Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
Isolering af en maskine via EDR bevarer som udgangspunkt næsten alle spor: Maskinen kører videre, hukommelsen er intakt, og disken ændres kun lidt. Det er de efterfølgende skridt, der fjerner beviser. Karantæne flytter filer, automatisk oprydning sletter persistens, genstart tømmer hukommelsen, og genopsætning (reimage) overskriver disken. Rækkefølgen af indgrebene afgør derfor, hvad der kan dokumenteres bagefter.
Haster det? En genstart tømmer hukommelsen, og en genopsætning fra standardimage overskriver disken, ofte samme dag som hændelsen opdages. Se akut forensisk sikring; hastesager koster ekstra.
Indgrebene i stigende grad af påvirkning
- Netværksisolering · Lille: forbindelser afbrydes, resten bevares
- Stop af proces · Middel: processens hukommelse forsvinder
- Karantæne af fil · Middel: filen flyttes og omkodes
- Automatisk oprydning · Stor: persistens og nøgler slettes
- Genstart · Stor: hukommelse og flygtig tilstand tabes
- Reimage eller nyinstallation · Total for den lokale disk
Den præcise adfærd afhænger af produkt, version og politik. Det, der står nedenfor, er det typiske billede. Kontrollér altid, hvad jeres EDR-løsning faktisk gør, og notér det. Som eksempel bevarer Microsoft Defender for Endpoint ved isolering forbindelsen til Defender-tjenesten, kan isolere selektivt, så fx Outlook og Teams stadig virker, og registrerer handlingen i sit handlingscenter. Er maskinen offline, forsøger Defender at gennemføre isoleringen i op til tre dage. Andre produkter har tilsvarende funktioner med andre standardindstillinger.
Netværksisolering
Ved isolering blokerer EDR-agenten al netværkstrafik undtagen forbindelsen til EDR-platformen og eventuelt få undtagelser. Maskinen kører videre, og processer, hukommelse og filsystem er uændrede. Det er derfor det mest skånsomme indgreb og som regel det rigtige første skridt.
Det, der går tabt, er de aktive netværksforbindelser. En ondsindet proces, der havde forbindelse til en kontrolserver, mister den, og sessionen fremgår ikke længere af maskinens forbindelsestabel. Har EDR-telemetrien registreret forbindelserne før isoleringen, er sporet bevaret dér. Ellers kan firewall- og proxylogs dække hullet. Notér tidspunktet for isoleringen præcist, så det kan ses, hvornår forbindelserne stoppede af den grund.
Isolering ændrer også lidt på maskinen: Agenten skriver til sine egne logs, og Windows kan registrere ændringer i netværksstatus. Det er normalt uden betydning, men hører til i indgrebsloggen.
Indsamling gennem den isolerede forbindelse
Den åbne kanal til EDR-platformen betyder, at indsamling kan fortsætte efter isoleringen. Det er en fordel, men også en kilde til forvirring. Filer, hukommelse og logs, der hentes via EDR, passerer gennem agenten, som kan begrænse filstørrelser, komprimere data eller springe låste filer over. Notér derfor for hver indsamling, hvilken funktion i EDR der blev brugt, hvilken version agenten havde, og om hentningen blev afbrudt eller gennemført. Beregn hashværdien af det hentede, så snart det ligger uden for maskinen, og sammenhold den med den værdi, platformen selv viser, hvis den gør.
Tag også stilling til, om agenten selv kan være påvirket. Har angriberen haft administratorrettigheder, kan agenten være forsøgt deaktiveret eller manipuleret. Sammenhold derfor det, agenten rapporterer, med en uafhængig kilde, fx en forensisk kopi af disken eller centrale logs, før der lægges vægt på et fravær af hændelser.
Stop af processer
At dræbe en ondsindet proces stopper skaden, men processens hukommelse forsvinder med den. Netop hukommelsen kan indeholde dekrypterede konfigurationer, kommandoer, nøgler og netværksadresser, som ikke findes på disken. Kan det nås, så sikr hukommelsen, før processen stoppes, enten for hele maskinen eller for den enkelte proces. Se Hukommelsessikring.
Karantæne
Når en fil sættes i karantæne, flytter sikkerhedsproduktet den typisk til en beskyttet mappe og omkoder indholdet, så filen ikke kan køre. Filen er altså ikke væk, men den er ikke længere på sin oprindelige plads med sine oprindelige tidsstempler. Karantænen gemmer ofte metadata om den oprindelige sti og tidspunktet, og filen kan i mange tilfælde gendannes til analyse. For Microsoft Defender er det beskrevet i Defender-logs og karantæne.
Faldgruben er, at den oprindelige placering nu er tom. En senere analyse af filsystemet ser en slettet fil eller en ændring i mappen og skal kunne kobles til karantænehændelsen. Hashværdien fra karantænen og fra EDR-telemetrien gør det muligt at vise, at filen er den samme.
Automatisk oprydning
Mange EDR-løsninger kan rydde op automatisk: slette planlagte opgaver, fjerne autostartnøgler i registreringsdatabasen, stoppe tjenester og slette filer, der hænger sammen med en detektion. Det er effektivt for driften, men det fjerner præcis de persistensspor, en analyse af indgangsvej og forløb har brug for.
Hvis automatisk oprydning er slået til, skal det fremgå af dokumentationen, og EDR-platformens log over, hvad der blev fjernet, skal eksporteres. Den liste er ofte den eneste kilde til, hvordan persistensen så ud. Gem den sammen med telemetrien, før opbevaringen udløber. Se EDR-telemetri som bevis.
Genstart
En genstart tømmer hukommelsen og nulstiller flygtig tilstand: kørende processer, netværksforbindelser, indlæste drivere, åbne filer og eventuelle krypteringsnøgler i hukommelsen. Er disken krypteret med BitLocker, kan en genstart også betyde, at den kun kan læses med gendannelsesnøglen. Valget mellem at slukke og lade maskinen køre er gennemgået i Sluk eller lad køre.
Genstart sker ofte utilsigtet: en automatisk opdatering, en bruger, der prøver at “få det til at virke”, eller en politik, der genstarter efter afhjælpning. Hold øje med det, mens maskinen er isoleret.
Reimage og nyinstallation
Genopsætning fra et standardimage overskriver den lokale disk. Fil- og registreringsartefakter, hændelseslogs, browserdata og ikke-allokeret plads (unallocated) forsvinder. Det eneste, der overlever, er det, der allerede er sendt væk: EDR-telemetri, centrale logs og cloudlogs.
Før reimage bør der som minimum være taget en forensisk kopi af disken eller, for virtuelle maskiner, et snapshot, der er eksporteret og hashet. Se Snapshots af cloud-diske for cloudvarianten. Er det ikke muligt for alle maskiner, så prioritér: den første kompromitterede maskine, servere med centrale roller og maskiner, hvor der er set dataudtræk. En kort huskeliste findes i Tjekliste før reinstallation.
Virtuelle og cloudmaskiner
I cloud svarer isolering ofte til at ændre sikkerhedsgruppen eller flytte maskinen til et karantænenet. Det bevarer maskinen kørende. At stoppe maskinen kan derimod betyde, at en midlertidig disk tømmes, og at en offentlig IP-adresse frigives. At slette og genskabe maskinen fra en skabelon fjerner alt lokalt. Tag snapshot, før der ændres på andet end netværket.
Hvad der skal dokumenteres
For hver maskine bør dokumentationen vise:
- hvornår den blev isoleret, og af hvem,
- hvilke processer der blev stoppet, og om hukommelsen blev sikret først,
- hvilke filer der blev sat i karantæne, med hashværdi,
- hvilke automatiske afhjælpninger der blev udført, med EDR-platformens egen liste,
- om og hvornår maskinen blev genstartet,
- hvilken kopi der blev taget før genopsætning, med hashværdi.
Hvad det betyder for konklusionerne
Når artefakter er fjernet af forsvarernes indgreb, kan analysen stadig nå langt med telemetri og centrale logs. Men konklusionerne bliver mere sårbare: Uden diskens egne spor kan det fx være svært at vise, at en bestemt fil ikke også fandtes på maskinen tidligere, eller at persistensen ikke havde flere former end dem, EDR fandt. Rapporten skal sige det tydeligt. Et sikkert svar på et smallere spørgsmål er bedre end et usikkert svar på et bredt.
Kilder og versioner
- Microsoft Learn: Take response actions on a device in Defender for Endpoint
- NIST SP 800-86: Guide to Integrating Forensic Techniques into Incident Response
- NIST SP 800-61 Rev. 3: Incident Response Recommendations
Senest gennemgået: oktober 2026.
Næste skridt
- Ransomware: bevissikring parallelt med genopretning
- Indgangsvejen: sådan underbygges konklusionen
- Dataudtræk før kryptering: spor efter eksfiltration
Del af: Undersøgelse efter et hackerangreb
Læs også: Log over indgreb under incident response · Ransomware: bevissikring parallelt med genopretning
→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
