En fjernsikring står og falder med forberedelsen hos jer. Den sagkyndige skal have netop de rettigheder, der skal til for at eksportere og indsamle, i netop det tidsrum, sikringen varer, og hver handling skal kunne spores bagefter. Når opsætningen er på plads, kan cloudkilder og målrettede indsamlinger ofte gå i gang, før nogen er kørt hjemmefra. Hvad der kan ske på afstand, og hvad der kræver fremmøde, står på Digital forensics i hele landet.

Fire principper

• Mindst mulige rettigheder. Læse- og eksportrettigheder til de kilder, der er aftalt, og intet andet. Ingen global administrator, ingen domæneadministrator, medmindre en konkret indsamling ikke kan gøres på anden måde, og så kun midlertidigt og noteret.
• Tidsbegrænsning. Konti og roller får en udløbsdato eller aktiveres kun i et aftalt vindue. Hvor jeres platform understøtter tidsbegrænset rolleaktivering, bruges den. I Microsoft Entra ID hedder funktionen Privileged Identity Management (PIM), og den kræver på tidspunktet for gennemgangen (oktober 2026) licenser til Microsoft Entra ID P2 eller Microsoft Entra ID Governance. Uden dem kan en almindelig rolletildeling fjernes manuelt, når vinduet lukker.
• Egne konti. Den sagkyndige bruger personlige, navngivne konti, aldrig en delt servicekonto eller IR-teamets konti. Ellers kan handlinger ikke tilskrives.
• Logning og oprydning. Alt, kontiene gør, logges hos jer, og det hele fjernes, når sikringen er afsluttet.

Konti og roller pr. platform

Rollenavne og rettigheder ændrer sig over tid, så de konkrete roller aftales ud fra jeres opsætning. Typisk er behovet:

• Microsoft 365 og Entra ID: adgang til at søge i og eksportere auditlog, læse loginlogs og oprette eDiscovery-sager og eksporter i Purview. Adgang til postkasser sker gennem eDiscovery, ikke ved at give fuld adgang til selve postkassen. I Purview kræver auditsøgning på tidspunktet for gennemgangen (oktober 2026) rollen Audit Logs eller View-Only Audit Logs, mens sager og eksport ligger i rollegruppen eDiscovery Manager, der blandt andet rummer rollen Export. En tilpasset rollegruppe med netop de roller er ofte det smalleste valg. → Microsoft 365-forensik
• Google Workspace: en tilpasset administratorrolle med adgang til auditrapporter og Vault-sager og eksporter, men uden ret til at ændre brugere. På tidspunktet for gennemgangen (oktober 2026) hedder de relevante Vault-rettigheder blandt andet Manage Matters, Manage Searches og Manage Exports, og logs læses via rettigheden Audit and investigation (View) under Security Center. De præcise navne tjekkes i jeres egen Admin-konsol, da Google løbende justerer dem.
• Active Directory og klienter: en konto, der kun er lokal administrator på de maskiner, der skal indsamles fra, fx via en dedikeret gruppe, plus læseadgang til de relevante hændelseslogs på domænecontrollere.
• Virtualisering og cloud-IaaS: ret til at oprette og eksportere snapshots af de berørte maskiner, men ikke til at slette eller ændre dem.
• SaaS-systemer: en auditor- eller læserolle, hvor systemet har en, og ellers en kort beskrivelse af, hvem hos jer der laver eksporten, mens den sagkyndige ser med.

Den detaljerede gennemgang af roller og rettigheder står i Adgang for en ekstern sagkyndig.

Netværk og fjernforbindelse

Indsamling fra klienter og servere kræver en forbindelse, I selv kontrollerer: VPN med en navngiven konto, en jump-host eller en fjernsession, som en af jeres folk åbner og følger. Brug ikke en RMM-session, hvis MSP’ens egen adgang kan være en del af sagen. Aftal, hvem der sidder ved maskinen, hvis noget skal tilsluttes fysisk eller bekræftes på skærmen. → Fjernindsamling via agent eller netværk

Skal der køres en indsamlingsagent, aftales det på forhånd, hvilken agent, hvilken version, og om jeres EDR skal have en undtagelse. Undtagelsen dokumenteres og fjernes igen.

Uploadkanal til beviskopierne

Eksporter og indsamlede filer skal fra jeres miljø til den sagkyndiges opbevaring uden at passere almindelig mail eller delte links uden udløb. Aftal:

• Kanalen: krypteret overførsel til en modtager, I har verificeret, eller et krypteret medie, der hentes.
• Hash før og efter: hashværdien beregnes, før filen forlader jer, og kontrolleres ved modtagelsen.
• Kvittering: modtagelsen bekræftes skriftligt med filnavn, størrelse og hash.

Mere om overførslen: Overførsel af beviskopier

Logning af den sagkyndiges adgang

Den sagkyndiges handlinger skal kunne skilles fra alt andet i jeres logs. Sørg for, at:

• ☐ auditlogning er slået til for de platforme, der bruges, før kontiene tages i brug,
• ☐ login, rolleaktivering og eksporter fra de sagkyndiges konti fremgår af logs med tidsstempel,
• ☐ tidspunktet for oprettelse, aktivering og fjernelse af hver konto noteres i jeres handlingslog. → Skabelon: handlingslog

Det beskytter både jer og den sagkyndige: hvis modparten senere spørger, hvem der har haft adgang til hvad, er svaret i jeres egne logs.

Fjernelse bagefter

Når sikringen er afsluttet og hashværdierne er bekræftet:

1. Deaktivér og slet de midlertidige konti, eller fjern rolletildelingerne.
2. Fjern EDR-undtagelser, firewallregler og VPN-profiler, der blev oprettet til opgaven.
3. Afinstallér indsamlingsagenter, og notér det.
4. Afslut eDiscovery-sager eller Vault-sager, når eksporten er bekræftet, men lad eventuelle hold stå, til sagen tillader andet.
5. Eksportér auditlog for de sagkyndiges konti for hele perioden, og læg den ved jeres dokumentation.

Kilder og versioner

• Microsoft Learn: Microsoft Entra ID Governance licensing fundamentals (licenskrav til PIM)
• Microsoft Learn: Search the audit log (roller til auditsøgning)
• Microsoft Learn: Assign eDiscovery permissions in the Microsoft Purview portal (rollegrupper og roller)
• Google Workspace Admin Help: Set up Vault privileges
• Google Workspace Admin Help: Admin privileges for the audit and investigation tool

Senest gennemgået: oktober 2026.

Når fjernsikring ikke er nok

Fysiske diske, hukommelse på kørende maskiner og telefoner sikres som regel på stedet. Kan en kilde ikke nås forsvarligt over netværket, noteres det, og den sikres ved fremmøde. Er sagen akut, kan John Nielsen køre ud og være fremme på få timer; arbejdet kan starte samme dag, når det rent praktisk kan lade sig gøre. Hast koster ekstra, jf. pris og tilbud på nielcoit.dk.

Med en beredskabsaftale kan rollerne være forberedt og stå klar til aktivering, før der sker noget.

Er I klar til at stille adgangen op, så ring på 70 13 63 23, og få den konkrete rolleliste til jeres miljø.