Forensisk sikring er den del af en sag, der ikke kan gøres om. En sikring fastfryser data, som de så ud på et bestemt tidspunkt, i en form, der kan verificeres med hash og dokumenteres i en bevislog. Er sikringen i orden, kan analysen vente, laves om eller efterprøves af modpartens sagkyndige. Er den ikke, hjælper selv den bedste analyse ikke meget.

Sikringen udføres af en uvildig IT-sagkyndig uden produkter, licenser eller leverandøraftaler at pleje, og beviskopierne er omfattet af tavshedspligt fra første hash.

Situationen

Sikringen bliver ofte aktuel, før nogen ved, om der bliver en sag:

• en medarbejder er fratrådt, og maskinen står klar til geninstallation,
• en server skal udskiftes eller migreres midt i en tvist med leverandøren,
• en brugers licens i Microsoft 365 eller Google Workspace skal frigives, og kontoen slettes,
• en hændelse er inddæmmet, og driften vil i gang igen,
• logs roterer, og den ældste dag forsvinder i morgen.

I alle tilfælde er det billigere at sikre nu end at forklare senere, hvorfor data ikke findes. Det klassiske tab sker ved reinstallation. → Tjekliste: før reinstallation eller udskiftning af en maskine

Hvad der sikres, og hvordan

Metoden vælges pr. kilde ud fra, hvilke spørgsmål data skal kunne besvare, og metodeoversigten sammenligner image, logisk og målrettet indsamling side om side. → Fysisk, logisk eller målrettet sikring

• Computere og bærbare: fuldt image af disken med skrivebeskyttelse, i et format som E01 eller raw. Er disken krypteret, sikres med nøgle eller gendannelsesnøgle, som virksomheden lovligt har. Kører maskinen, vurderes det, om hukommelsen skal sikres først. → Forensiske diskformater og Sluk, isolér eller lad den køre?
• Servere og virtuelle maskiner: image af virtuelle diske eller snapshots, plus de logs, der ikke ligger på selve disken. → Virtuelle maskiner og servere
• Filshares og netværksdrev: målrettet kopi, der bevarer tidsstempler og registrerer dem i en manifest.
• Cloud-konti: eksport af postkasser, OneDrive, SharePoint og auditlogs via administrative grænseflader, med dokumentation af søgekriterier og tidsvinduer.
• Logs: firewall, VPN, domænecontroller og applikationer, sikret før rotation.

Hver kilde hashes ved sikringen. Hashværdien kontrolleres igen ved modtagelse og før analyse. Alle overdragelser registreres med tid, person og formål. → Chain of custody-loggen

Sikring nu, undersøgelse senere

Mange sikringer bliver aldrig analyseret, og det er helt i orden. Sikringen køber tid: ledelsen kan tale med advokaten, forhandle med modparten eller vente på, at mistanken bliver konkret, uden at data går tabt imens. Beviskopierne opbevares krypteret og adgangsbegrænset, og kan analyseres, når der er et spørgsmål. → Opbevaring af beviskopier

Hvad sikringen kan og ikke kan

En sikring dokumenterer, hvordan data så ud på sikringstidspunktet. Den kan ikke genskabe det, der allerede er overskrevet, og den kan ikke rette op på ændringer, som er sket før sikringen. Har IT-afdelingen allerede logget ind på maskinen, kørt oprydning eller nulstillet en konto, noteres det i sikringsrapporten, så den senere analyse kan skelne egne spor fra det, sagen handler om. → Kontaminering: når undersøgelsen selv efterlader spor

Hvad I får

• Beviskopier af de valgte kilder i dokumenterede formater.
• En hash-log med algoritme, værdi ved sikring og ved kontrol.
• En bevislog med alle overdragelser og opbevaringssted.
• En sikringsrapport, der beskriver kilder, metode, værktøjer og versioner, afvigelser og hvad der ikke kunne sikres.
• En anbefaling om, hvad der bør undersøges, hvis sagen går videre.

Sådan ser dokumenterne typisk ud: sikringsrapport, hash-log og bevislog (chain of custody).

Den grundlæggende forklaring på, hvad en forensisk kopi er, findes på Hvad er en forensisk kopi?.

Samarbejde med jeres IT, MSP eller IR-leverandør

Det er sjældent Nielco IT, der har nøglerne. Jeres IT eller MSP kender gendannelsesnøgler, administratorkonti og logopsætning; en IR-leverandør kan være i gang med at inddæmme. Sikringen planlægges derfor sammen med dem: hvem stopper rotationen, hvem giver adgang, og hvilke af IR-leverandørens indgreb skal noteres som egne spor. Nielco IT har erfaring med incident response og hackerangreb og sikrer uvildigt ved siden af, ikke i stedet for. Rollerne står på Samarbejde med IR-leverandøren, og forløbet ved første kontakt på Når I ringer. Vil IT-afdelingen først have en vurdering af, om og hvad der bør sikres, kan det tages som teknisk sparring.

Hvad bestemmer prisen?

Beløb står på nielcoit.dk, ikke her. De største faktorer er:

• antal maskiner, servere og konti,
• terabyte, især på filservere og NAS,
• kryptering, og om nøglerne kan fremskaffes,
• fjernadgang eller kørsel til lokationen,
• hastegrad, fordi hastesager koster ekstra,
• opbevaringsperioden for beviskopierne.

Pris og tilbud: nielcoit.dk/priser.

Hvem sikrer

Sikringen laves af John Nielsen, ejer af Nielco IT siden 2009 og med tre årtiers baggrund i IT-sikkerhed. Opgaver som IT-sagkyndig har John Nielsen løst både i danske retskredse og ved UPC, Den Fælles Europæiske Patentdomstol. Haster det, kan arbejdet gå i gang samme dag, hvis det praktisk lader sig gøre, og som nævnt ovenfor koster hastesager ekstra. Skal flere adresser sikres parallelt, tilknytter Nielco IT en konsulent, der arbejder som IT-sagkyndig under Nielco IT. Opgaver løses landsdækkende.

Fortrolighed

Et fuldt image rummer hele disken, også filer uden betydning for sagen. Tavshedspligten gælder hver eneste beviskopi og hash-log, så længe de opbevares, og brydes kun, hvis domstolene kræver oplysningerne. På jeres anmodning underskrives en NDA.

Afgrænsning

Beviskopierne laves til brug i tvister, interne sager og forlig. Opgaver for politiets efterforskning tages ikke. Mere på afgrænsningen.

Akut sikring: telefon 70 13 63 23. Nielco IT’s egen side om ydelsen: digital bevissikring.