Microsoft 365-forensik er undersøgelse af det, der er sket i en tenant: logins, mailaktivitet, regler, deling og download af filer. Data ligger hos Microsoft, ikke på en disk, så sikringen sker via eksport, og svaret afhænger af, hvilke logs der var slået til, licensen og hvor længe data gemmes. Det betyder, at IT-afdelingens første timer ofte afgør, hvad undersøgelsen kan nå frem til.

Nielco IT er uvildig IT-sagkyndig uden leverandørpartnerskaber, heller ikke med Microsoft, og sælger hverken licenser eller drift, så vurderingen af jeres opsætning farves ikke af et salg. Alt, hvad der ses i tenanten, er omfattet af tavshedspligt.

Situationen

Opgaven kommer typisk i en af to former:

• En kompromitteret konto: ukendte logins, mærkelige indbakkeregler, falske fakturaer sendt fra en rigtig postkasse, eller en app, der har fået samtykke til at læse mail.
• En datasag: en medarbejder har videresendt mails til en privat adresse, downloadet en SharePoint-mappe eller delt filer eksternt før en fratræden.

I begge tilfælde vil driften gerne rydde op: nulstille kodeord, slette regler, fjerne apps. Det skal ske, men først skal sporene noteres og logs eksporteres. → Tjekliste: logs at sikre i Microsoft 365 ved en hændelse

Hvad der sikres, og hvordan

De centrale kilder er:

• Unified Audit Log med hændelser fra Exchange, SharePoint, OneDrive, Teams og Entra ID. → Unified Audit Log
• Entra ID-loginlogs med IP-adresser, klient, MFA-resultat og betinget adgang. → Entra ID-loginlogs
• Mailbox-auditlog, herunder MailItemsAccessed, hvor licensen giver det. → MailItemsAccessed
• Indbakkeregler, videresendelser og delegeringer, sikret som de er, før de ændres. → Indbakkeregler og videresendelse
• Postkasser, OneDrive og SharePoint via Purview eDiscovery, med dokumenterede søgekriterier. → Microsoft Purview eDiscovery
• Message trace for leveringsspor på serversiden.

Eksporter hashes ved modtagelse, og forespørgsler, tidsvinduer og eventuelle begrænsninger i antal rækker dokumenteres, så det kan vises, at udtrækket er fuldstændigt. → Eksport via Microsoft Graph og PowerShell

Opbevaringstiden for logs afhænger af licens og opsætning og kan være kortere, end mange tror. Derfor er tid en faktor fra første dag.

Hvad undersøgelsen kan vise

• hvornår og hvorfra en konto første gang blev tilgået af en uvedkommende,
• om adgangen skete via phishing, genbrugt kodeord, stjålne sessioner eller app-samtykke, → Sessioner, tokens og loginlogs
• tidspunkt for oprettelse af regler, videresendelser og apps,
• hvilke mails der er sendt, og i hvilket omfang det kan ses, hvilke der er læst,
• hvilke filer der er downloadet, synkroniseret eller delt eksternt, → Filaktivitet i SharePoint og OneDrive
• om andre konti viser samme mønster.

Hvis loggen ikke dækker perioden, eller licensen ikke registrerede læsning af mails, står det i rapporten. Det er et resultat i sig selv, fordi det afgør, hvad virksomheden kan sige til kunder og myndigheder. Den trinvise metode ved mailsvindel er beskrevet i BEC-undersøgelse i Microsoft 365.

Hvad I får

• Sikrede eksporter af logs, regler og relevante postkasser med hash og bevislog.
• En tidslinje fra første adgang til lukning, eller over den periode, en datasag dækker.
• En liste over berørte konti, modtagere og filer.
• En rapport med metode, fund og forbehold, til ledelse, advokat, forsikring og eventuelt Datatilsynet.
• Konkrete huller i opsætningen, som bør lukkes.

Formen kendes fra skabelonerne: handlingslog under en hændelse, hash-log over eksporter og teknisk datakort over tenantens logkilder.

Ledelsens side af en hacket konto, med bank, forsikring og kunder, er beskrevet på Undersøgelse af en hacket mailkonto i virksomheden.

Samarbejde med jeres IT, MSP eller IR-leverandør

I en tenant har flere parter typisk Global Admin eller delegerede rettigheder: jeres egen IT, en MSP via GDAP og måske en IR-leverandør, der er kaldt ind efter et angreb. Det giver tre regler. Ingen nulstiller, sletter regler eller fjerner app-samtykker, før tilstanden er eksporteret. Alle administrative indgreb noteres med tid og konto, fordi de selv dukker op i Unified Audit Log. Og den uvildige sikring sker ved siden af IR-arbejdet, ikke efter det. Nielco IT har selv indsigt i incident response og har erfaring med hackerangreb mod Microsoft 365, uden at det kolliderer med IR-leverandørens opgave at få driften op. Hvem gør hvad, står på samarbejdssiden om IR; hvad I bliver spurgt om, på Når I ringer. Er I usikre på, om en mistænkelig login er nok til en undersøgelse, kan teknisk sparring afklare det først.

Hvad koster en M365-undersøgelse?

Der er ingen beløb på siden. Prisen styres af:

• antal brugere og postkasser i scope,
• tidsvinduet, der skal dækkes,
• antal arbejdsbelastninger: Exchange, SharePoint, Teams, Entra ID,
• licensniveau, og hvor meget I selv har eksporteret,
• hastegrad (hastesager koster ekstra),
• rapportform og eventuel forklaring i en sag.

Hvordan opgaverne prissættes, står på nielcoit.dk/priser.

Hvem undersøger tenanten

Nielco IT er John Nielsen, selvstændig siden 2009 med over 30 år inden for IT-sikkerhed. Rollen som IT-sagkyndig kender John Nielsen fra egne opgaver, dels i danske retskredse, dels ved patentdomstolen UPC. Logs og eksporter fra Microsoft 365 kan som regel hentes på afstand, så arbejdet kan starte samme dag, når det praktisk kan nås, mod at hastesager koster ekstra. Opgaver løses for virksomheder i hele landet.

Fortrolighed

En tenant indeholder forretningshemmeligheder og persondata om kunder og ansatte. Eksporterne, søgekriterierne og arbejdsnoterne er dækket af tavshedspligten, som kun viger, hvis domstolene kræver oplysningerne. En NDA kan underskrives på jeres opfordring.

Afgrænsning

Ydelsen består i at sikre og dokumentere de spor, virksomheden selv har i tenanten, til brug i tvister og interne sager. En eventuel politimæssig del af sagen ligger uden for. Se afgrænsningen.

Mistanke om en kompromitteret konto: ring 70 13 63 23, eller læs Nielco IT’s beskrivelse af digital bevissikring.