En logundersøgelse samler og korrelerer logs fra flere systemer for at fastlægge forløbet: hvad skete, på hvilket tidspunkt, og fra hvilken konto eller adresse. Svaret ligger sjældent i én log. Det ligger i sammenhængen mellem firewallen, VPN’en, domænecontrolleren, cloudtjenesten og applikationen, og det kræver, at tidsstempler, tidszoner og formater bringes på samme form, før de kan sammenlignes.

Korrelationen laves af en uvildig IT-sagkyndig, der ikke sælger SIEM, logplatforme eller overvågning, og de sikrede logs er omfattet af tavshedspligt.

Situationen

Logundersøgelser bliver typisk aktuelle, når:

• en administrator eller en ekstern leverandør mistænkes for at have misbrugt sin adgang,
• et system har været nede, og kunde og leverandør er uenige om, hvorfor,
• data er hentet fra en server eller database, og spørgsmålet er af hvem,
• en hændelse er inddæmmet, og forsikringen vil have dokumenteret indgangsvej og omfang,
• en SLA-tvist afhænger af, hvordan tallene er målt.

Logs roterer og overskrives. Første skridt er derfor at stoppe rotationen eller eksportere, før den ældste periode forsvinder. → Logfiler og logrotation

Hvad der sikres, og hvordan

Kilderne kortlægges før sikringen: hvilke systemer logger, hvad logges, hvor længe gemmes det, og hvem har adgang. → Identifikation af datakilder

Typiske kilder er:

• firewall, VPN, proxy og DNS, → Firewall-logs teknisk og VPN-logs
• Active Directory og domænecontrollere, → Active Directory-logs
• Entra ID, Microsoft 365 og andre cloudtjenester,
• Windows- og Linux-servere,
• databaser med transaktionslogs og audittabeller, → Databaser som bevis
• applikationslogs, SIEM og EDR.

Logs sikres i deres oprindelige format, så vidt muligt, og hashes ved sikringen. Hvis en log kun kan eksporteres gennem en grænseflade, dokumenteres forespørgsel, tidsvindue og eventuelle begrænsninger. Når den undersøgte selv har haft administratoradgang, søges der efter kilder, som den person ikke kunne ændre. → Undersøgelse af en administrator, der kan slette loggen

Hvad undersøgelsen kan vise

• hvilke konti der loggede ind, hvorfra og hvornår, på tværs af systemer,
• hvilken intern adresse og enhed der stod bag en handling, via DHCP og NAT,
• hvilke data der er hentet, og i hvilken mængde,
• hvornår en ændring blev lavet i en database eller et system,
• om loggen selv er intakt, eller om der er huller og tegn på sletning. → Logintegritet

Arbejdet består i at normalisere tidsstempler, oversætte adresser gennem NAT og VPN og koble hændelserne til en samlet tidslinje. → Logkorrelation

Grænserne

En IP-adresse er ikke en person. En log viser, hvad systemet registrerede, ikke nødvendigvis alt, der skete. Ure kan gå forkert, og logs kan mangle for perioder, hvor et system var nede eller fyldt op. Det, logs ikke kan vise, beskrives i rapporten lige så tydeligt som det, de kan. → IP-adresser som bevis og Når enhedens ur går forkert

Hvad I får

• En oversigt over logkilder, hvad de dækker, og hvad der mangler.
• Sikrede logs med hashværdier og bevislog.
• En korreleret tidslinje med normaliserede tidsstempler.
• En rapport, som ledelse, advokat og forsikring kan læse, med metode, fund og forbehold.
• En anbefaling om logning og opbevaring fremover.

Kildeoversigten følger samme felter som teknisk datakort, og hashværdierne registreres som i hash-loggen.

En jurists vej gennem en logfil er beskrevet på Sådan læser du en logfil, og grundbegreberne på Firewall-, VPN- og loginlogs.

Samarbejde med jeres IT, MSP eller IR-leverandør

Logkilderne ejes sjældent af én part. Firewallen driftes måske af en MSP, SIEM’et af en SOC-leverandør, og efter et angreb har en IR-leverandør måske allerede trukket udvalgte logs. Nielco IT aftaler med hver part, hvad der eksporteres, i hvilket format og med hvilken forespørgsel, så udtrækket kan gentages. Med egen erfaring fra incident response og hackerangreb ved Nielco IT, hvor IR-arbejdet og den uvildige dokumentation kan trække i hver sin retning, og hvordan begge hensyn kan rummes. Fordelingen af roller er beskrevet under IR-samarbejde, og første kontakt under Når I ringer. Vil I først have hjælp til at kortlægge kilder og opbevaringstider, er teknisk sparring et naturligt mellemtrin.

Prisens byggesten

Beløb står ikke her. Disse forhold vejer tungt:

• antal systemer og logkilder,
• gigabyte og tidsvindue,
• samlet SIEM eller logs spredt på mange platforme,
• mængden af normalisering, NAT-oversættelse og tidszonekorrektion,
• hast, idet hastesager koster ekstra,
• rapportens omfang og et eventuelt retsmøde.

Se, hvordan opgaverne prissættes, på Nielco IT’s side om pris og tilbud.

Bag logundersøgelsen

John Nielsen er Nielco IT, selvstændig siden 2009, med over 30 års arbejde i IT-sikkerhed, herunder i finanssektoren, hos offentlige myndigheder og i kritisk infrastruktur. John Nielsens egne opgaver som IT-sagkyndig omfatter danske retskredse og Den Fælles Europæiske Patentdomstol (UPC). Er logmængden stor, tilknytter Nielco IT konsulenter, der arbejder i firmaets regi. Opgaver i hele landet.

Fortrolighed

En log afslører, hvad mange brugere har gjort, ikke kun den person, sagen drejer sig om. Tavshedspligten dækker de rå logs, de normaliserede tabeller og tidslinjen; kun domstolene kan kræve oplysningerne. NDA underskrives, hvis I anmoder om det.

Afgrænsning

Logundersøgelser bruges, når en tvist, en intern sag eller en forligsforhandling kræver dokumentation. Efterforskning for politiet indgår ikke. Se afgrænsningen.

Logs, der snart roterer: ring 70 13 63 23. Om ydelsen hos Nielco IT: digital bevissikring.