Kan man se ...?

Mange tekniske undersøgelser begynder med et spørgsmål, der starter med “kan man se”. Her er korte svar på de mest almindelige. Hvert svar siger, om sporet typisk findes, hvad det afhænger af, og hvor emnet er beskrevet i dybden. Svarene forudsætter, at undersøgelsen sker på virksomhedens egne systemer eller med samtykke eller andet lovligt grundlag.

Computeren

Kan man se, hvem der loggede ind på computeren?

Ja, som regel. Windows registrerer vellykkede og mislykkede logon i Security-loggen med konto, tidspunkt og logontype, fx lokalt, via netværk eller fjernskrivebord. Loggen viser kontoen, ikke personen, og den overskrives, når den er fuld, så ældre logon kan være væk. → Event 4624 og 4625: logontyper og fortolkning

Kan man se, hvornår computeren var tændt?

Ja, inden for loggens rækkevidde. Hændelser for opstart, nedlukning, dvale, lås og oplåsning giver tilsammen et billede af, hvornår maskinen var i brug. Lås og oplåsning logges dog kun, hvis revisionen er slået til, og en tændt maskine er ikke det samme som en aktiv bruger. → Opstart, nedlukning, lås og dvale: Windows-events

Kan man se, hvad der er kopieret til USB?

Delvis. Windows gemmer, hvilke USB-enheder der har været tilsluttet, med serienummer og tidspunkter. Selve kopieringen logges normalt ikke. Spor efter åbnede filer på drevet, LNK-filer og jump lists kan dog vise, hvilke filer der har ligget på det, og hvornår de blev brugt. → USB-tidslinjen i Windows

Kan man se, om en fil er blevet åbnet?

Ja, ofte. LNK-filer, jump lists, RecentDocs og shellbags registrerer filer og mapper, som en bruger har åbnet eller gennemset, ofte med sti og tidspunkt. Sporene viser åbning via Stifinder eller programmer, men ikke nødvendigvis hvor længe filen var åben, eller hvad der blev læst. → Windows-artefakter: LNK, jump lists, shellbags og USB-spor

Kan man se, hvilke programmer der er kørt?

Delvis. Prefetch, Amcache, Shimcache og UserAssist viser spor efter programkørsel, nogle med tidspunkt og antal kørsler. Kilderne opfører sig forskelligt mellem Windows-versioner, og et spor i Shimcache er ikke i sig selv bevis for, at programmet blev startet. → Prefetch, Amcache og Shimcache

Kan man se, hvad der er printet?

Det afhænger af opsætningen. PrintService-loggen kan registrere dokumentnavn, printer og bruger, men den er ofte slået fra som standard. En printserver eller multifunktionsprinter kan have sin egen journal, og spool-filer overlever kun sjældent, når udskriften er færdig. → Print i Windows: spool-filer og PrintService-log

Kan man se, om en computer er nulstillet?

Ja. En nulstillet eller geninstalleret Windows har en ny installationsdato, nye brugerprofiler og tomme logs, og det kan sammenholdes med MDM, Intune og cloud-logs. Hvad der fandtes før nulstillingen, kan kun sjældent genskabes fra selve maskinen, men cloud og backup kan rumme meget. → Vi har allerede rørt maskinen

Kan man se, om nogen har været på computeren via fjernskrivebord?

Ja, normalt. Fjernskrivebord efterlader spor i flere hændelseslogs, både på den maskine, der blev tilgået, og på den, der forbandt sig, samt i registreringsdatabasen. Fjernsupportværktøjer har deres egne logs, som skal sikres særskilt. → RDP-spor: fjernskrivebord i logs, register og bitmap-cache

Kan man se, om nogen har ryddet hændelsesloggen?

Ja. Når Security-loggen ryddes, skriver Windows en hændelse om det, med den konto, der gjorde det. Det, der stod i loggen før, kommer ikke tilbage den vej, men kan nogle gange findes i videresendte logs, en SIEM eller i Volume Shadow Copies. → Anti-forensics: spor efter sletning og manipulation

Kan man se, hvilke hjemmesider der er besøgt?

Delvis. Browserhistorikken gemmer adresser og tidspunkter, men brugeren kan slette den, og privat browsing gemmer den ikke. Proxy-, DNS- og firewalllogs på virksomhedens netværk kan udfylde hullerne, dog uden at vise indholdet af krypterede sider. → Browserhistorik som bevis

Mail og konti

Kan man se, hvem der loggede ind på en Microsoft 365-konto?

Ja, inden for opbevaringsperioden. Entra ID’s loginlog viser tidspunkt, IP-adresse, program, enhed og om MFA blev brugt. IP-adressen peger på en forbindelse og ikke en person, og opbevaringen afhænger af licensen, så loggen bør eksporteres tidligt. → Entra ID sign-in logs

Kan man se, hvem der har læst mailen?

Det afhænger af licens og logning. I Microsoft 365 kan hændelsen MailItemsAccessed vise, at en mail blev tilgået, og fra hvilken session. Den kræver, at revisionen var slået til i perioden, og den skelner ikke altid mellem en person, der læser, og en klient, der synkroniserer. → MailItemsAccessed og mailbox-auditloggen

Kan man se, om en mail er modtaget?

Delvis. Serverens leveringsspor kan vise, at mailen blev afleveret til modtagerens server, eller at den blev afvist. Det viser ikke, at nogen åbnede den. Læsebekræftelser kan undertrykkes, og sporingspixels blokeres ofte, så de beviser kun, når de faktisk er udløst. → Beviser en mail, at den er modtaget?

Kan man se, om en mail er ægte?

Det afhænger af, hvad der kan sikres. En mail i sin oprindelige form med fulde headere kan vurderes ud fra transportvej, signaturer, server-tidsstempler og sammenligning med modtagerens eller afsenderens server. En udskrift eller et skærmbillede kan kun vurderes meget begrænset. → Er mailen ægte? En samlet metode

Kan man se, om mailkontoen er hacket?

Ja, ofte. Fremmede logon i loginloggen, nye indbakkeregler, ændrede MFA-metoder, ukendte app-tilladelser og mails i sendt post, som brugeren ikke kender, er typiske tegn. Sporene bør sikres, før adgangskoden nulstilles, ellers kan de gå tabt i oprydningen. → Er mailen hacket? Tegn i loginlog, regler og sendt post

Kan man se, om mails bliver videresendt automatisk?

Ja. Indbakkeregler, videresendelse på postkasseniveau og transportregler kan aflæses, og auditloggen viser normalt, hvornår reglen blev oprettet eller ændret, og fra hvilken session. En regel, der er slettet igen, kan stadig ses i loggen inden for opbevaringsperioden. → Indbakkeregler og videresendelse i Microsoft 365

Kan man se, hvem der er logget ind på kontoen lige nu?

Ja. Microsoft, Google og Apple viser aktive sessioner og tilknyttede enheder i kontoindstillingerne. Listen bør dokumenteres med skærmbilleder og eksport, før man logger andre ud, fordi den ellers ændres, og fordi den viser enhedstype og placering, ikke en person. → Hvem er logget ind på kontoen? Enheder og sessioner

Kan man se, om en slettet Teams-besked kan findes?

Delvis. Teams-beskeder gemmes i tjenesten og kan ofte findes med Purview, hvis en opbevaringspolitik eller et hold dækkede perioden. Redigerede beskeder kan have tidligere versioner. Uden opbevaringspolitik er slettede beskeder typisk kun tilgængelige i en begrænset periode. → Slettede og redigerede Teams-beskeder

Kan man se en kollegas mails eller filer?

Det afhænger af det lovlige grundlag, ikke af teknikken. En administrator kan teknisk tilgå meget, men adgangen er ikke i sig selv et mandat. Der skal være et sagligt formål, en afgrænsning og typisk en beslutning fra ledelsen, og selve adgangen bør logges. → Når IT bliver bedt om at undersøge en kollega

Filer og dokumenter

Kan man se, hvem der slettede filen?

Delvis. På en filserver med objektrevision, i SharePoint og i OneDrive registreres sletninger typisk med bruger og tidspunkt. På en lokal Windows-maskine viser papirkurven og NTFS-journalen, at filen blev slettet, men ikke altid af hvem. → Hvem slettede filen? Spor på fil-, server- og cloudniveau

Kan man se, hvem der ændrede et regneark?

Delvis. Ligger regnearket i SharePoint, OneDrive eller Google Drive, viser versionshistorikken, hvem der gemte hvilken version og hvornår. En lokal Excel-fil gemmer kun den seneste forfatter og tidspunkter i metadata, ikke hvem der ændrede den enkelte celle. → Hvem ændrede filen? Versioner og delingslinks i SharePoint

Kan man se, hvem der downloadede filer fra SharePoint?

Ja, hvis revisionen dækker perioden. Auditloggen registrerer download, synkronisering og deling med bruger, tidspunkt og IP-adresse. Synkronisering via OneDrive-klienten kan give mange hændelser på én gang, som skal tolkes som synkronisering og ikke som enkeltvise handlinger. → Download og synkronisering i SharePoint og OneDrive

Kan man se, om filer er uploadet til en privat cloud?

Delvis. Browserhistorik, proxy- og firewalllogs kan vise forbindelser til tjenesten, tidspunkter og nogle gange datamængder. Hvilke filer der blev sendt, fremgår sjældent direkte og må typisk udledes ved at sammenholde tidspunkter med filaktivitet på computeren. → Upload til privat cloud: browser-, proxy- og firewallspor

Kan man se, om en kundeliste er eksporteret fra CRM?

Det afhænger af systemet. Mange CRM- og ERP-systemer logger eksporter med bruger, tidspunkt og antal poster, men nogle gør det kun i dyrere planer eller i kort tid. Loggen ligger hos leverandøren og skal ofte bestilles, før den udløber. → Kundelisten fra CRM: eksportlogs i SaaS-systemer

Kan man se, om et dokument er tilbagedateret?

Det afhænger af, hvilke kilder der findes. Dokumentets egne datoer kan ændres, men de kan sammenholdes med filsystemets tidsstempler, NTFS-journalen, cloudversioner og mails, hvor dokumentet blev sendt. Når kilderne modsiger hinanden, er det et stærkt tegn på, at noget ikke passer. → Tilbagedaterede dokumenter

Kan man se, hvornår et billede er taget?

Delvis. Billedets EXIF-data rummer typisk optagetidspunkt, kamera og nogle gange GPS. Data kan være fjernet ved upload eller deling, og tidspunktet følger enhedens ur og tidszone. Sammenholdes metadata med telefonens fotodatabase, bliver konklusionen langt sikrere. → Hvornår er billedet taget? EXIF, XMP og IPTC

Kan man se, om et skærmbillede er redigeret?

Delvis. Filens format, opløsning, komprimering og metadata kan afsløre, at et skærmbillede er behandlet. Et skærmbillede uden tydelige tegn er dog ikke bevist ægte. Den sikre vej er at sammenligne med den enhed eller app, billedet påstås at stamme fra. → Teknisk vurdering af et skærmbillede

Telefon og netværk

Kan man se, om telefonen er hacket?

Det afhænger af, hvad mistanken bygger på. Et teknisk udtræk kan vise ukendte apps, profiler, administratorrettigheder og konti med adgang. Langsom telefon og varmt batteri er ikke bevis. Avancerede angreb efterlader få spor, og en undersøgelse kan derfor sjældent udelukke alt. → Er telefonen hacket? Hvad en undersøgelse kan vise

Kan man se, om nogen læser med i WhatsApp eller Messenger?

Delvis. Appen viser tilknyttede enheder, fx en browser eller computer, der er forbundet til kontoen, med tidspunkt for seneste aktivitet. Listen bør dokumenteres, før enhederne fjernes. Medlæsning via adgang til selve telefonen eller en delt cloudkonto ses ikke på den liste. → Tilknyttede enheder i WhatsApp, Messenger og Signal

Kan man se slettede beskeder på en telefon?

Det afhænger af app, tid og telefon. Slettede rækker kan overleve i appens database eller i en backup, men chancen falder med tiden og med telefonens brug. Beskeder slettet for alle kan efterlade spor i notifikationer eller hos modtageren. → Slettede beskeder på telefonen

Kan man se, hvor en telefon har været?

Delvis. Telefonen gemmer placeringsdata fra GPS, Wi-Fi og mobilnet, og fotos kan have koordinater. Præcisionen svinger fra få meter til flere kilometer, og en registreret placering viser, hvor telefonen var, ikke hvem der havde den. → Lokationsdata på telefonen: præcision og fejlkilder

Kan man se, hvilken enhed der havde en bestemt IP-adresse?

Det afhænger af logningen på netværket. DHCP-, Wi-Fi- og NAC-logs kan knytte en intern IP-adresse til en MAC-adresse og et enhedsnavn på et givent tidspunkt. En offentlig IP-adresse deles ofte af mange via NAT, så den peger sjældent på én enhed alene. → DHCP, Wi-Fi og NAC

Kan man se, hvad der står på en andens private telefon?

Nej, ikke uden lovligt grundlag. En privat telefon kan kun undersøges med ejerens samtykke eller efter en retlig afgørelse. Arbejdsdata på en firmatelefon er noget andet, men også her afgrænses udtrækket til det, sagen handler om. → Beskedapps i ansættelsessager: hvad der kan sikres lovligt

Når svaret er “delvis”

De fleste svar ovenfor rummer et forbehold, fordi spor sjældent står alene. Et enkelt artefakt viser en hændelse på et system, ikke en hensigt eller en person. Først når flere uafhængige kilder peger samme vej, bliver konklusionen stærk. Hvordan man kommer fra spor til konklusion, er beskrevet i Fra artefakt til konklusion, og grænserne for siden står i afgrænsningen.