Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen
En regel, der videresender, flytter eller sletter mails, er et af de mest almindelige spor efter en kompromitteret postkasse og en klassisk måde at tage data med ved fratræden. I Microsoft 365 findes der mindst fire forskellige mekanismer, der kan få mails til at forsvinde eller gå andre steder hen, og de ligger forskellige steder, ses med forskellige værktøjer og logges forskelligt. En undersøgelse skal derfor tjekke alle fire, finde ud af, hvornår hver regel blev oprettet og af hvem, og vise, hvad den faktisk har gjort.
Haster det? Regler og videresendelser kan slettes af den, der oprettede dem, og loginlogs, der forklarer forløbet, gemmes kun 7 eller 30 dage afhængigt af licensen. Se akut forensisk sikring, og bemærk, at hastesager koster ekstra.
Den praktiske håndtering for virksomheden, herunder hvad der skal ske først, står på bevissikring-digitalt.dk. Her ser vi på den tekniske side. Den samlede undersøgelse af en kompromitteret postkasse, hvor reglerne er ét af flere trin, står i BEC-undersøgelse i Microsoft 365. Automatiske flows, der flytter mails uden om reglerne, er beskrevet i Power Automate og Logic Apps, og de øvrige tegn på en overtaget konto i Er mailen hacket?.
De fire mekanismer
- Indbakkeregel · Hvor den ligger: I postkassen · Hvem kan oprette den: Brugeren, en stedfortræder eller en administrator
- Skjult indbakkeregel · Hvor den ligger: I postkassen, uden synligt navn eller visning · Hvem kan oprette den: Den, der har adgang til postkassen via de rette programgrænseflader
- Videresendelse på postkassen · Hvor den ligger: Som egenskab på postkassen · Hvem kan oprette den: Brugeren i Outlook på nettet eller en administrator
- Transportregel (mail flow) · Hvor den ligger: På organisationsniveau · Hvem kan oprette den: En administrator
Dertil kommer regler på klientsiden, som kun virker, når en bestemt Outlook-klient kører, og som ikke ligger på serveren på samme måde. De er sjældnere i undersøgelser, men skal nævnes, hvis en computer indgår.
Indbakkeregler
En indbakkeregel består af betingelser, undtagelser og handlinger. Typiske kendetegn ved regler, der er oprettet af en uvedkommende:
- Et meget kort eller meningsløst navn, fx et enkelt tegn.
- Betingelser på ord som faktura, betaling, bank eller navne på bestemte kunder.
- Handlinger, der flytter mails til en sjældent brugt mappe, markerer dem som læst eller sletter dem.
- Videresendelse eller omdirigering til en ekstern adresse.
Reglen kan vises med administrationsværktøjer, men en almindelig visning udelader skjulte regler. Ved en undersøgelse skal værktøjet derfor eksplicit bedes om at medtage skjulte regler; i Exchange Online PowerShell sker det med kontakten IncludeHidden på Get-InboxRule.
Skjulte regler
En regel kan oprettes, så den ikke vises i Outlook, i Outlook på nettet eller i standardvisningen i administrationsværktøjerne. Det sker ved at manipulere reglens interne egenskaber via programgrænseflader, der giver lavniveauadgang til postkassen. Skjulte regler er beskrevet i offentlige sikkerhedsvejledninger som en kendt teknik efter kompromittering. For undersøgelsen betyder det, at “ingen regler i Outlook” ikke er det samme som “ingen regler”. Værktøjer, der læser postkassens regeltabel direkte, kan finde dem.
Videresendelse på postkassen
Videresendelse kan også sættes som en egenskab på selve postkassen, enten til en intern modtager eller til en ekstern SMTP-adresse, og med eller uden en kopi i den oprindelige postkasse. Brugeren kan selv sætte den i Outlook på nettet, mens en administrator kan sætte den i administrationscenteret. Egenskaben ses ikke som en indbakkeregel og overses derfor let.
Automatisk videresendelse til eksterne adresser styres af den udgående spampolitik. Standardværdien er en automatisk, systemstyret indstilling. Ifølge Microsoft svarer den til blokering i de fleste tenants, men i ældre tenants, der allerede brugte værdien, kan den stadig tillade videresendelse. Blokeringen kan desuden være slået fra helt eller for udvalgte brugere i en særskilt politik, og domæneindstillinger kan spille ind. Dokumentér politikkens indstilling i perioden, fordi den afgør, om en regel faktisk kunne levere mails ud.
Transportregler
Transportregler virker for hele organisationen og kan fx kopiere alle mails til eller fra bestemte personer til en anden adresse. De kræver administratorrettigheder og er derfor relevante, når en administrator er under mistanke, eller når en administratorkonto er kompromitteret. Gennemgå alle regler, ikke kun nye, og notér deres seneste ændringstidspunkt.
Datering i auditloggen
Reglernes egne objekter indeholder sjældent et pålideligt oprettelsestidspunkt. Dateringen hentes fra auditloggen, hvor oprettelse og ændring registreres som hændelser:
- Oprettelse og ændring via administrationsværktøjer eller Outlook på nettet registreres som hændelser for nye eller ændrede indbakkeregler.
- Ændringer fra Outlook-klienten registreres som en samlet opdatering af postkassens regler.
- Videresendelse på postkassen registreres som ændring af postkassens egenskaber.
- Transportregler registreres som administrative hændelser.
Hver hændelse indeholder den konto, der udførte handlingen, klientens IP-adresse og ofte klientinformation, og reglens parametre i AuditData. Kobles hændelsen til loginloggen, kan det vises, om reglen blev oprettet fra brugerens kendte enhed eller fra en ukendt session; se Sessioner, tokens og loginlogs. Auditloggen generelt er beskrevet i Unified Audit Log i Microsoft 365.
Hvad reglen har gjort
At reglen fandtes, viser ikke, hvad den har sendt. Det vises med transportsporene: Videresendte mails optræder i sporingen af mailflow med modtageradresse og tidspunkt, så omfanget kan opgøres. Sporingens opbevaring er begrænset, og ældre data kræver en udvidet rapport. Se Message trace og transportlogs. Er videresendelsen sket til en privat adresse i forbindelse med fratræden, er den samlede metode beskrevet i Mail til privat adresse.
Sikring før fjernelse
- Eksportér alle indbakkeregler inklusive skjulte for den berørte postkasse, med alle egenskaber.
- Eksportér postkassens videresendelsesegenskaber og den udgående spampolitik.
- Eksportér organisationens transportregler.
- Søg i auditloggen efter alle regel- og videresendelseshændelser for perioden, også for andre postkasser.
- Kør sporing af mailflow for de eksterne adresser, reglerne sendte til.
- Hash eksporterne, og fjern først derefter reglerne, med en ny eksport bagefter.
Søg altid bredt på tværs af postkasser. En uvedkommende, der har haft adgang til én konto, kan have oprettet regler i andre postkasser, som kontoen havde adgang til.
Typiske fejlkilder
- Legitime regler: Mange brugere har egne regler, også med videresendelse. Oprettelsestidspunkt og session afgør, ikke reglen alene.
- Regel slettet: En slettet regel findes ikke i postkassen, men oprettelsen og sletningen kan stå i auditloggen.
- Klient og server blandes: En regel oprettet i Outlook-klienten logges anderledes end en fra nettet.
- Delegeret oprettelse: En stedfortræder eller administrator kan oprette regler i en andens postkasse; tjek den konto, der står i hændelsen.
Hvad sporene kan og ikke kan bevise
Sporene kan vise, at en regel fandtes, hvornår den blev oprettet, fra hvilken session og hvad den videresendte. De kan ikke alene vise, hvem der sad bag sessionen. Konklusionen bygger på sammenhængen mellem regel, login og mailflow.
Regler, der skjuler svar
I sager om fakturasvindel bruges regler ofte ikke kun til at videresende, men til at skjule. En regel kan flytte svar fra en bestemt kunde eller leverandør til en mappe, som brugeren ikke kigger i, så den uvedkommende kan føre en samtale i brugerens navn uden at blive opdaget. Mapperne, reglerne flyttede mails til, skal derfor gennemgås og sikres, fordi de kan indeholde netop den korrespondance, der viser forløbet. Notér mappens navn, placering og antal elementer, og eksportér indholdet med eDiscovery, så mappestien bevares. Den samlede undersøgelse af en kompromitteret konto i den situation er beskrevet i BEC-undersøgelse i Microsoft 365 trin for trin.
Dokumentation
Rapporten bør indeholde en oversigt over alle fire mekanismer med status pr. postkasse: fundet eller ikke fundet, og med hvilket værktøj og hvilke parametre der er søgt. For hver fundet regel gengives betingelser, handlinger og modtageradresser, oprettelses- og ændringshændelser fra auditloggen med konto, IP-adresse og klient, og omfanget af videresendte eller flyttede mails. Angiv tidszone og eksportfilernes hashværdier, og beskriv eventuelle huller, fx perioder uden for auditloggens opbevaring.
Kilder og versioner
- Microsoft Learn: Get-InboxRule
- Microsoft Learn: Control automatic external email forwarding
- Microsoft Learn: Configure email forwarding for a mailbox
Senest gennemgået: oktober 2026.
Næste skridt
- MFA-ændringer og betinget adgang i Entra ID-loggene
- Adgang til andres postkasser: FullAccess, SendAs og delegering i auditloggen
- Hvem ændrede filen? Versioner og delingslinks i SharePoint
Del af: Microsoft 365 og Entra ID: logkilderne
Læs også: MailItemsAccessed og mailbox-auditloggen: hvilke mails blev læst? · Entra ID sign-in logs: felter, fejlkoder og fortolkning
→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
