E-mail forensics: headere, servere og mailformater

En mail består af to dele: det, modtageren ser, og det, serverne skrev undervejs. Den synlige del, altså afsendernavn, emne, tekst og vedhæftninger, kan ændres eller efterlignes uden større besvær. Den anden del, headerne, serverlogs og postkassens metadata, er langt sværere at forfalske konsekvent, fordi den skrives af flere uafhængige systemer. Mail-forensik handler om at læse den anden del og holde den op mod den første.

Det særlige ved mail er, at samme besked findes mange steder: hos afsender, hos modtager, i serverlogs hos begge parter og ofte i lokale kopier på computere og telefoner. Det giver gode muligheder for at krydstjekke. Men hver kopi kan have mistet noget undervejs. En videresendt mail har nye headere, en udskrift har ingen, og en mail gemt som PDF har mistet næsten al teknisk information.

Det særlige ved mail

Headerne læses nedefra. Hver server, der håndterer mailen, tilføjer en Received-linje øverst. Den nederste er den første, og kun de linjer, der er skrevet af servere, man har tillid til, kan bruges uden forbehold.
SPF, DKIM og DMARC er ikke det samme som ægthed. De viser, om mailen kom fra en server, domænet har godkendt, og om udvalgte dele er uændrede siden afsendelsen. En mail fra en kompromitteret konto består alle tre.
Formatet bestemmer, hvad der bevares. EML og MBOX bevarer den rå mail med headere. MSG bevarer Outlook-egenskaber. PST og OST er hele postkasser med mapper og ofte slettede emner.
Serversiden er ofte den stærkeste kilde. Message trace og transportlogs viser, hvad serveren faktisk leverede, uafhængigt af hvad der senere er sket i postkassen.

Kilder og hvad de viser

Received-headere og Authentication-Results · Hvad den viser: Mailens vej og modtagerens vurdering af SPF, DKIM og DMARC · Læs mere: Analyse af mail-headere
Message trace og transportlogs · Hvad den viser: Levering på serversiden · Læs mere: Message trace og transportlogs
PST og OST · Hvad den viser: Hele postkasser med mapper og slettede emner · Læs mere: PST og OST
EML, MSG og MBOX · Hvad den viser: Enkeltmails og arkiver i forskellige formater · Læs mere: Mailformater i forensics
Message-ID og trådrelationer · Hvad den viser: Hvilke mails hører sammen, og hvilke er dubletter · Læs mere: Mailtråde og Message-ID
Postkassens auditlog · Hvad den viser: Hvem der læste, flyttede eller slettede · Læs mere: MailItemsAccessed
Recoverable Items · Hvad den viser: Slettede og ændrede mails på serveren · Læs mere: Exchange Online
Kalenderdata · Hvad den viser: Mødeinvitationer og ændringer · Læs mere: Kalenderdata og mødeinvitationer
Lookalike-domæner · Hvad den viser: Registrering og certifikater for et efterlignet domæne · Læs mere: Lookalike-domæner

Typiske fejlkilder

Mailen sikres som PDF eller udskrift. Så er headerne væk, og ægtheden kan ikke vurderes. Sikr den rå mail, eller eksportér fra serveren. Se Selvindsamling.
Spoofing, lookalike og kompromitteret konto forveksles. De tre ser ens ud for modtageren, men efterlader forskellige spor. Se Kompromitteret konto, spoofing eller lookalike-domæne?.
Header-tider læses uden tidszone. Hver Received-linje har sin egen tidszoneangivelse, og afsenderens ur kan gå forkert. Se Når enhedens ur går forkert.
Videresendelse ændrer billedet. En videresendt mail har nye headere og kan have mistet DKIM-gyldighed. Den oprindelige mail skal findes.
En ændret mail i postkassen. Mails kan redigeres efter modtagelse i visse klienter. Se Redigerede mails.

Hvor man starter

Find ud af, hvor den oprindelige mail ligger, og sikr den i et format, der bevarer headerne, helst direkte fra serveren. Notér, hvem der har haft adgang til postkassen. Læs derefter Er mailen ægte? En samlet metode, som binder headere, serverlogs og postkasse sammen. Handler sagen om en ændret faktura eller en betalingsanmodning, er Fakturasvindel: hvilken af parterne var kompromitteret? det konkrete udgangspunkt. For postkasser i Microsoft 365 står logkilderne på Microsoft 365 og Entra ID: logkilderne samlet.

Når det skal være en opgave

Microsoft 365-forensik Undersøgelse af mailkonti i Microsoft 365.

Artikler

Analyse af mail-headere, SPF, DKIM og DMARC Received-kæden, Authentication-Results, DKIM-signaturen og ARC kan vise, om en mail kommer fra det påståede domæne. Her er den tekniske gennemgang.
PST og OST: struktur, slettede emner og korruption PST- og OST-filer er databaser med B-træer og ledig plads, hvor slettede mails kan overleve. Sådan sikres, analyseres og hashes de uden at ændre filen.
Mailformater i forensics: EML, MSG og MBOX, og hvad de bevarer EML gemmer den rå MIME-mail, MSG gemmer Outlooks MAPI-egenskaber, og MBOX samler mange mails. Hvad hvert format bevarer, og hvad konvertering taber.
Message trace og transportlogs: leveringsspor på serversiden Message trace og transportlogs viser levering, afvisning og karantæne uafhængigt af postkassen. Felterne, søgevinduerne og hvordan sporet eksporteres.
Er mailen ægte? En samlet metode ud over headerne Ægthed afgøres ikke af headerne alene. Postkassen, serverens spor, Message-ID, MAPI-egenskaber og modpartens kopi giver tilsammen et holdbart svar.
Kompromitteret konto, spoofing eller lookalike-domæne? Sådan skelnes de Var mailen sendt fra jeres konto, forfalsket eller fra et domæne, der ligner? Et beslutningstræ ud fra headere, Sendt post og message trace.
Redigerede mails: tegn på efterfølgende ændring i postkasse eller PST Kan en mail ændres efterfølgende? Ja, i postkassen og i PST. Tegnene i egenskaber, headere og brødtekst, og hvorfor serverkopi og modtagerkopi afgør sagen.
Fejlsendt mail og fejldeling: dokumentation af omfang Mail til forkert modtager eller et delingslink til for mange? Sådan fastlægges omfanget med message trace, postkasselog og delingslinks’ adgangslog.
Kalenderdata og mødeinvitationer teknisk En kalenderaftale har UID, sekvensnummer, oprettelses- og ændringstid og svarhistorik. Sådan læses ICS og Exchange-kalendere, og hvad de kan vise.
Exchange Server lokalt og hybrid: logkilder Lokal og hybrid Exchange gemmer spor i message tracking, IIS-logs, protokollogs og to auditlogs. Hvor de ligger, hvor længe de lever, og hvordan de sikres.
IMAP-postkasser hos webhoteller: sikring og serverlogs Mail hos et webhotel sikres via IMAP eller som serverkopi. Forskellen på de to, hvad INTERNALDATE og UID betyder, og hvilke logs der skal bestilles hjemme.
Beviser en mail, at den er modtaget? Serverens accept, message trace, læsekvittering og sporingspixel viser hver sin del af en mails vej. Her er, hvad de beviser, og hvad de ikke beviser.
Digital Post teknisk: kvitteringer og læst-status Hvilke data findes, når et brev sendes med Digital Post: afsenderens kvitteringer, modtagerens læst-status og klienternes logs. Hvem har dem, og hvordan fås de?
Anonym afsender: hvilke spor findes, og hvem har dem En anonym mail eller profil efterlader spor hos flere parter. Hvad modtageren selv har, hvad udbyderne har, og hvorfor udlevering kræver retten.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.