IT-afdelingen

Hvad er forskellen på en backup og et forensisk image?

En backup gemmer de filer og den tilstand, backupsoftwaren er sat til at gemme, typisk uden ikke-allokeret plads, slack og en del metadata. Et forensisk image er en bit-for-bit-kopi af hele mediet, hashet og verificeret, så slettede data, filsystemjournaler og tidsstempler bevares. En backup kan være en værdifuld kilde, men den erstatter ikke et image. → Forensisk image trin for trin

Må vi logge på brugerens computer for at se, hvad der er sket?

Helst ikke. Et login opdaterer registreringsdatabasen, profilfiler, Prefetch, hændelseslogs og tidsstempler, og antivirus eller indeksering kan gå i gang. Det blander jeres spor med brugerens. Skal noget ses med det samme, så skriv ned, hvad der gøres, hvornår og med hvilken konto, og overvej at lade en anden sikre maskinen først. → Kontaminering: når undersøgelsen selv efterlader spor

Skal en tændt maskine slukkes?

Det afhænger af, hvad der kan gå tabt. Er disken krypteret, og nøglen ikke kendt, kan nedlukning gøre data utilgængelige. RAM rummer processer, netværksforbindelser og nøgler, der forsvinder ved slukning. Er der derimod en aktiv sletning eller kryptering i gang, kan isolation eller slukning være rigtigst. Beslutningen og begrundelsen skal dokumenteres. → Sluk, isolér eller lad den køre?

Kan vi selv tage et image af en disk?

Teknisk ja, med en hardware- eller software-skrivebeskytter, et dokumenteret værktøj og hash før og efter. Det svære er dokumentationen: serienumre, værktøjsversion, hashværdier, fejllog fra erhvervelsen og en bevislog fra første øjeblik. Mangler den, kan en modpart så tvivl om kopien, selv om den er teknisk korrekt. → Skrivebeskyttere · Tjekliste: forensisk sikring af en computer

Hvorfor er SSD’er sværere end gamle harddiske?

TRIM og garbage collection i SSD’ens controller rydder blokke, som filsystemet har markeret som slettede, ofte kort tid efter sletningen og uden for styresystemets kontrol. Derfor er gendannelse af slettede filer fra ikke-allokeret plads på en SSD langt mindre sandsynlig. Filsystemets journaler og metadata kan stadig vise, at en fil har eksisteret. → SSD og TRIM

Hvad skal vi gøre ved en maskine, der skal geninstalleres?

Vent, hvis der er den mindste mistanke. Tag et image eller i det mindste en målrettet sikring af hændelseslogs, registreringsdatabase, brugerprofiler og NTFS-metadata, før maskinen nulstilles. Notér serienummer og tilstand. En geninstallation sletter netop de artefakter, der viser programkørsel, USB-brug og filaktivitet. → Tjekliste før reinstallation

Hvor længe gemmes Windows-hændelseslogs?

Der er ingen fast periode. Hver kanal har en maksimal størrelse, og når den er nået, overskrives de ældste hændelser, medmindre andet er konfigureret. På en travl server kan Security-loggen derfor dække få dage, på en klient længere. Tjek de faktiske størrelser og ældste hændelse, og eksportér tidligt, eller sikr EVTX-filerne direkte. → Eksport af Windows-hændelseslogs

Kan man se, om en fil er kopieret til en USB-nøgle?

Ikke direkte. Windows logger ikke filkopiering som sådan. Men USB-tilslutninger med serienummer og tider, LNK-filer, jump lists og shellbags, der peger på et flytbart drev, og filsystemets tidsstempler kan tilsammen vise, at et bestemt drev var tilsluttet, og at bestemte filer blev åbnet derfra. Konklusionen bygger på korrelation, ikke på én artefakt. → USB-tidslinjen i Windows

Vi har allerede rørt maskinen. Er det for sent?

Sjældent. Et login, en scanning eller en genstart ændrer nogle artefakter, men langt fra alle, og meget kan stadig sikres. Det vigtigste er at stoppe yderligere indgreb og skrive ned, hvad der er gjort, hvornår og med hvilken konto. Så kan analysen senere skelne jeres handlinger fra det, sagen handler om. Geninstallér ikke for at rydde op. → Vi har allerede rørt maskinen

Kan I sikre på afstand, og hvilken adgang skal vi give?

Cloudkilder og målrettede indsamlinger kan ofte sikres på afstand. I opretter navngivne konti med de mindst mulige rettigheder til eksport og læsning, med udløbsdato, og sørger for, at deres handlinger logges. Overførslen sker via en aftalt krypteret kanal med hash. Når sikringen er bekræftet, fjerner I konti, roller og eventuelle agenter igen. → Fjernsikring: det IT stiller op

MSP og IT-leverandører

Kunden ringer med en hændelse. Hvad gør vi først?

Stop automatisk sletning og rotation, hvor det kan ske centralt, sikr cloud-logs med kort opbevaring, og lad berørte maskiner være, som de er, til der er taget stilling til sikring. Før en handlingslog fra første minut med tid, system, konto og handling. Afklar, om jeres egne konti eller værktøjer kan være en del af sagen. → Tjekliste til MSP’er

Kan vi sikre beviserne, når vores egen drift kan blive kritiseret?

I kan bevare data og sikre logs, men en sikring, som kun I har foretaget, er let at angribe, hvis jeres drift, jeres RMM-adgange eller jeres konti er en del af spørgsmålet. Lad en uafhængig sikre de kilder, der berører jeres egen rolle, og dokumentér jeres adgang til systemerne. → IT-leverandørens adgang: RMM-logs

Skal vi bevare RMM- og PSA-logs?

Ja, hvis sagen kan handle om, hvem der gjorde hvad på kundens systemer. RMM-værktøjets sessionslog, scripthistorik og ticketsystemets ændringshistorik viser leverandørens egne handlinger og kan både frikende og belaste. Eksportér dem med tidszone og hash, og notér opbevaringstiden i jeres platform. → Ticket-systemer: ændringshistorik

Kunden vil have os til at genopbygge med det samme. Hvad med beviserne?

Genopretning og bevissikring kan køre parallelt. Tag snapshots af virtuelle maskiner, sikr hypervisor- og backup-logs og eksportér EDR-telemetri, før systemer nulstilles. Det tager tid, men det er ofte den eneste mulighed for senere at fastlægge indgangsvej og omfang over for forsikring eller modpart. → Ransomware: bevissikring parallelt med genopretning

Er en EDR-eksport et bevis?

Den kan være en vigtig kilde, men telemetrien er filtreret efter leverandørens logik, opbevares i begrænset tid og hentes fra en cloudkonsol. Dokumentér eksportvej, filtre, konto, tidszone og tidspunkt, og hash den eksporterede fil. Husk, at fravær af en hændelse i EDR ikke beviser, at hændelsen ikke skete. → EDR-telemetri som bevis

Kan I arbejde ved siden af vores IR-leverandør?

Ja. IR-leverandøren stopper angrebet og får driften tilbage; den uvildige sikrer de spor, der senere skal kunne bære en tvist. Nielco IT har indsigt i og erfaring med incident response og hackerangreb, forstår derfor, hvad IR-teamet gør, og planlægger sikringen, så den ikke forstyrrer inddæmningen. Nielco IT sælger ikke IR eller genopretning og overtager ikke driften. → Samarbejde med jeres IR-leverandør

Hvem er opdragsgiver, når vi som MSP ringer for en kunde?

Som udgangspunkt kunden, fordi det er kundens data og kundens sag. I kan tage kontakten, levere adgang og hjælpe med eksporter, men kunden bekræfter opgaven og bestemmer, hvem der får rapport og beviskopier. Kan jeres egen drift blive en del af spørgsmålet, er det endnu vigtigere, at opdragsgiveren er kunden. → Når MSP’en henvender sig på kundens vegne

Microsoft 365 og Entra ID

Hvilke logs skal sikres først ved en kompromitteret konto?

Typisk Entra ID-loginlogs, Unified Audit Log for den berørte bruger, indbakkeregler og videresendelse, mailbox-auditlog og registrerede MFA-metoder og enheder. Loginlogs har ofte kortere opbevaring end auditloggen. Eksportér før nulstilling af adgangskode og tilbagekaldelse af sessioner, hvis det kan ske uden at forsinke inddæmningen. → Tjekliste: logs i Microsoft 365

Hvor længe gemmes Unified Audit Log?

Det afhænger af licens og opsætning af opbevaringspolitikker for auditdata, og Microsoft har ændret standarderne over tid. Antag ikke, at I har mere end standardperioden for jeres licens, og tjek det i Purview, før I regner med ældre data. Eksportér det relevante tidsrum så tidligt som muligt. → Unified Audit Log

Kan vi se, hvilke mails en angriber har læst?

Måske. MailItemsAccessed-hændelsen i mailbox-auditloggen kan vise adgang til enkelte mails eller mapper, men den kræver, at hændelsen er aktiveret og omfattet af licensen, og den samler adgange ved høj aktivitet. Synkronisering via en klient kan registreres på mappeniveau. Konklusionen skal derfor formuleres forsigtigt. → MailItemsAccessed og mailbox-auditlog

Er en indholdssøgning i Purview det samme som en forensisk sikring?

Det er en målrettet logisk indsamling. Den kan være korrekt og tilstrækkelig, hvis søgekriterier, omfang, konto, tidspunkt og eksportformat dokumenteres, og den eksporterede fil hashes. Den indeholder ikke alt: auditdata, visse metadata og elementer uden for søgeomfanget kommer ikke med. → Microsoft Purview eDiscovery

Hvad betyder det, at en konto slettes i Entra ID?

Kontoen kan gendannes i en begrænset periode, men postkasse, OneDrive og licensafhængige data følger hver deres opbevaringsregler. Slettes kontoen, før der er lagt hold eller eksporteret, kan data gå tabt, og loginhistorikken bliver sværere at koble. Spær hellere login og bevar kontoen, til sikringen er dokumenteret. → Exchange Online: Recoverable Items og hold

Kan vi stole på IP-adresser og lande i loginloggen?

Kun med forbehold. Geolokation af IP-adresser er en database-vurdering, ikke en måling, og VPN, mobilnet, CGNAT og cloud-proxyer flytter den tilsyneladende placering. Kombinér IP med enheds-id, user agent, sessions-id og MFA-detaljer, før der konkluderes noget om, hvor eller hvem. → IP-adresser som bevis

Mobil

Hvad er forskellen på logisk, fuld filsystem og fysisk udtræk?

Et logisk udtræk henter det, styresystemet og backupmekanismen udleverer. Et fuldt filsystemudtræk henter filsystemet med app-databaser, logs og flere systemfiler. Et fysisk udtræk kopierer lageret på blokniveau, men er sjældent muligt på moderne krypterede telefoner. Hvilken type der kan opnås, afhænger af model, styresystem, adgang og værktøj. → Udtræk fra mobiltelefoner

Kan slettede beskeder gendannes fra en telefon?

Nogle gange. SQLite-databaser kan rumme slettede rækker i frie sider og WAL-filer, indtil de overskrives, og backup eller cloud kan have ældre kopier. På moderne telefoner med filbaseret kryptering er chancen for gendannelse af fysisk slettede data lav. Forventningen bør afstemmes, før udtrækket bestilles. → Slettede beskeder på telefonen

Er en WhatsApp-eksport nok som bevis?

Sjældent alene. Chat-eksporten er en tekstfil med begrænsede metadata og uden beviser for, at den ikke er redigeret. Et udtræk af telefonens database eller en krypteret backup bevarer beskeder med interne id’er, tidsstempler og status, så ægtheden kan efterprøves. Eksporten kan supplere, men bør ikke stå alene. → WhatsApp teknisk

Hvorfor kan hashværdien af et mobiludtræk ikke gentages?

Telefonen er tændt og ændrer sig hele tiden, og to udtræk vil derfor aldrig være identiske. Hash beregnes i stedet på selve udtræksfilen ved erhvervelsen, så det kan vises, at den ikke er ændret siden. Det skal stå i dokumentationen, så en modpart ikke tror, at verifikationen mangler. → Hash ved mobil og cloud

Kan vi udtrække en firmatelefon uden brugerens kode?

Kun ad lovlige veje: koden udleveret af brugeren, samtykke, MDM-funktioner på en administreret enhed eller en afgørelse. Sitet beskriver ikke metoder til at omgå låseskærmen. Mangler koden, kan MDM-data, cloudbackup og tjenester i virksomhedens tenant ofte dække en del af spørgsmålet. → Firmatelefonen i en ansættelsessag · MDM og Intune som datakilde

Metode og kvalitet

Hvilken hashalgoritme skal vi bruge?

SHA-256 er det almindelige valg i dag. MD5 og SHA-1 har kendte kollisionssvagheder, men bruges stadig som supplerende kontrol og i ældre værktøjer. Det vigtigste er, at algoritmen angives, at værdien beregnes ved erhvervelsen, og at den genberegnes ved hver overdragelse og før analysen. → Hashalgoritmer: MD5, SHA-1 og SHA-256

Hvad gør vi, når hashværdien ikke stemmer?

Stop og undersøg årsagen, før der arbejdes videre. Typiske årsager er læsefejl på et fejlende medie, at der er hashet en anden fil eller et andet segment, at kilden har ændret sig, eller en fejl i overførslen. Dokumentér afvigelsen og håndteringen, og erhverv igen, hvis det er muligt. → Når hashværdien ikke stemmer

Skal værktøjerne være certificerede?

Der er ingen generel certificeringsordning for forensic-værktøjer i civile sager. Kravet er, at værktøj og version dokumenteres, at metoden er egnet og verificeret, og at vigtige fund kontrolleres på anden vis. Kendte fejl og begrænsninger skal fremgå. → Verifikation af værktøjer

Er ISO/IEC 27037 et krav?

Ikke som sådan i en civil sag, men standarden er den mest udbredte reference for identifikation, indsamling, erhvervelse og bevarelse af digitale beviser. At kunne forklare, hvordan arbejdet lever op til dens principper, gør det lettere at stå fast, når metoden bliver angrebet. → ISO/IEC 27037 og NIST SP 800-86 · Er akkreditering et krav i civile sager?

Hvordan håndteres tidszoner i en rapport?

Normalisér alle tidspunkter til UTC i analysen, angiv kildens oprindelige tidszone og format, og vis lokal tid med sommertid tydeligt i rapporten, hvor det hjælper læseren. Registrér urafvigelser på enheder og servere. Mange fejlslutninger skyldes en blanding af lokal tid og UTC. → Sommertid og tidszoner i rapporten

Hvad kan en IR-rapport bruges til i en tvist?

Den kan dokumentere indgangsvej, tidslinje og omfang, men den er skrevet til at stoppe en hændelse, ikke til at holde for en modparts gennemgang. Ofte mangler hashværdier, værktøjsversioner, kilder til konklusionerne og en log over indgreb. Kan det suppleres, før data forsvinder, styrker det rapporten. → IR-rapporten som bevis

Samarbejde

Hvad koster en forensisk undersøgelse?

Det afhænger af antal kilder, datamængde, spørgsmålenes art og hastegrad. Et præcist teknisk kommissorium holder omfanget nede. Der står ingen beløb på dette site. Hastesager koster ekstra i forhold til planlagt arbejde. Se pris og tilbud hos Nielco IT, og læs, hvad en undersøgelse indeholder. → Digital forensics-undersøgelse

Hvor hurtigt kan I være på stedet?

I akutte sager kan John Nielsen være på stedet inden for få timer i hele landet, og sikringen kan begynde samme dag, hvis det praktisk kan nås. Skal flere lokationer sikres samtidig, kan Nielco IT tilknytte en konsulent, der arbejder i Nielco IT’s regi. Hastesager koster ekstra; se pris og tilbud hos Nielco IT. → Digital forensics i hele landet

Underskriver I en fortrolighedsaftale?

Ja, Nielco IT underskriver en fortrolighedsaftale (NDA) på forespørgsel. Alt IT-sagkyndigt arbejde er desuden omfattet af tavshedspligt, medmindre domstolene kræver oplysningerne. Materiale fra en opgave opbevares krypteret og adgangsbegrænset og bruges kun til opgaven. Sletning ved opgavens afslutning dokumenteres. → Opbevaring af beviskopier

Kan I gennemgå en anden sagkyndigs rapport?

Ja. En second opinion gennemgår metode, hashværdier, værktøjsversioner, tidszonehåndtering, rækkevidden af konklusionerne og de alternative forklaringer, der er eller ikke er overvejet. Det forudsætter, at der ikke er en interessekonflikt, og at Nielco IT ikke har en anden rolle i samme sag. → Second opinion på en teknisk rapport

Hvem ejer beviskopierne?

Som udgangspunkt opdragsgiveren, typisk den organisation, hvis data er sikret. Under opgaven opbevares kopierne krypteret og adgangsbegrænset, og hvem der må få udleveret en kopi, aftales med opdragsgiveren ved opgavens start. Ved opgavens afslutning aftales det, om kopierne skal udleveres, opbevares videre eller slettes, og sletningen dokumenteres. Har en MSP formidlet opgaven, ændrer det ikke ejerskabet. → Opbevaring af beviskopier

Kan vi få teknisk sparring uden at bestille en hel undersøgelse?

Ja. I beskriver hændelsen og jeres plan, og en uvildig sagkyndig gennemgår kilder, rækkefølge, metode og dokumentation, før I selv går i gang. I får en kort skriftlig anbefaling og en vurdering af, om en uvildig bør sikre noget af materialet. Erfaring med incident response gør, at planen også kan vurderes, mens en inddæmning er i gang. → Teknisk sparring

Kan vi lave en fast beredskabsaftale?

Ja. Aftalen sørger for, at konflikttjek, kontaktpunkt, beskrivelse af systemer og logkilder og forberedt fjernadgang er på plads, før der sker noget. Efter aftale kan der også indgå en årlig gennemgang af logning og opbevaring. Aftalen fjerner forsinkelser, men lover ikke en bestemt reaktionstid. Hast koster ekstra, jf. pris og tilbud på nielcoit.dk. → Beredskabsaftale

Afgrænsning

Arbejder I i sager, som politiet efterforsker?

Nej. Nielco IT tager opgaver i civile sager, interne undersøgelser og udenretlige tvister, og sitet beskriver ikke politiets metoder. Er politiet involveret, kan den civile del ofte stadig løses, for eksempel den tekniske dokumentation til en forsikring. Oplys det ved første henvendelse, så rammen kan afklares med det samme. → Afgrænsning

Tager I opgaver for personer, der er politianmeldt eller sigtet?

Ikke for personer, der er politianmeldt eller sigtet i sager om økonomiske forhold, heller ikke hvis opgaven beskrives som en civil sag eller en teknisk second opinion. En virksomhed, der undersøger forhold i egen virksomhed, er ikke omfattet, også når mistanken retter sig mod en ansat eller en administrator. → Afgrænsning

Kan I hjælpe med at komme ind på en låst telefon eller en krypteret disk?

Kun ad lovlige veje: kendt kode eller nøgle, gendannelsesnøgle fra jeres egen administration, samtykke eller en afgørelse. Der gives ingen vejledning i at omgå låseskærme, knække adgangskoder eller bryde kryptering. Mangler nøglen, dokumenteres det, hvad der er utilgængeligt. → Krypterede data: de lovlige adgangsveje

Hvad med digital stalking?

Det er undtagelsen. Bliver en person overvåget eller chikaneret gennem stalkerware, en delt konto eller tilsluttet udstyr, hjælper Nielco IT med at dokumentere sporene og derefter lukke adgangene, også selvom forholdet senere meldes til politiet. Hvad materialet derefter bruges til, bestemmer den ramte. → Sporsikring ved digital stalking · Stalking-hjælp hos Nielco IT