Power Automate og Logic Apps som skjult dataflow

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Et automatiseret flow kan sende kopier af mails til en ekstern adresse, kopiere filer fra SharePoint til en privat cloud eller sende data videre til en tredjepartstjeneste, uden at der findes en indbakkeregel eller en videresendelse på postkassen. Den klassiske kontrol af regler og forwarding finder det ikke. Flows skal derfor undersøges særskilt, og kørselshistorikken skal sikres hurtigt, fordi den som standard kun gemmes i 28 dage.

Haster det? Kørselshistorikken forsvinder efter 28 dage, og et slettet flow kan kun genskabes i 21 dage. Se akut forensisk sikring; hastesager koster ekstra.

Artiklen gennemgår, hvor flows ligger, hvilke spor de efterlader, og hvordan de sikres. Kontrollen af indbakkeregler er beskrevet i Indbakkeregler og videresendelse.

Hvorfor flows overses

Power Automate er en del af mange Microsoft 365-licenser, og almindelige brugere kan oprette flows uden administratorens medvirken. Et flow kører i brugerens navn via forbindelser (connections), der er godkendt én gang, og fortsætter med at køre, til det slås fra, slettes eller forbindelsen udløber.

Typiske mønstre i sager om dataudtræk:

Når der kommer en ny mail, send en kopi til en ekstern adresse.
Når en fil oprettes eller ændres i en mappe, kopiér den til en personlig cloudtjeneste.
Gem vedhæftninger i en mappe, der deles eksternt.
Send indhold fra Teams eller Forms til en webhook.

Mails sendt af et flow ligner almindelige afsendte mails i message trace, men de findes ikke nødvendigvis i Sendt post, og de er ikke skabt af en regel. Afsenderen er brugerens postkasse; flowet er det, der står bag.

Logic Apps er Azure-tjenesten bag samme teknologi. Den bruges af IT-afdelinger og leverandører til integrationer og kræver adgang til et Azure-abonnement. I sager om en administrator eller en leverandør med bred adgang er Logic Apps lige så relevant som Power Automate.

Hvor flows findes

Cloud flows i Power Automate · Placering: Et Power Platform-miljø, typisk standardmiljøet · Hvem kan se dem: Ejeren, medejere og Power Platform-administratorer
Løsningsbevidste flows · Placering: Dataverse i det pågældende miljø · Hvem kan se dem: Som ovenfor, plus adgang via Dataverse
Desktop flows · Placering: Dataverse og den computer, de kører på · Hvem kan se dem: Ejeren og administratorer
Logic Apps · Placering: Azure-ressourcegruppe · Hvem kan se dem: Brugere med rettigheder til abonnementet

En administrator kan via Power Platform-administrationscentret eller modulet Microsoft.PowerApps.Administration.PowerShell liste alle flows i et miljø med ejer, status, oprettelses- og ændringstidspunkt. Cmdleten Get-AdminFlow kan skrive listen til CSV, og Get-AdminFlowOwnerRole viser ejere pr. flow. Selve definitionen kan eksporteres som løsning eller, for flows uden for en løsning, som pakke fra portalen, så triggere, handlinger og modtageradresser kan dokumenteres. Eksportmulighederne ændres løbende, så notér, hvilken vej der blev brugt.

Glem ikke forbindelserne. De viser, hvilke tjenester flowet bruger, fx Outlook, OneDrive, en privat Gmail-konto eller en generisk HTTP-forbindelse. En forbindelse til en personlig konto hos en anden udbyder er i sig selv et vigtigt fund.

Politikker for forbindelser

Mange organisationer har datapolitikker i Power Platform, der styrer, hvilke forbindelser der må kombineres i samme flow, fx at Outlook ikke må bruges sammen med private cloudtjenester eller generiske HTTP-kald. Politikkerne er et vigtigt spor i sig selv. Sikr den gældende konfiguration og dens ændringshistorik, for den viser, om et flow overhovedet kunne sende data ud på det tidspunkt, sagen drejer sig om, og om nogen har ændret politikken undervejs. Var der ingen politik, er det også en oplysning, der hører med i rapporten, fordi den forklarer, hvorfor flowet kunne køre uhindret.

Ledelsens første skridt ved mistanke om videresendelse er beskrevet på Videresendelsesregler i mailen; flows er det spor, der skal med i samme gennemgang.

Hvad Purview logger

Auditloggen registrerer flowets livscyklus: oprettet, redigeret, slettet og ændrede rettigheder, fx når en medejer tilføjes. Posterne indeholder bruger, tidspunkt i UTC, klientens IP-adresse og navnene på de forbindelser, flowet havde på tidspunktet for hændelsen. Logningen forudsætter, at revision er aktiveret for Power Platform-miljøerne.

Loggen indeholder ikke de enkelte kørsler, handlinger eller kald til forbindelser. At et flow fandtes og var aktivt, viser ikke, at det faktisk har sendt noget. Det kræver kørselshistorikken eller spor i de systemer, flowet skrev til. Auditloggen generelt er beskrevet i Unified Audit Log i Microsoft 365.

Kørselshistorikken

Hver kørsel registreres med tidspunkt, status, trigger og input og output for hver handling. Det er her, det fremgår, hvilken mail der blev sendt videre, eller hvilken fil der blev kopieret. Historikken vises i Power Automate i 28 dage og forsvinder derefter fra visningen.

For løsningsbevidste flows kan kørsler også gemmes som poster i Dataverse, hvor administratoren kan sætte opbevaringen til 28, 14 eller 7 dage eller slå funktionen fra. Organisationer med Application Insights kan have sendt kørselsdata til Azure, hvor opbevaringen følger arbejdsområdets indstillinger.

For Logic Apps afhænger kørselshistorikken af plantypen. Både Consumption og Standard gemmer som standard kørselshistorik i 90 dage regnet fra kørslens start. I Standard kan værdien ændres i indstillingerne, og oprydningen kører med mellemrum, så data kan være lidt ældre end grænsen. Den aktuelle indstilling bør noteres. Oprettelse og ændring af en Logic App registreres desuden i Azures aktivitetslog, se Azure: Activity Log, Monitor og Log Analytics.

Sikring

Lav en liste over flows i alle miljøer med ejer, status og datoer. Gem output med hash.
Eksportér definitionerne af de relevante flows, før de ændres eller slås fra.
Gem kørselshistorikken for de relevante flows, inklusive input og output for de handlinger, der sender eller kopierer data. Det kan gøres via portalen, via API eller fra Dataverse.
Søg i auditloggen efter oprettelse, redigering og sletning af flows for de berørte brugere.
Kør message trace for de eksterne modtagere, flowet sendte til, og søg filaktivitet i SharePoint og OneDrive for de mapper, det læste fra.
Sluk først flowet, når sporene er sikret, og notér tidspunktet.

Er en hændelse i gang, og sender flowet stadig data ud, kan det være nødvendigt at slå det fra med det samme. Dokumentér så tilstanden med skærmbilleder og eksport umiddelbart før.

Fejlkilder

Et flow kan være oprettet af en kollega eller en tidligere medarbejder og overtaget som medejer. Ejer i dag er ikke nødvendigvis den, der oprettede det.
Et flow i standardmiljøet kan være lavet ud fra en skabelon uden ond hensigt, fx for at gemme vedhæftninger, og alligevel sende data ud af organisationen.
Slettede flows kan kun genskabes af en administrator og kun inden for 21 dage efter sletningen (på tidspunktet for gennemgangen, oktober 2026). Get-AdminFlow med parameteren IncludeDeleted viser dem. Et genskabt flow er slået fra, og kørselshistorikken følger ikke nødvendigvis med.
Tidspunkter i portalen vises i brugerens tidszone, mens auditloggen bruger UTC.

Hvad sporene kan og ikke kan bevise

Flowets definition viser, hvad det var sat op til. Auditloggen viser, hvem der oprettede eller ændrede det og hvornår. Kørselshistorikken viser, hvad det faktisk gjorde. Først når de tre lag og modtagersystemets spor passer sammen, er dataflowet dokumenteret. Oprettelsen af et flow viser heller ikke i sig selv hensigten; formålet skal vurderes ud fra hele sammenhængen.

Ligner flowet led i en kompromittering, hvor en angriber har oprettet automatisering via en overtaget konto, hænger det sammen med app-tilladelser og sessioner, se OAuth-apps og samtykke-phishing.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Audit Standard eller Premium: hvad licensen betyder for undersøgelsen

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Tredjepartsbackup af Microsoft 365 som kilde · Audit Standard eller Premium: hvad licensen betyder for undersøgelsen

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-sikkerhed og SOC · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik