Forside › Google Workspace-forensik · Gennemgået oktober 2026 · Af John Nielsen
I Google Workspace er der to forskellige kilder, når en sag opstår. Google Vault fastholder og eksporterer indhold: mails, filer og chatbeskeder. Chat og Meet har egne logs og opbevaringsregler; se Google Chat og Google Meet. Auditlogs i administrationskonsollen viser handlinger: hvem der loggede ind, delte, downloadede eller slettede. Begge dele bør sikres, begge har tidsgrænser, og ingen af dem kan erstatte den anden.
Har organisationen Vault?
Vault er ikke med i alle Workspace-udgaver. Det følger typisk med de større Business-, Enterprise- og Education-udgaver, men ikke med de mindste. Hvilke tjenester Vault dækker, og hvilke funktioner der er tilgængelige, afhænger af udgave og ændres løbende af Google. Kontrollér det i den konkrete organisation, før en strategi lægges, og notér udgaven i dokumentationen.
Adgang til Vault styres af administratorroller med særskilte Vault-rettigheder. En almindelig superadministrator har adgang, men i større organisationer kan det være en fordel at oprette en afgrænset rolle til undersøgelsen, så det senere kan vises præcis, hvem der kunne se materialet.
Har organisationen ikke Vault, må data sikres på anden måde, fx via administratoreksport eller API. → Cloud-forensic: API og administratoreksport
Vaults byggesten
- Sager (matters) · Samler fastholdelser, søgninger og eksporter for én undersøgelse
- Fastholdelse (hold) · Bevarer data for bestemte brugere eller organisationsenheder, også hvis brugeren sletter dem
- Opbevaringsregler (retention) · Organisationens generelle regler for, hvor længe data gemmes
- Søgning · Finder indhold efter bruger, periode, søgeord og tjeneste
- Eksport · Udtrækker resultatet til filer, der kan analyseres
En fastholdelse for Gmail kan begrænses med søgekriterier, mens en fastholdelse for Drive typisk omfatter brugerens filer. Fastholdelser har forrang for opbevaringsregler, så data under fastholdelse slettes ikke, selvom en regel ellers ville slette dem.
Teknisk set betyder en fastholdelse ikke, at brugeren mister adgang. Brugeren kan stadig slette en mail eller en fil i sin egen visning, men indholdet bevares bag kulissen og kan findes med Vault. Det er derfor ikke nok at kigge i brugerens postkasse for at vurdere, hvad der findes. Søgningen skal laves i Vault.
Den vigtigste faldgrube: sletning af brugerkontoen
Slettes en brugers konto, slettes brugerens data, og Vault kan ikke længere fastholde dem. Det gælder også data, der var omfattet af en fastholdelse. Konti for medarbejdere, der er stoppet, bør derfor suspenderes eller flyttes til en arkivlicens, ikke slettes, før sagen er afklaret. Den organisatoriske side af det er beskrevet her: → Offboarding uden at miste beviser
Drive-filer ejet af andre eller placeret i delte drev følger andre regler end brugerens egne filer. En fil, som medarbejderen har redigeret, men som ejes af en kollega, er ikke nødvendigvis omfattet af en fastholdelse på medarbejderens konto. Vurdér, hvor de relevante filer faktisk ligger, og læg om nødvendigt fastholdelse på delte drev eller flere brugere.
Overførsel af ejerskab, som ofte sker automatisk ved offboarding, ændrer også filernes metadata. Notér, hvornår en sådan overførsel er sket, så den ikke senere forveksles med brugerens egne handlinger.
Søgning
- Søg bredt først og indsnævr derefter. En for snæver søgning kan udelukke relevant materiale.
- Brug Vaults optællingsfunktion til at se omfanget, før der eksporteres.
- Gem søgekriterier i sagen, så søgningen kan gentages og dokumenteres.
- Vær opmærksom på tidszonen i søgninger og resultater. Vault, logs og eksporterede metadata bruger ikke nødvendigvis samme tidszone som den lokale klient.
- Husk, at søgeord matcher indekseret tekst. Billeder, scannede dokumenter og visse vedhæftninger findes ikke nødvendigvis med en tekstsøgning.
Eksport
- Gmail · MBOX eller PST, med metadatafil
- Drive · Filerne i oprindeligt eller konverteret format, med metadatafil
- Chat · Afhænger af tjeneste og udgave
Eksporten leveres som komprimerede filer, delt op ved store mængder. Google oplyser, at eksporten indeholder en fil med MD5-hashværdier for de eksporterede filer. Den bør gemmes sammen med eksporten og kontrolleres efter download. Beregn desuden egne SHA-256-værdier af de downloadede arkiver straks, så integriteten kan vises fra det øjeblik, materialet forlod Google. → Hashalgoritmer i forensic
Eksporter er kun tilgængelige for download i en begrænset periode, på tidspunktet for gennemgangen (oktober 2026) 15 dage fra eksportens start. Derefter slettes filerne, og eksporten skal laves igen. Download dem straks, og gem et skærmbillede eller en udskrift af eksportens oplysninger i Vault.
Google-dokumenter, regneark og præsentationer findes ikke som almindelige filer i Drive. Ved eksport konverteres de til et Office-format eller PDF. Den konverterede fil har derfor ikke de samme interne metadata som en originalt uploadet fil, og versionshistorikken følger normalt ikke med. Skal revisionshistorikken bruges, skal den sikres særskilt, og det skal fremgå af rapporten, at analysen bygger på en konvertering.
Auditlogs i administrationskonsollen
Under Rapportering og Revision og undersøgelse findes logs for blandt andet:
- Login: logins, mislykkede forsøg, IP-adresser.
- Drive: visning, download, deling, ændring af rettigheder, sletning.
- Gmail: hændelser for mails, afhængigt af udgave.
- Administrator: ændringer foretaget af administratorer, fx nulstilling af adgangskode eller videresendelse.
- OAuth: tredjepartsapps, der har fået adgang til kontoen.
- Vault: handlinger i Vault selv.
Google oplyser på tidspunktet for gennemgangen (oktober 2026), at hændelser i blandt andet administrator-, bruger-, Drive- og OAuth-loggen er tilgængelige i seks måneder, mens Vault-loggens hændelser gemmes uden tidsgrænse. Administratorer kan hverken slette loghændelser eller ændre perioden. Nogle udgaver kan eksportere logs til BigQuery eller et SIEM-system og dermed opbevare dem længere. Mere om sikring af logs generelt: → Logfiler og logrotation
Data i logs kan komme med forsinkelse. En søgning lige efter en hændelse viser ikke nødvendigvis det hele, så gentag udtrækket senere og sammenlign.
Fortolkning af auditlogs
Logs viser, at en konto har udført en handling, ikke hvilken person der sad ved tastaturet. Kombinér derfor loghændelser med andre spor: IP-adresser, enhedsoplysninger, loginhændelser og tidspunkter for arbejdstid eller fravær.
Vær også opmærksom på, at en Drive-hændelse som “visning” kan udløses af forhåndsvisning eller synkronisering, ikke kun af en bevidst åbning. En “download” kan være foretaget af en synkroniseringsklient. Hændelsestyperne skal fortolkes ud fra Googles egen beskrivelse og helst afprøves i en testkonto, før der drages konklusioner om hensigt.
Endelig siger fraværet af en hændelse kun noget, hvis det er sikkert, at loggen dækkede perioden og den pågældende handling.
Vault-loggen som dokumentation
Vault registrerer, hvem der har oprettet sager, fastholdelser, søgninger og eksporter. Den kan bruges til at dokumentere, hvem der har haft adgang til materialet, og hvornår. Det understøtter kæden af ansvar (chain of custody). → Kæde af ansvar
Tjekliste
- Kontrollér udgave, og om Vault er tilgængeligt.
- Opret en sag og fastholdelse for de relevante brugere og delte drev.
- Stop eventuel sletning af brugerkonti og ejerskabsoverførsler.
- Eksportér auditlogs for den relevante periode.
- Søg og eksportér indhold, og download straks.
- Kontrollér MD5-filen og beregn egne SHA-256-værdier.
- Dokumentér søgekriterier, tidspunkter, tidszone og udførende bruger.
Den grundlæggende gennemgang for ikke-teknikere findes her: → Bevissikring af Gmail og Google Workspace
Kilder og versioner
- Google Workspace: eksport af data fra Vault
- Google Workspace: download af en eksport fra Vault
- Google Workspace: opbevaringstider og forsinkelser for logdata
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Google Workspace-forensik
Læs også: Google Chat og Google Meet: revisionslogs, opbevaring og eksport · Google Takeout eller Vault-eksport: forskelle i indhold og metadata
→ Google Workspace-forensik · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
