Netværk og logs i undersøgelser

Netværkslogs er limen i mange undersøgelser. En computer kan vise, at en fil blev åbnet, og en cloudtjeneste kan vise, at en fil blev uploadet, men det er firewall, proxy, VPN og DNS, der binder de to hændelser sammen og viser, at det skete fra samme enhed på samme tidspunkt. Netværksdata er også den kilde, der oftest overlever, når en enhed er geninstalleret, eller en konto er slettet, fordi logs bliver opsamlet centralt.

Men logs er skrevet til drift, ikke til bevis. De har kort levetid, felter, der betyder noget forskelligt fra leverandør til leverandør, og tidsstempler i blandede tidszoner. En IP-adresse er ikke en person, og en DNS-forespørgsel er ikke et besøg. Netværksforensik i civile sager handler derfor i høj grad om at kende grænserne for, hvad hver logtype kan bære.

Det særlige ved netværk og logs

Adressen skifter hænder. NAT, CGNAT, DHCP og VPN betyder, at samme IP-adresse kan dække mange enheder eller personer. Koblingen fra adresse til enhed kræver flere logs på samme tidspunkt.
Indhold findes sjældent. De fleste civile sager har forbindelsesdata, ikke pakkeindhold. NetFlow og firewall-logs viser hvem, hvornår og hvor meget, men ikke hvad.
Korrelation er metoden. Det er sammenstillingen af logs fra flere systemer, der giver svaret, og korrelationen er kun så god som tidssynkroniseringen.
SIEM og EDR er kopier. Data i et SIEM eller en EDR-konsol er normaliserede og ofte filtrerede. Rådata bør sikres ved siden af, hvor det kan lade sig gøre.

Logkilder og hvad de viser

Firewall · Hvad den viser: Sessioner, NAT, porte og datamængder · Begrænsning: Ofte kun tilladte eller blokerede forbindelser · Læs mere: Firewall-logs teknisk
VPN · Hvad den viser: Bruger, tildelt adresse og offentlig IP · Begrænsning: Kort opbevaring på mange enheder · Læs mere: VPN-logs
DHCP, Wi-Fi og NAC · Hvad den viser: Hvilken enhed havde adressen · Begrænsning: Kræver MAC-adresse og præcis tid · Læs mere: DHCP, Wi-Fi og NAC
DNS · Hvad den viser: Opslag af domænenavne · Begrænsning: Et opslag er ikke et besøg · Læs mere: DNS-logs som spor
Proxy og webfilter · Hvad den viser: Besøgte adresser og uploads · Begrænsning: Krypteret trafik viser ofte kun domæne · Læs mere: Proxy- og webfilterlogs
NetFlow og PCAP · Hvad den viser: Forbindelsesdata og, sjældent, indhold · Begrænsning: Kræver, at opsamlingen kørte · Læs mere: NetFlow og pakkeopsamling
Webserverlogs · Hvad den viser: Forespørgsler til et websted · Begrænsning: Proxy og CDN skjuler klientens IP · Læs mere: Webserverlogs
EDR-telemetri · Hvad den viser: Processer og forbindelser på endpoints · Begrænsning: Begrænset historik i konsollen · Læs mere: EDR-telemetri som bevis
SIEM · Hvad den viser: Samlede, normaliserede logs · Begrænsning: Integritet og fuldstændighed skal vises · Læs mere: SIEM-data som bevis
DLP · Hvad den viser: Regelbrud ved flytning af data · Begrænsning: En alarm er ikke en konklusion · Læs mere: DLP-hændelser

Typiske fejlkilder

Geolokation tages bogstaveligt. En IP placeret i en bestemt by kan tilhøre en mobiloperatør, en VPN eller et datacenter. Se IP-adresser som bevis.
Tidszoner blandes. Firewall i UTC, server i lokal tid og cloud i UTC giver forskydninger på en eller to timer, som kan vende en rækkefølge. Se Normalisering af logdata.
Urafvigelse. En enhed uden tidssynkronisering kan gå minutter forkert. Se Når enhedens ur går forkert.
Logintegritet antages. Hvis den, der undersøges, også administrerer loggen, skal det vises, at loggen ikke er ændret. Se Logintegritet.
Rotation. Mange netværksenheder gemmer kun dage eller uger. Uden en hurtig eksport forsvinder netop den periode, sagen drejer sig om. Se Logfiler og logrotation.

Hvor man starter

Lav først en oversigt over, hvilke logkilder der findes, hvor længe de gemmes, og hvem der administrerer dem. Eksportér derefter de kilder, der roterer hurtigst, med hash og dokumentation af eksportvejen. Logfiler og logrotation beskriver sikringen, og Logkorrelation beskriver, hvordan kilderne kobles bagefter. Er spørgsmålet, hvem der havde en bestemt IP-adresse, så start med DHCP, Wi-Fi og NAC. Konkrete Windows-hændelser i et SIEM kan slås op i Event-id-opslag.

Når det skal være en opgave

Logundersøgelse Korrelation på tværs af firewall, VPN, servere og applikationer.

Artikler

Logfiler og logrotation: sikring før data forsvinder Logs på servere, firewalls og i SaaS-tjenester roteres og slettes automatisk. Her er, hvordan rotation virker, hvor logs ligger, og hvordan de sikres.
IP-adresser som bevis: NAT, CGNAT, VPN og geolokationens fejl En IP-adresse peger sjældent på én person. NAT, CGNAT, VPN, IPv6 og geolokationsdatabaser forklaret teknisk, med fejlkilder og hvad en IP kan vise.
DHCP, Wi-Fi og NAC: hvilken enhed havde IP-adressen? DHCP-, RADIUS- og Wi-Fi-logs kobler en intern IP-adresse til en MAC-adresse, en enhed og evt. en bruger. Kilder, sikring og fejlkilder som tilfældige MAC.
DNS-logs som spor DNS-logs viser, hvilke domæner en enhed slog op, men ikke hvad brugeren gjorde. Kilder, felter, cache, krypteret DNS og fejlkilder i en civil undersøgelse.
Firewall-logs teknisk: sessioner, NAT og tidsstempler Sådan læses en firewall-log teknisk: sessionsfelter, NAT-oversættelse, byte-tællere og tidsstempler, og hvordan felterne korreleres med andre logs.
VPN-logs: sessioner, tildelte adresser og datamængder VPN-logs viser, hvem der forbandt, hvorfra, med hvilken intern IP og hvor meget data. Felter, split tunneling og fejlkilder ved dataudtræk og arbejdstid.
Proxy- og webfilterlogs Proxy- og webfilterlogs viser webtrafik pr. bruger eller enhed. Hvad TLS, kategorier og trafik i baggrunden betyder for fortolkningen, og sikringen.
NetFlow og pakkeopsamling i civile undersøgelser NetFlow viser hvem, hvornår og hvor meget; pakkeopsamling viser indhold. Sådan bruges de til datamængder, og hvor grænsen for proportionalitet går.
Webserverlogs (IIS, Apache, Nginx): felter, tidszoner, proxy og CDN Sådan læses access logs fra IIS, Apache og Nginx teknisk: felter, tidszoner, statuskoder og hvorfor proxy og CDN ændrer den IP-adresse, serveren ser.
Logkorrelation: sådan kobles hændelser på tværs af systemer Logkorrelation kobler hændelser fra login, firewall, server og SaaS via tid, IP, bruger, session og enheds-id. Metoden, fejlkilderne og dokumentationen.
Normalisering af logdata: ensretning af formater og felter Syslog, JSON, CSV og EVTX skal ensrettes, før logs kan sammenlignes. Sådan normaliseres logdata uden at miste felter, præcision eller den rå værdi.
SIEM-data som bevis: integritet og eksport Et SIEM gemmer normaliserede hændelser, ikke altid den rå log. Sådan eksporteres SIEM-data med hash og dokumentation, så de kan bruges i en civil sag.
Logintegritet: sådan vises det, at en log ikke er ændret Central opsamling, WORM-lager, hashkæder og adgangskontrol kan underbygge, at en log er uændret. Metoderne, deres styrke og hvordan de dokumenteres.
EDR-telemetri som bevis: opbevaring og eksport EDR registrerer processer, filer og netværksforbindelser på endpoints. Hvad telemetrien viser, hvor længe den gemmes, og hvordan den eksporteres korrekt.
DLP-hændelser: hvad en DLP-alarm dokumenterer En DLP-alarm viser, at en regel matchede indhold i en handling. Felterne, falske positiver og hvorfor alarmen ikke viser hensigt. Sådan sikres den korrekt.
TeamViewer- og AnyDesk-logs: fjernadgang i sporene Fjernsupportværktøjer logger forbindelser, tider og ofte filoverførsler. Sådan findes og sikres TeamViewer- og AnyDesk-logs, og sådan læses de.
SASE, ZTNA og cloudproxy: logs, når trafikken ikke går gennem egen firewall Når trafikken går gennem en cloudproxy eller ZTNA i stedet for egen firewall, ligger loggene hos leverandøren. Hvad de indeholder, og hvordan de sikres.
VoIP og omstillingsanlæg: CDR, SIP-logs og optagelser Et omstillingsanlæg registrerer opkald i CDR, SIP-logs og evt. optagelser. Hvad felterne betyder, hvorfor kilderne afviger, og hvordan de sikres korrekt.
Multifunktionsprintere: joblog, scan-til-mail og intern lagring En multifunktionsprinter har egen joblog, scan-til-mail og ofte intern disk. Hvad printeren kan vise om udskrifter og scanninger, og hvordan det sikres.
Videoovervågning teknisk: eksport fra NVR/DVR, tidsstempler og integritet Video fra en NVR eller DVR skal eksporteres i originalformat, med kontrol af uret og hashværdier. Sådan sikres videoovervågning teknisk korrekt.
Adgangskontrol og dørlogs som tidsanker Dørlogs viser, hvilket kort der blev brugt ved hvilken dør og hvornår. Sådan sikres hændelsesloggen, uret kontrolleres, og sporet kobles til IT-loggene.
.dk-domæner: registreringshistorik og DNS-ændringer Hvem ejede .dk-domænet, og hvornår blev DNS ændret? Hvad Punktum dk, registraren og DNS-udbyderen har af data, og hvordan de lovligt skaffes og sikres.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.