Et forløb med en uvildig sikring følger en fast rækkefølge: først konflikttjek, så en kort teknisk afklaring, derefter et valg af metode og sted, og til sidst sikring, verifikation og overdragelse. Siden her beskriver hvert trin set fra IT-afdelingen, MSP’en eller SOC’en: hvad I bliver spurgt om, hvad I skal stille med, og hvad I står med bagefter.

1. Konflikttjek, før sagen drøftes

Det første opkald handler om navne, ikke om tekniske detaljer. Den sagkyndige skal vide, hvilken organisation sagen hører til, hvilke personer og leverandører den drejer sig om, og om der er en kendt modpart. Først når det er tjekket, at der ikke er en binding, fortæller I, hvad der er sket. Det beskytter jer: en sagkyndig, der viser sig at have en rolle hos modparten, kan gøre hele sikringen angribelig. → Uvildighed og bindinger

Findes der allerede en beredskabsaftale, er organisationen tjekket på forhånd, og kun de nye navne skal igennem. → Beredskabsaftale

2. Teknisk afklaring

Herefter går samtalen på det tekniske. Forvent spørgsmål om:

• Hændelsen i én sætning: hvad blev opdaget, hvornår og af hvem.
• Kilderne: hvilke klienter, servere, tenants og SaaS-systemer der kan rumme spor, og hvem der har administratoradgang.
• Tidsfrister: logs, der roterer, konti, der står til sletning, udstyr, der skal leveres tilbage.
• Det, der allerede er gjort: isolering, nulstillede adgangskoder, scanninger, genstarter, eksporter. Ærlighed her er vigtigere end, at det gik efter bogen. → Vi har allerede rørt maskinen
• Rollerne: om der er et IR-team, en SOC eller en MSP i gang, og hvem der beslutter hvad. → Samarbejde med jeres IR-leverandør

Ud fra svarene aftales det, hvad der sikres først, og hvad I kan sætte i gang med det samme. Ofte er det at stoppe automatisk oprydning og at eksportere de cloudlogs, der har kortest opbevaring.

3. Hvem møder op, og hvad sker på afstand

Cloudkilder som Microsoft 365, Google Workspace og logs fra platforme sikres typisk på afstand gennem administrative eksporter. Fysiske diske, hukommelse på kørende maskiner og telefoner kræver normalt fremmøde. → Digital forensics i hele landet

Haster det, kan John Nielsen nå ud til jer på få timer, og sikringen kan gå i gang samme dag, når det rent praktisk lader sig gøre. Skal flere adresser dækkes på én gang, kobles en ekstra konsulent på, som arbejder som IT-sagkyndig under Nielco IT. Hast koster ekstra; se pris og tilbud på nielcoit.dk.

4. Det, I skal have klar

• ☐ En kontaktperson med administratorrettigheder, som kan være til stede under hele sikringen.
• ☐ Fysisk adgang til de berørte maskiner, servere og eventuelt serverrum.
• ☐ Gendannelsesnøgler til krypterede diske, hentet fra jeres egen administration.
• ☐ Midlertidige konti og roller til fjernsikring, hvis det er aftalt. → Fjernsikring: det IT stiller op
• ☐ Jeres handlingslog fra hændelsens start, også hvis den er håndskrevet. → Skabelon: handlingslog
• ☐ Et sted i bygningen, hvor der kan arbejdes uforstyrret, og hvor medier kan opbevares aflåst.

Skrivebeskyttere, lagermedier til beviskopierne og værktøjer til selve sikringen medbringes af den sagkyndige.

5. Sikring, verifikation og overdragelse

Hver kilde sikres med den aftalte metode og hashes ved erhvervelsen. Hashværdien kontrolleres igen, før medierne forlader stedet, og alle overdragelser skrives i bevisloggen med tid, person og formål. Kan noget ikke sikres, fordi en nøgle mangler, eller en log allerede er roteret, noteres det med årsag. → Chain of custody-loggen

Originalerne bliver som udgangspunkt hos jer. Skal et medie tages med, får I en kvittering med serienummer og forsegling.

6. Det, I får tilbage

• En sikringsrapport: kilder, metode, værktøjer og versioner, tidszoner, afvigelser og det, der ikke kunne sikres.
• Hashlog og bevislog, som jeres egen dokumentation kan henvise til.
• Besked om, hvornår systemerne kan frigives til genopretning eller geninstallation.
• En anbefaling om, hvad der bør undersøges, hvis sagen går videre.

Beviskopierne opbevares krypteret og adgangsbegrænset. Hvem der får rapport og kopier, følger af, hvem der er opdragsgiver. Henvender en MSP sig på kundens vegne, afklares det i trin 1. → Når MSP’en henvender sig på kundens vegne

Fortrolighed hele vejen

Allerede ved konflikttjekket behandles navnene fortroligt, og resten af forløbet ligger under den sagkyndiges tavshedspligt, som kun domstolene kan tilsidesætte. Vil I have en NDA på plads, før I beskriver hændelsen, så sig det i første opkald; den underskrives på forespørgsel.

Forløbet gælder civile sager, interne undersøgelser og uenigheder, der skal løses uden om retten. Læs afgrænsningen for resten.

Står I midt i en hændelse nu, så ring på 70 13 63 23. Vil I først læse, hvad I skal oplyse, så se kontaktsiden.