En stor del af en forensisk opgave kan i dag løses uden at møde op: logs og postkasser i Microsoft 365, Google Workspace og øvrige cloudplatforme hentes via administrative eksporter, og analysen sker på beviskopier. Men nogle ting kræver fremmøde: et fuldt image af en fysisk disk, sikring af hukommelsen på en kørende maskine eller et udtræk fra en telefon. Hvilken del, der kræver hvad, afgør, hvor hurtigt sikringen kan komme i gang.

Uanset adressen er det samme uvildige setup: en IT-sagkyndig uden produkter eller leverandørbindinger, og tavshedspligt om alt, der sikres på stedet eller over nettet.

Situationen

Afstanden bliver et spørgsmål, når:

• en hændelse sker uden for kontortid, og maskinen skal sikres, før den bliver geninstalleret,
• virksomheden har flere afdelinger, og relevante enheder står forskellige steder,
• en server står i et datacenter eller hos en hostingleverandør,
• en telefon er afleveret på et kontor langt fra den sagkyndige,
• logs roterer om få dage, og eksporten skal i gang nu.

Hvad kræver fremmøde, og hvad kan ske på afstand?

Typisk på afstand:

• eksport af Unified Audit Log, Entra ID-loginlogs og postkasser i Microsoft 365, → Microsoft 365-forensik
• eksport fra Google Workspace og andre SaaS-systemer,
• sikring af cloud-logs og snapshots i AWS, Azure og Google Cloud, → Cloud-forensic via API og eksport
• målrettet indsamling via agent eller netværk, når virksomhedens IT hjælper med adgang, → Fjernindsamling
• analyse og rapport.

Typisk på stedet:

• fuldt image af fysiske diske med skrivebeskyttelse,
• sikring af hukommelsen på en kørende maskine, → Hukommelsessikring
• udtræk fra telefoner,
• mærkning, forsegling og fotodokumentation af medier. → Mærkning og forsegling

Servere hos en hostingleverandør eller i et datacenter er et mellemtilfælde. Her afhænger metoden af, hvad leverandøren kan og vil udlevere: snapshots af virtuelle diske, logs fra platformen eller fysisk adgang til udstyret. Det afklares tidligt, hvem hos leverandøren der kan hjælpe, og hvor længe leverandørens egne logs gemmes, fordi de ofte forsvinder hurtigere end virksomhedens. → Hostingleverandørens logs

Fjernindsamling er en god løsning i mange sager, men den har begrænsninger: den sikrer det, der kan nås over netværket, og den kræver, at nogen på stedet har adgang. Det dokumenteres, hvad der er sikret på afstand, og hvad der eventuelt mangler.

Mens der køres ud: det kan IT-afdelingen gøre

• ☐ Lad maskinen stå, som den står. Sluk ikke, og log ikke ind, før det er aftalt. → Sluk, isolér eller lad den køre?
• ☐ Isolér fra netværket, hvis der er aktiv skade, og notér klokkeslæt.
• ☐ Stop logrotation og automatisk oprydning, hvor det kan lade sig gøre.
• ☐ Find gendannelsesnøgler til krypterede diske.
• ☐ Notér, hvem der har rørt hvad, i en handlingslog. → Skabelon: handlingslog

Den samlede tjekliste står på Tjekliste: forensisk sikring af en computer.

Hvad I får

• en sikring, der dækker både de fysiske og de cloudbaserede kilder,
• dokumentation af, hvad der er sikret på stedet, og hvad på afstand,
• hash- og bevislog for alle kilder,
• samme rapport og samme metode, uanset hvor i landet opgaven er.

Når medier flyttes fra lokationen, følger en overdragelsesformular for beviser med, og sikringen samles i en sikringsrapport.

Samarbejde med jeres IT, MSP eller IR-leverandør

Ved fjernsikring er det jeres IT eller MSP, der er hænder og øjne på stedet: de giver adgang til agent eller VPN, finder nøgler og fotograferer opstillingen. Ved et angreb kan en IR-leverandør samtidig arbejde på de samme maskiner. Derfor aftales det på forhånd, hvem der rører hvad, og alle indgreb skrives i handlingsloggen. Med egen indsigt i incident response og hackerangreb kan Nielco IT sikre uvildigt, mens IR-arbejdet fortsætter. Se Samarbejde med IR-leverandøren, Når I ringer og forberedelse af fjernsikring. Kan spørgsmålet afklares uden udkørsel, er teknisk sparring et alternativ.

Tid og hastesager

Er sagen akut, kan John Nielsen nå ud til lokationen inden for få timer. Hvis det praktisk kan nås, går sikringen i gang samme dag, og cloud-eksporter startes ofte, før der køres fra Hinnerup tæt ved Aarhus. Skal flere adresser sikres på samme tid, tilknytter Nielco IT en ekstra konsulent, som arbejder som IT-sagkyndig i firmaets regi. Hastesager koster ekstra, se pris og tilbud.

Hvad afgør prisen?

Der nævnes ingen beløb her. Prisen formes af:

• fremmøde eller fjernsikring, og afstanden til lokationen,
• antal adresser, enheder og konti,
• datamængde og diskkryptering,
• hast, da hastesager koster ekstra,
• hvor længe beviskopierne skal opbevares,
• rapportens form.

Hvordan opgaverne prissættes, står på nielcoit.dk/priser.

Hvem kommer ud

John Nielsen udgør Nielco IT, startede som selvstændig i 2009 og har over 30 år i IT-sikkerhed bag sig. Fra egne opgaver som IT-sagkyndig kender John Nielsen danske retskredse og patentdomstolen UPC. Nielco IT er uvildig og arbejder fra Hinnerup for virksomheder, advokatkontorer og kuratorer over hele Danmark.

Fortrolighed

Tavshedspligten følger beviskopierne fra lokationen til opbevaringen og gælder alt IT-sagkyndigt arbejde; kun domstolene kan kræve oplysningerne frem. NDA underskrives, når det ønskes.

Afgrænsning

Uanset landsdel gælder samme ramme: civile tvister og virksomhedens egne interne sager. Politiets efterforskning hører ikke under ydelsen. Se afgrænsningen.

Skal der sikres på stedet? Ring 70 13 63 23, eller læs om ydelsen hos Nielco IT.