...
Skabelon: handlingslog under en hændelse
En handlingslog registrerer, hvad IT-afdelingen, MSP’en og incident response-teamet selv gør på systemerne under en hændelse: hvem loggede ind hvor, hvilke konti blev spærret, hvilke maskiner blev isoleret, og hvilke værktøjer blev kørt. Uden den kan det bagefter være umuligt at skelne egne indgreb fra det, hændelsen eller sagen handler om. Skabelonen er enkel med vilje, så den faktisk bliver brugt, mens det står på.
Hent skabelonen
Excel (XLSX) · CSV: handlinger · CSV: beslutninger
Fri brug uden tilmelding. CSV-filerne bruger semikolon og UTF-8, så de åbner korrekt i dansk Excel. Eksempelrækkerne er fiktive og kan slettes.
Hvorfor egne handlinger skal logges
Under en hændelse logger systemerne alt, hvad IT-afdelingen gør: logins med administratorkonti, nulstillede adgangskoder, slettede regler, kørte scanninger og genstartede servere. I systemets egne logs ser de handlinger ud som alle andre. Hvis det bagefter skal fastlægges, hvad en angriber eller en medarbejder gjorde, skal de egne handlinger kunne trækkes fra. Det kan kun lade sig gøre, hvis de er skrevet ned med tid, konto og system. Handlingsloggen er også den bedste beskyttelse for IT-afdelingen selv, hvis det senere bliver diskuteret, om hændelsen blev håndteret korrekt.
Sådan bruger du skabelonen
- Udpeg én person som logfører fra første time. Det behøver ikke være den mest tekniske; det skal være en, der skriver ned.
- Én linje pr. handling. Hellere for mange linjer end for få.
- Skriv klokkeslæt med tidszone, og brug samme ur hele vejen, fx den bærbare computers ur synkroniseret med internettid.
- Notér også det, der ikke lykkedes, og beslutninger om ikke at gøre noget.
- Gem loggen uden for de berørte systemer, fx på papir, en separat enhed eller en ikke-berørt cloudtjeneste.
- Afslut og lås loggen, når hændelsen er lukket, og læg den sammen med sikringsrapporten.
Hvorfor loggen er afgørende, og hvad den skal kunne bruges til, er beskrevet i Log over indgreb under incident response.
Skabelonen
Hoved
- Hændelse (kort beskrivelse):
- Logfører (navn, rolle, organisation):
- Start af log (dato, tid, tidszone):
- Tidskilde (hvilket ur bruges):
- Deltagere (navn, rolle, organisation):
Felter pr. linje
- ☐ Løbenummer
- ☐ Dato og tid (med tidszone)
- ☐ Udført af (navn, organisation)
- ☐ System eller enhed (hostnavn, konto, tenant)
- ☐ Handling (fx isoleret fra netværk, nulstillet adgangskode, eksporteret log, kørt scanning)
- ☐ Konto brugt til handlingen
- ☐ Værktøj eller kommando (navn, ikke nødvendigvis fuld syntaks)
- ☐ Formål
- ☐ Resultat (lykkedes, fejlede, delvist)
- ☐ Ændrer handlingen data på systemet: ja / nej / måske
- ☐ Reference til bevis-id eller sikring, hvis relevant
Beslutninger
Notér væsentlige beslutninger for sig:
- ☐ Tidspunkt
- ☐ Beslutning (fx sluk ikke serveren før image, genopret fra backup)
- ☐ Truffet af
- ☐ Begrundelse
Afslutning
- Log afsluttet (dato, tid):
- Afsluttet af:
- Hashværdi for den afsluttede log (hvis den er elektronisk):
Typiske fejl
- Loggen starter for sent. De første timer er de vigtigste og de mest kaotiske. Start loggen, før I ved, hvor alvorligt det er.
- Konti og værktøjer mangler. Det skal fremgå, hvilken administratorkonto der blev brugt, fordi den optræder i systemets egne logs.
- Isolering og genopsætning registreres ikke. EDR-isolering, scanninger og genstarter ændrer artefakter. → Isolering og genopsætning
- Flere logs parallelt. IT og MSP fører hver sin log, som ikke kan samles. Aftal én fælles log.
- Loggen ligger på et berørt system og går tabt eller bliver mistænkelig.
Tilpasning
Ved ransomware og større hændelser, hvor bevissikring og genopretning foregår samtidig, kan loggen opdeles pr. system eller pr. team, men med fælles tidskilde og løbenumre. → Ransomware: bevissikring parallelt med genopretning
Skal hændelsen dokumenteres over for en cyberforsikring, er handlingsloggen ofte et af de første dokumenter, der efterspørges. → Cyberforsikringen: de tekniske leverancer
Relateret
Brug for en forensisk undersøgelse?
Skriv kort, hvilke systemer eller enheder det drejer sig om, og om noget haster, så vender jeg tilbage. Kun civile sager.
