, og det første opkald er beskrevet på Når I ringer. Er spørgsmålet stadig uskarpt, er teknisk sparring et mindre første skridt end en hel undersøgelse.

Pris og omfang

Siden nævner ingen beløb. Omfanget styrer prisen, og disse forhold trækker mest:

• hvor mange enheder, konti og systemer kommissoriet omfatter,
• datamængde og tidsvindue,
• fjernsikring eller fremmøde,
• antal kilder, der skal samles i én tidslinje,
• tidspres: hastesager koster ekstra,
• rapportform og eventuel vidneforklaring.

Et præcist kommissorium er den mest effektive bremse på omfanget, og sikringen kan bestilles alene med analysen udskudt. Hvordan opgaverne prissættes, står på nielcoit.dk/priser.

Bag undersøgelsen

Enkeltmandsfirmaet Nielco IT er John Nielsen, drevet selvstændigt siden 2009 og bygget på over 30 år med IT-sikkerhed. Som IT-sagkyndig har John Nielsen løst egne opgaver i danske retskredse og for patentdomstolen UPC (Den Fælles Europæiske Patentdomstol). Et konflikttjek går forud for ethvert overslag, og opgaver tages over hele Danmark. → Uvildighed og bindinger og Sådan arbejder vi teknisk

Fortrolighed

Images og arbejdskopier rummer ofte forretningshemmeligheder og persondata uden for kommissoriet. Tavshedspligten dækker det samlede IT-sagkyndige arbejde, også beviskopier og arbejdsnoter, og kun domstolene kan kræve oplysningerne udleveret. En NDA underskrives, hvis I ønsker det.

Afgrænsning

Undersøgelserne bruges i tvister mellem virksomheder, i interne sager og i forhandlinger uden for retten. Politiets efterforskning hører ikke hertil, og personer, der er meldt til politiet eller sigtet for økonomiske forhold, kan ikke få en opgave løst. Læs afgrænsningen.

Kontakt John Nielsen direkte på 70 13 63 23. Ydelsen er også beskrevet hos Nielco IT under digital bevissikring.