Google Workspace-forensik

Google Workspace er bygget til samarbejde i browseren. Dokumenter findes ikke som filer på en disk, men som en række revisioner i Googles database, og deling sker med links og rettigheder frem for vedhæftninger. For en undersøgelse betyder det, at spørgsmålet sjældent er “hvor ligger filen?”, men “hvem havde adgang, hvem gjorde hvad, og hvilken version gjaldt på et givent tidspunkt?”. Svarene ligger i administratorkonsollens revisionslogs, i Vault og i Drive-revisionerne, og de tre kilder har hver sine huller.

Samme mønster gælder for de samarbejdsværktøjer, der ofte bruges ved siden af: Slack, Teams og Zoom. Hvad der kan eksporteres, afhænger af abonnement, administratorrettigheder og opbevaringsregler, og en eksport fra en almindelig bruger giver noget andet end en eksport fra en administrator.

Det særlige ved Google Workspace

Vault og Takeout er to forskellige ting. Vault er organisationens værktøj til opbevaring, søgning og eksport. Takeout er brugerens egen eksport. De giver forskelligt indhold, forskellige metadata og forskellige filformater.
Revisionsloggen er bred, men ikke uendelig. Administratorkonsollen har logs for login, Drive, Gmail, administratorhandlinger og tokens. Opbevaringen er begrænset og afhænger af udgaven.
Dokumenter har revisioner, ikke versioner. Google-dokumenter gemmes løbende, og revisioner kan slås sammen. Det giver et andet billede af ændringer end en Word-fil med versionshistorik.
Private konti er et andet spor. Aktivitetsdata og placeringshistorik i en privat Google-konto kræver ejerens medvirken og ligger uden for organisationens kontrol.

Kilder og hvad de viser

Google Vault · Hvad den viser: Opbevaring, søgning og eksport af mail, Drive og chat · Begrænsning: Viser kun det, der er omfattet af opbevaring · Læs mere: Google Vault og revisionslogs
Takeout og Vault-eksport · Hvad den viser: Forskellen på brugerens og organisationens eksport · Begrænsning: Metadata går tabt ved den forkerte vej · Læs mere: Google Takeout eller Vault-eksport
Gmail-logsøgning · Hvad den viser: Levering af mails til og fra domænet · Begrænsning: Kort historik; intet indhold · Læs mere: Gmail-logsøgning
Drive-revisioner og aktivitet · Hvad den viser: Versioner, visning, download og deling · Begrænsning: Revisioner kan være slået sammen · Læs mere: Google Drive
Login- og tokenlog · Hvad den viser: Logon, filtre, videresendelse og app-adgang · Begrænsning: Kræver administratoradgang · Læs mere: Overtaget Google Workspace-konto
Private Google-konti · Hvad den viser: Aktivitet og placeringshistorik · Begrænsning: Kun med ejerens medvirken · Læs mere: Private Google-konti
Slack-eksport · Hvad den viser: Kanaler, beskeder og filer i JSON · Begrænsning: Omfang afhænger af abonnement · Læs mere: Slack-eksport teknisk
Teams og Slack lokalt · Hvad den viser: Cache og databaser på computeren · Begrænsning: Ufuldstændigt, men kan rumme slettede beskeder · Læs mere: Electron-apps lokalt
Mødelogs · Hvad den viser: Deltagere, tidspunkter og optagelser · Begrænsning: Forskellig detaljegrad pr. platform · Læs mere: Deepfake i videomødet

Typiske fejlkilder

Kontoen slettes ved fratræden. Når en Workspace-bruger slettes, kan data forsvinde, hvis de ikke er omfattet af et hold eller overført. Sletning bør vente, til sikringen er afsluttet.
Takeout bruges, hvor Vault var rigtigt. En brugers egen eksport mangler organisationens metadata og kan være påvirket af brugeren. Se Selvindsamling.
Delingslinks overses. En fil, der er delt med “alle med linket”, kan være åbnet af personer, der ikke står i nogen adgangsliste. Revisionsloggen skal læses for at se det.
Tidszoner i eksporter. Vault, revisionslog og Takeout bruger ikke nødvendigvis samme tidszone. Normalisér før sammenligning; se Normalisering af logdata.
Chat læses som enkeltbeskeder. I eDiscovery skal chat ofte samles i samtaler for at give mening. Se Chatdata i eDiscovery.

Hvor man starter

Første skridt er at sikre, at intet bliver slettet: læg et hold i Vault på de relevante konti, og udsæt sletning af brugere. Eksportér derefter de revisionslogs, der dækker perioden, før de udløber. Google Vault og revisionslogs beskriver begge dele. Handler sagen om en overtaget konto, er Overtaget Google Workspace-konto stedet at begynde. Skal data overleveres til gennemgang hos en advokat, er Google Takeout eller Vault-eksport den artikel, der afgør eksportvejen. Den bredere eDiscovery-proces står på eDiscovery teknisk.

Når det skal være en opgave

Digital forensics-undersøgelse Undersøgelse på tværs af konti og systemer.

Artikler

Google Vault og revisionslogs i Google Workspace som bevis Google Vault fastholder og eksporterer mail, Drive og chat, mens revisionslogs viser handlingerne. Sådan sikres og verificeres begge dele i en civil sag.
Google Takeout eller Vault-eksport: forskelle i indhold og metadata Google Takeout og Vault-eksport giver forskellige formater og metadata. Sådan adskiller MBOX, JSON og metadatafiler sig, og det mangler i hver eksport.
Gmail-logsøgning: leveringsspor i Google Workspace Gmail-logsøgning i Google Workspace viser, om en mail blev leveret, afvist eller sendt videre. Sådan læses resultatet, og sådan sikres det til en sag.
Google Drive: revisioner, aktivitet og delingsspor Google Docs gemmer revisioner på en anden måde end uploadede filer i Drive. Sådan virker revisioner, aktivitet og delingslog, og sådan sikres de i en sag.
Overtaget Google Workspace-konto: filtre, videresendelse og app-adgang i revisionsloggen En overtaget Google Workspace-konto efterlader spor: logins, filtre, videresendelse og app-adgang. Sådan findes, dateres og sikres de, før der ryddes op.
Private Google-konti: aktivitetsdata og placeringshistorik En privat Google-konto kan rumme søgninger, app-brug og placeringshistorik. Sådan sikres data med kontoejerens samtykke, og sådan tolkes de forsigtigt.
Slack-eksport teknisk: formater, planer og Discovery API En Slack-eksport er JSON-filer pr. kanal og dag. Hvad hver eksporttype indeholder, hvordan tidsstempler og tråde læses, og hvornår Discovery API kræves.
Electron-apps lokalt: Teams, Slack og Discord på computeren Desktop-apps som Teams, Slack og Discord gemmer cache og databaser på computeren. Hvad de kan rumme, hvordan de sikres, og hvorfor de kun er et supplement.
Google Chat og Google Meet: revisionslogs, opbevaring og eksport Google Chat og Meet i Workspace efterlader revisionslogs, beskeder i Vault og optagelser i Drive. Sådan sikres de, og hvad chathistorikken betyder.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.