Forside › Undersøgelse efter et hackerangreb · Gennemgået oktober 2026 · Af John Nielsen
Når en hændelse kan ende i en tvist, en forsikringssag eller et krav mod en leverandør, skal IR-teamets materiale kunne overtages af en uvildig IT-sagkyndig. Det kræver mere end rapporten. Den sagkyndige skal have de rå data, hashværdier, en log over alle indgreb, tidszonen for hver kilde og en beskrivelse af, hvad der er ændret undervejs. Mangler det, kan konklusionerne ikke efterprøves, og så står de svagt.
Selve formularen til overdragelsen findes som skabelon: overdragelsesformular for beviser. Her er indholdet bag formularen: hvad der skal med, hvorfor, og hvordan det pakkes. Rollefordelingen mellem IR-leverandør, SOC, MSP og den uvildige er beskrevet under samarbejde med jeres IR-leverandør.
Hvorfor overdragelsen er et særskilt trin
IR-teamet arbejder for at stoppe angrebet og genoprette driften. Det er det rigtige mål under hændelsen, men det betyder, at materialet er samlet til en anden brug. Noter skrives i chat, data hentes ad hoc fra konsoller, og fund markeres i værktøjer, der ikke eksporterer konteksten. Når en sagkyndig senere skal vurdere, hvad der skete, og hvem der bar ansvaret, er det netop konteksten, der mangler.
Overdragelsen er det tidspunkt, hvor materialet fryses. Hvad der ikke overdrages, kan være væk få uger senere, fordi EDR-telemetri og SIEM-data har begrænset opbevaring, og fordi IR-leverandørens egne arbejdsdata kan blive slettet, når opgaven er afsluttet. Hvornår det sker, afhænger af den konkrete kontrakt, så spørg ind til det, før opgaven lukkes.
Det, der skal med
- Indgrebslog · Indhold: Alle handlinger med tidspunkt, system, konto og udførende · Hvorfor: Skiller forsvarernes spor fra angriberens
- Beslutningslog · Indhold: Hvem besluttede hvad, og hvornår · Hvorfor: Forklarer, hvorfor data blev ændret eller slettet
- Images og kopier · Indhold: Disk- og RAM-kopier, cloud-snapshots, med hashværdier · Hvorfor: Grundlaget for uafhængig analyse
- Logeksporter · Indhold: SIEM, firewall, VPN, Entra ID, auditlogs, i oprindeligt format · Hvorfor: Gør det muligt at gentage søgninger
- EDR-data · Indhold: Alarmer, proces- og netværkstelemetri, isolationshistorik · Hvorfor: Viser forløbet på endpoints
- IOC-liste · Indhold: Hashværdier, domæner, IP-adresser, filnavne, konti · Hvorfor: Gør fundene søgbare i andre kilder
- Arbejdsnoter · Indhold: Analytikernes noter, hypoteser, afviste spor · Hvorfor: Viser, hvordan konklusionerne er nået
- Tidsoplysninger · Indhold: Tidszone og urafvigelse for hver kilde · Hvorfor: Forudsætning for en korrekt tidslinje
- Rapporter · Indhold: Foreløbige og endelige rapporter, også udkast med ændrede konklusioner · Hvorfor: Viser udviklingen i forståelsen
Indgrebsloggen
Det vigtigste enkeltdokument er loggen over indgreb. Uden den kan en sagkyndig ikke skelne IR-teamets handlinger fra angriberens. En nulstillet adgangskode, en dræbt proces eller en slettet planlagt opgave ligner i data en del af angrebet, hvis det ikke er noteret, hvem der gjorde det. Hvordan loggen føres, er beskrevet i log over indgreb under incident response.
Rådata frem for skærmbilleder
Skærmbilleder fra en konsol kan illustrere, men de kan ikke efterprøves. Overdrag eksporter i det format, kilden leverer: EVTX-filer, JSON fra API’er, CSV fra auditlogs, PCAP fra netværksopsamling. Notér, hvordan hver eksport er lavet: værktøj, kommando eller menuvalg, filtre, tidsrum og konto.
Hashværdier
Alt, der overdrages, skal have en hashværdi beregnet ved sikringen og igen ved overdragelsen. For mange filer bruges et hashmanifest, se hashmanifest for filsamlinger. Hvis en kopi er lavet uden hashværdi, så sig det, og beregn den nu, så materialet i det mindste er låst fra overdragelsen.
Det, der er ændret
En uvildig sagkyndig skal vide, hvad der ikke længere er i oprindelig tilstand. Beskriv:
- systemer, der er geninstalleret, gendannet fra backup eller slukket
- konti, der er nulstillet, blokeret eller slettet
- regler, opgaver, tjenester og filer, der er fjernet som led i oprydningen
- logindstillinger, der er ændret under hændelsen, fx øget logning eller nye opbevaringspolitikker
- isolering via EDR og tidspunktet for den
Dette er ikke kritik af IR-teamet. Det er nødvendige oplysninger for at kunne afgøre, hvilke spor der stammer fra før og efter indgrebene.
Tidszoner og ure
Logkilder skriver tid på forskellige måder: UTC, lokal tid med eller uden sommertid, eller enhedens egen urtid. IR-teamet har ofte normaliseret tiderne i et værktøj undervejs, men den sagkyndige skal kende udgangspunktet for hver kilde. Angiv tidszone og eventuel kendt urafvigelse for hver eksport. Se sommertid og tidszoner i rapporten.
Hvad der er konkluderet, og med hvilken sikkerhed
IR-rapporter blander ofte bekræftede fund, sandsynlige forklaringer og formodninger. Til overdragelsen er det nyttigt at markere, hvad der er bekræftet i data, hvad der er udledt, og hvad der ikke er undersøgt. Den sagkyndige skal ikke gentage IR-teamets arbejde, men skal vide, hvor det står stærkt, og hvor det står svagt. Hvad der typisk mangler i en IR-rapport, når den skal bruges i en tvist, er gennemgået i IR-rapporten som bevis.
Hvornår overdragelsen skal ske
Jo tidligere, jo bedre. Den bedste løsning er, at den uvildige kobles på, mens hændelsen stadig håndteres, så sikringen kan ske parallelt med inddæmningen. Så kan den sagkyndige selv tage kopier af de mest flygtige kilder og få IR-teamets eksporter løbende. Kommer den sagkyndige først ind, når driften er genoprettet, er en del af sporene ofte væk, og overdragelsen bliver en rekonstruktion.
Aftal derfor allerede ved hændelsens start, om der kan blive en sag, og hvem der i givet fald skal have materialet. Det koster ikke IR-teamet meget at gemme en ekstra eksport, men det kan være umuligt at genskabe den bagefter.
Persondata og fortrolighed i materialet
IR-materiale indeholder ofte store mængder persondata: mails, filnavne, brugernavne, IP-adresser og i værste fald indholdet af de data, angriberen fik fat i. Overdrag kun det, sagen kræver, og notér, hvad der er udeladt. Adgangen til materialet hos modtageren bør være begrænset og logget, og der bør være aftalt, hvornår det slettes.
Pakning og overførsel
- Saml materialet i en struktur med én mappe pr. kilde og et indholdsregister.
- Krypter samlingen, og send nøglen ad en anden kanal end data.
- Brug en overførselsmetode med kvittering, fx en aftalt delingsløsning med logning eller et fysisk medie med overdragelsesformular.
- Lad modtageren genberegne hashværdierne og kvittere.
IR-teamets rolle bagefter
Overdragelsen afslutter ikke IR-teamets rolle. Den sagkyndige vil typisk have opklarende spørgsmål, og IR-analytikere kan senere blive bedt om at forklare deres handlinger. Det er en fordel, at kontaktpersoner er aftalt, og at IR-teamet gemmer sin egen kopi af det overdragne materiale.
Nielco IT har indsigt i og erfaring med incident response og hackerangreb og sikrer uvildigt ved siden af kundens IR-leverandør. Det betyder, at den sagkyndige kan læse IR-teamets materiale på dets egne præmisser og samtidig vurdere det udefra.
Når materialet er ufuldstændigt
Det er normalt, at noget mangler. En hændelse under tidspres efterlader huller. Det vigtige er, at hullerne er beskrevet: hvad der ikke blev sikret, hvorfor, og om det kan hentes andetsteds. En ærlig liste over mangler er mere værd end en overdragelse, der ser komplet ud, men ikke er det.
Kilder og versioner
- NIST SP 800-61 Rev. 3: Incident Response Recommendations and Considerations
- RFC 3227: Guidelines for Evidence Collection and Archiving
- ISO/IEC 27037:2012: Guidelines for identification, collection, acquisition and preservation of digital evidence
Senest gennemgået: oktober 2026.
Næste skridt
- Cyberforsikringen: de tekniske leverancer, forsikringsselskabet beder om
- Forsikringstvist: dokumentation af sikkerhedsniveauet før hændelsen
- Persondatabrud på 72 timer: de tekniske fakta, der skal være fastlagt
Del af: Undersøgelse efter et hackerangreb
Læs også: NIS2: varsling og rapporter set fra logkilderne · Bevissikringstrin i jeres IR-playbooks
→ Undersøgelse efter et hackerangreb · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
