Microsoft 365 og Entra ID: logkilderne samlet

I Microsoft 365 findes der ingen disk at kopiere. Beviset er logposter og indhold, som Microsoft opbevarer på vegne af kunden, og som kun kan hentes gennem administrationsportaler, søgeværktøjer og programgrænseflader. Det har to konsekvenser. For det første er det tenantens indstillinger og licenser, der afgør, hvilke logs der overhovedet bliver skrevet, og hvor længe de bliver liggende. For det andet ændrer selve eksporten ikke kilden, men den skal dokumenteres omhyggeligt, fordi den ikke kan gentages med samme resultat, når loggen er roteret.

Det vigtigste at forstå er, at ingen enkelt log fortæller hele historien. Unified Audit Log samler meget, men ikke alt. Loginloggene ligger i Entra ID. Mailboxens egen auditlog har handlinger, som kun vises, hvis de er slået til. Message trace viser levering, men ikke indhold. En undersøgelse af en kompromitteret konto eller en fratrådt medarbejder kræver typisk fire eller fem kilder, der læses sammen.

Kilderne og hvad de viser

Unified Audit Log · Hvad den viser: Handlinger på tværs af mail, filer, Teams og administration · Begrænsning: Opbevaringstid og detaljegrad afhænger af licens · Læs mere: Unified Audit Log
Entra ID sign-in logs · Hvad den viser: Logon med IP, klient, fejlkode og MFA-resultat · Begrænsning: Kort standardopbevaring; ikke-interaktive logon skal med · Læs mere: Entra ID sign-in logs
MailItemsAccessed · Hvad den viser: Hvilke mails der blev åbnet eller synkroniseret · Begrænsning: Kræver, at hændelsen logges for postkassen · Læs mere: MailItemsAccessed
Indbakkeregler og videresendelse · Hvad den viser: Regler, der flytter, sletter eller sender mails videre · Begrænsning: Skjulte regler vises ikke i Outlook · Læs mere: Indbakkeregler
Message trace · Hvad den viser: Levering til og fra postkasser · Begrænsning: Intet indhold; kort historik i portalen · Læs mere: Message trace, indholdssøgning eller auditlog
Recoverable Items · Hvad den viser: Slettede og ændrede mails, der stadig findes · Begrænsning: Tømmes efter en periode uden hold · Læs mere: Exchange Online
SharePoint- og OneDrive-aktivitet · Hvad den viser: Download, synkronisering og deling · Begrænsning: Synkronisering ligner masseudtræk · Læs mere: Filaktivitet i SharePoint og OneDrive
Rolle- og MFA-ændringer · Hvad den viser: Nye administratorer, nye MFA-metoder, nye enheder · Begrænsning: Spredt over flere logs · Læs mere: MFA-ændringer og betinget adgang
Purview eDiscovery · Hvad den viser: Hold, søgning og eksport af indhold · Begrænsning: Søgning er ikke det samme som auditlog · Læs mere: Microsoft Purview eDiscovery
Defender XDR · Hvad den viser: Hændelser fra mail, endpoints og identitet · Begrænsning: Begrænset historik i forespørgsler · Læs mere: Defender XDR

Opbevaringstiderne ændres løbende og afhænger af licens og konfiguration. Tjek de aktuelle værdier i jeres egen tenant, før I regner med, at en log dækker den periode, sagen handler om.

Typiske fejlkilder

Eksport uden dokumentation. En CSV-fil fra portalen uden oplysning om søgekriterier, tidspunkt, konto og antal rækker er svær at forsvare. Se Eksport via Microsoft Graph og PowerShell og Eksport af Entra ID-loginlogs.
Afkortede resultater. Portaler og kommandoer har grænser for, hvor mange rækker der returneres. En eksport, der stopper ved grænsen, ser komplet ud, men er det ikke.
IP-adressen læses som en person. En IP kan tilhøre en VPN, en mobiloperatør eller en angribers proxy. Se IP-adresser som bevis.
Skift af adgangskode afslutter ikke alt. Tokens og registrerede enheder kan give fortsat adgang. Se Sessioner og tokens.
Oprydning før sikring. At slette regler, fjerne apps eller nulstille en konto, før tilstanden er dokumenteret, fjerner netop det, der skulle vises.

Hvor man starter

Ved en hændelse er rækkefølgen: stop automatisk sletning, eksportér de logs, der roterer først, og dokumentér tilstanden, før der ryddes op. Tjekliste: logs at sikre i Microsoft 365 ved en hændelse giver listen. Handler sagen om en kompromitteret postkasse, går BEC-undersøgelse i Microsoft 365 trin for trin igennem kilderne i den rækkefølge, de bruges. Er spørgsmålet, hvilket værktøj der besvarer hvad, så begynd med Message trace, indholdssøgning eller auditlog.

Når det skal være en opgave

Microsoft 365-forensik Undersøgelse af konti, mail og filer i Microsoft 365.

Artikler

Microsoft Purview eDiscovery: hold, søgning og eksport Purview eDiscovery bevarer, søger og eksporterer data fra Microsoft 365. Sådan virker hold, søgning og eksport teknisk, og sådan dokumenteres resultatet.
Unified Audit Log i Microsoft 365 som bevis Revisionsloggen i Microsoft 365 viser, hvem der har åbnet, hentet, delt eller slettet filer og mails. Indhold, opbevaring, sikring og tolkning af UAL.
Exchange Online: Recoverable Items, hold og hvad der reelt er tilbage Slettede mails i Exchange Online går gennem Deletions, Purges og Versions, og hold afgør, hvad der bliver. Sådan virker mappen, og sådan undersøges den.
MailItemsAccessed og mailbox-auditloggen: hvilke mails blev læst? MailItemsAccessed viser adgang til mails i Exchange Online, men Sync og Bind betyder noget forskelligt. Sådan læses hændelserne efter et kontoindbrud.
Indbakkeregler og videresendelse: opdagelse og datering i Microsoft 365 Indbakkeregler, skjulte regler, videresendelse og transportregler i Microsoft 365. Sådan findes de, dateres i auditloggen og dokumenteres i en sag.
Entra ID sign-in logs: felter, fejlkoder og fortolkning Entra ID-loginlogs har fire kategorier og mange felter. Sådan læses klientapp, godkendelse, betinget adgang og fejlkoder, og her opstår fejltolkningerne.
Eksport af Entra ID-loginlogs: fuldstændig og dokumenteret Entra ID-loginlogs kan eksporteres fra portalen, med PowerShell, via Graph eller fra et logarkiv. Sådan undgås felttab og huller, og sådan dokumenteres de.
MFA-ændringer og betinget adgang i Entra ID-loggene En ny telefon eller app til totrinsgodkendelse er ofte første tegn på overtaget adgang. Sådan findes MFA-ændringer og ændret betinget adgang i loggene.
Registrerede enheder i Entra ID som vedvarende adgang En enhed registreret i Entra ID kan give adgang, der overlever kodeskift. Sådan findes ukendte enheder i revisions- og loginlogs, og sådan dokumenteres de.
Privilegerede roller: tildelinger og ændringshistorik i Entra ID Rolletildelinger, PIM-aktiveringer, rollegrupper og app-rettigheder i Entra ID. Sådan rekonstrueres, hvem der havde administratorrettigheder hvornår.
Adgang til andres postkasser: FullAccess, SendAs og delegering i auditloggen FullAccess, SendAs, Send on behalf og mappetilladelser giver adgang til andres postkasser. Sådan findes rettighederne, og sådan ses brugen i auditloggen.
Hvem ændrede filen? Versioner og delingslinks i SharePoint Versionshistorik og delingslinks i SharePoint og OneDrive viser, hvem der ændrede og delte en fil. Sådan sikres de, og her forsvinder sporene ved sletning.
Download og synkronisering i SharePoint og OneDrive: filaktivitet i auditloggen Hvem har downloadet filer i SharePoint og OneDrive? Forskellen på synkronisering og download i auditloggen, de vigtige felter og de typiske fejlslutninger.
Teams teknisk: hvor chats, filer og optagelser gemmes, og hvordan de eksporteres Teams gemmer chats, filer og mødeoptagelser forskellige steder i Microsoft 365. Her er placeringerne, og hvordan de eksporteres korrekt til en sag.
Slettede og redigerede Teams-beskeder: hvad Purview kan finde Kan en slettet eller redigeret Teams-besked findes igen? Det afhænger af hold og opbevaringspolitikker. Sådan virker det teknisk, og her er tidsgrænserne.
Purview-opbevaringspolitikker og etiketter: hvad er slettet, og hvad er bevaret Opbevaringspolitikker, etiketter og hold i Microsoft Purview afgør, hvad der stadig findes. Sådan læses samspillet, og sådan dokumenteres det i en sag.
Message trace, indholdssøgning eller auditlog: hvilket værktøj til hvilket spørgsmål Message trace, indholdssøgning og auditloggen svarer på forskellige spørgsmål. Et opslag for driftsfolk: hvilket værktøj til hvad, og hvor langt tilbage.
Eksport via Microsoft Graph og PowerShell: dokumentation af kommandoerne Eksport af auditlog og andre data med PowerShell eller Microsoft Graph skal kunne gentages. Sådan logges kommandoer, versioner, sider og output med hash.
Defender XDR og Defender for Office 365 som datakilde Defender XDR samler data om enheder, mail, identiteter og cloudapps. Sådan bruges avanceret søgning i en undersøgelse, og sådan sikres resultatet korrekt.
Copilot-interaktioner i Microsoft 365 som datakilde Prompts og svar fra Copilot i Microsoft 365 gemmes i tenanten og kan søges i Purview. Hvor data ligger, hvad auditloggen viser, og hvordan det fortolkes.
Tredjepartsbackup af Microsoft 365 som kilde En tredjepartsbackup af Microsoft 365 kan rumme data, der er slettet i tenanten. Sådan hentes de uden at ændre kilden, og her tabes metadata ved restore.
Power Automate og Logic Apps som skjult dataflow Et flow kan videresende mail og kopiere filer uden indbakkeregel. Hvor flows ligger, hvad Purview logger, og hvordan den korte kørselshistorik sikres.
Audit Standard eller Premium: hvad licensen betyder for undersøgelsen Licensen afgør, hvor længe Microsoft 365 gemmer auditloggen, og hvilke hændelser der findes. Sådan påvirker Audit Standard og Premium en undersøgelse.
Entra Connect og hybrid identitet: hvor blev ændringen lavet? I et hybridt miljø kan en ændring i Entra ID stamme fra det lokale AD. Sådan viser synkroniseringsserveren, AD og Entra-loggene, hvor den egentlig opstod.
Gæsteadgang og B2B i Microsoft 365-loggene Gæster og eksterne delinger i Microsoft 365 efterlader spor i Entra ID og auditloggen. Sådan dokumenteres, hvem der inviterede, delte og tilgik hvad.
Teams-opkald og møder: opkaldsposter, deltagerdata og optagelser Teams-opkald og møder efterlader opkaldsposter, deltagerdata og optagelser med korte opbevaringstider. Hvad der findes, hvor længe, og hvordan det sikres.
Entra ID audit log: ændringer i brugere, apps og politikker Entra ID’s revisionslog viser, hvem der ændrede brugere, grupper, apps og politikker. Felter, vigtige aktiviteter, opbevaring, eksport og fejlkilder.
Hvem nulstillede adgangskoden? Spor i AD, Entra ID og Google Workspace Hvem nulstillede eller skiftede adgangskoden? Sådan findes svaret i Active Directory, Entra ID og Google Workspace, og hvorfor hybride miljøer kræver omhu.
OneNote og Loop: hvor indholdet ligger, og hvordan versioner sikres Hvor OneNote-notesbøger og Loop-indhold faktisk gemmes i Microsoft 365, hvordan sidehistorik og filversioner sikres, og hvad en eksport kan vise.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.