Proxy- og webfilterlogs

Forside › Netværk og logs · Gennemgået oktober 2026 · Af John Nielsen

En proxy- eller webfilterlog registrerer de webforespørgsler, der passerede gennem virksomhedens proxy eller sikre webgateway: hvornår, fra hvilken enhed eller bruger, til hvilket domæne, med hvilket resultat og ofte med hvilken datamængde. Den kan derfor vise trafik til en privat cloudtjeneste eller en webmail, som ikke efterlader spor i virksomhedens egne systemer. Men hvor meget loggen viser, afhænger af to forhold: om proxyen inspicerer krypteret trafik, og om trafikken overhovedet gik gennem den. Uden TLS-inspektion ser proxyen typisk kun domænenavnet, ikke stien, og en kategori som “fildeling” er leverandørens klassificering af domænet, ikke en beskrivelse af, hvad brugeren gjorde.

Typer af proxy og webfilter

Eksplicit proxy: Browseren eller systemet er sat op til at sende webtrafik til proxyen. Brugeren godkendes ofte, så loggen kan indeholde brugernavn.
Transparent proxy eller webfilter i firewallen: Trafikken opsnappes på netværket uden opsætning på klienten. Loggen har typisk kun klientens IP-adresse.
Cloudbaseret sikker webgateway: En agent på enheden sender trafikken til en cloudtjeneste, også når enheden er uden for kontoret. Logs fra SASE- og ZTNA-løsninger er beskrevet i SASE, ZTNA og cloudproxy. Loggen kan indeholde bruger, enhed og placering.
DNS-baseret filter: Filtrerer på domænenavne via DNS og ser kun opslag, ikke forbindelser. Se DNS-logs som spor.

Felterne

Tidspunkt · Hvornår forespørgslen blev behandlet
Klient · IP-adresse, brugernavn eller enhedsnavn
Metode · Fx GET, POST, PUT eller CONNECT
Destination · Domæne eller fuld adresse, afhængigt af inspektion
Statuskode · Serverens eller proxyens svar
Bytes · Sendt og modtaget
Kategori · Leverandørens klassificering af domænet
Handling · Tilladt, blokeret, advaret
Brugeragent · Den klient, der sendte forespørgslen
Indholdstype · Fx tekst, billede eller binær fil

TLS-inspektion og hvad den ændrer

Næsten al webtrafik er krypteret. Uden inspektion opretter klienten en tunnel gennem proxyen med CONNECT, og proxyen ser kun domænenavnet og evt. servernavnet fra TLS-forhandlingen. Loggen viser da én linje pr. tunnel med det samlede antal bytes og ingen oplysninger om sider, filer eller handlinger.

Med TLS-inspektion dekrypterer proxyen trafikken, så den kan se fuld adresse, metode og indholdstype. Loggen viser da de enkelte forespørgsler, fx en POST til en upload-adresse hos en cloudtjeneste. Mange virksomheder undtager bevidst kategorier som bank, sundhed og offentlige tjenester fra inspektion af hensyn til privatliv, og nogle apps fungerer ikke med inspektion og er derfor undtaget. Gem undtagelseslisten; den forklarer, hvorfor noget mangler.

Kategorier

Webfiltre klassificerer domæner i kategorier ud fra leverandørens database. Kategorien er nyttig til at finde relevante linjer, men den har begrænsninger:

Klassificeringen kan være forkert eller forældet.
Et domæne kan dække mange funktioner. En stor platform kan rumme både webmail, dokumenter og fildeling.
Leverandøren kan ændre kategorien over tid, og loggen viser normalt kategorien på tidspunktet for forespørgslen.

Skriv derfor aldrig “medarbejderen brugte fildeling” ud fra en kategori alene. Skriv, at der var trafik til et bestemt domæne, som filteret klassificerede som fildeling, og undersøg domænet selv.

Én side, mange linjer

Et enkelt sidebesøg genererer ofte snesevis eller hundredvis af forespørgsler: billeder, scripts, skrifttyper, reklamer, målinger og indhold fra andre domæner. Dertil kommer trafik i baggrunden fra opdateringer, synkronisering, sikkerhedsprodukter og åbne faner, der opdaterer sig selv. Antallet af linjer siger derfor lidt om brugeraktivitet, og tiden mellem første og sidste linje til et domæne er ikke det samme som tid brugt på siden.

Find den forespørgsel, der svarer til brugerens handling, fx hovedsiden eller en upload, og se på konteksten omkring den. Forskellen mellem system- og brugeraktivitet er behandlet i Systemet eller brugeren?.

Upload og datamængder

Ved mistanke om upload til en privat tjeneste er de vigtigste spor POST- eller PUT-forespørgsler til tjenestens upload-adresser og antallet af bytes sendt fra klienten. Uden TLS-inspektion er der kun bytes sendt pr. tunnel, hvilket kan antyde upload, men ikke vise hvilke filer. Sammenhold med endpointets spor, fx browserhistorik og filadgang; se Upload til privat cloud og Browserhistorik som bevis.

Brugernavn og enhed i loggen

Om loggen indeholder et brugernavn, afhænger af, hvordan proxyen identificerer klienten. Ved eksplicit proxy med godkendelse er det den konto, browseren godkendte med, typisk den indloggede Windows-bruger. Ved transparent filtrering kobler mange produkter IP-adressen til en bruger via domænecontrollerens loginhændelser. Den kobling kan være forældet, hvis en anden bruger logger på samme computer, eller hvis adressen skifter enhed. På terminalservere og virtuelle skriveborde deler mange brugere samme IP-adresse, og uden godkendelse pr. bruger kan trafikken ikke fordeles på personer.

Ved cloudbaserede gateways med en agent står ofte både bruger og enhed. Kontrollér stadig afgørende linjer mod enhedens egne spor, fordi agentens identifikation kan være knyttet til en tidligere logget bruger.

Blokeringer og advarsler

Blokerede forespørgsler er ofte lige så interessante som tilladte. Gentagne forsøg på at nå en blokeret tjeneste, efterfulgt af trafik til en anden tjeneste i samme kategori eller af trafik uden om proxyen, kan være et mønster, der peger videre. Men blokeringer opstår også automatisk, når en side indlæser elementer fra blokerede domæner, uden at brugeren har gjort noget aktivt.

Trafik uden om proxyen

Proxyen ser kun den trafik, der går gennem den. Typiske huller:

bærbare computere uden for kontoret, hvis der ikke er en cloudagent,
mobiltelefoner på mobilnettet,
apps, der går direkte på nettet uden om systemets proxyindstillinger,
trafik, der er undtaget af hensyn til ydelse, fx til store SaaS-tjenester,
krypteret DNS og protokoller, proxyen ikke håndterer.

Sikring

Eksportér loggen for perioden fra proxyen, webfilteret eller cloudportalen i rå form.
Gem konfigurationen: TLS-inspektion og undtagelser, kategorier og politikker, godkendelse af brugere og hvilke enheder der var omfattet.
Notér databasens version for kategorier, hvis den kan ses.
Hent supplerende logs fra firewall og DNS for samme periode. Se Firewall-logs teknisk.
Beregn hashværdier.

Privatliv og proportionalitet

Proxylogs indeholder meget om den enkeltes private færden på nettet. Afgræns gennemgangen til de domæner, tidsrum og spørgsmål, sagen handler om, og frasortér private kategorier, der ikke er relevante. Om og hvornår en arbejdsgiver må se sådanne data, er beskrevet i Må vi se medarbejderens browserhistorik?.

Hvad loggen kan og ikke kan bevise

En proxylog kan vise, at en klient eller bruger havde trafik til bestemte domæner på bestemte tidspunkter, om trafikken blev tilladt eller blokeret, og hvor meget data der gik hver vej. Med TLS-inspektion kan den vise konkrete adresser og metoder. Den kan ikke vise indholdet af filer, hvad brugeren så eller skrev, eller trafik, der gik uden om proxyen.

Dokumentation

Angiv produkt, version, inspektionsindstillinger og undtagelser, kategoridatabasens version, tidszone, periode, eksportmetode, filtre og hashværdier. Skeln i rapporten mellem domæne, kategori, forespørgsel og brugerhandling. Beskriv også, hvilke enheder og hvilken trafik der ikke var omfattet af proxyen i perioden, så læseren kan vurdere, hvad fravær af linjer betyder.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Netværk og logs

Læs også: VPN-logs: sessioner, tildelte adresser og datamængder · NetFlow og pakkeopsamling i civile undersøgelser

→ Logundersøgelse · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik