Tjekliste: logs at sikre i Microsoft 365 ved en hændelse

Forside › Tjeklister og skabeloner · Gennemgået oktober 2026 · Af John Nielsen

Ved en hændelse i Microsoft 365, fx en overtaget konto, mistanke om dataudtræk eller en medarbejder, der er stoppet under uklare forhold, skal en række logs sikres hurtigt. Flere af dem har kort opbevaring, og nogle af de spor, der viser angriberens adgang, forsvinder, når kontoen ryddes op. Denne tjekliste samler kilderne i den rækkefølge, de typisk bør sikres, med eksportvej og det, der skal noteres. Opbevaringstider og funktioner afhænger af licens og ændres løbende, så kontrollér dem i jeres tenant.

Haster det? Entra ID-loginlogs forsvinder efter 7 dage uden betalt licens, og kontoens regler, MFA-metoder og app-samtykker er væk, når kontoen ryddes op. Se akut forensisk sikring; hastesager koster ekstra.

Ledelsens forberedelse, altså de indstillinger, der bør være på plads før en hændelse, er beskrevet på bevissikring-digitalt.dk.

Først: ramme og forudsætninger

☐ Notér tenant-id, primære domæner og licenser, fordi licensen afgør, hvilke logs der findes, og hvor længe.
☐ Kontrollér, at auditlogning er slået til i organisationen.
☐ Afklar, hvem der eksporterer, med hvilken konto og hvilke roller. Brug en konto, der ikke er en del af hændelsen.
☐ Start et notat med klokkeslæt, tidszone og alle handlinger. Skriv tenantens tidszone og eksporternes tidszone, typisk UTC.
☐ Afgræns den periode, der skal sikres, bredt. Det er bedre at hente for meget end at skulle tilbage, når data er udløbet.

Inddæmning og sikring på samme tid

Ved en aktiv kompromittering skal adgangen lukkes hurtigt. Det kan ikke vente på en fuld sikring. Men nogle få trin kan normalt nås først eller samtidig:

☐ Dokumentér den kompromitterede kontos indbakkeregler, videresendelse, registrerede MFA-metoder, enheder og app-samtykker med eksport eller skærmbilleder, før de fjernes.
☐ Notér tidspunktet for nulstilling af adgangskode, tilbagekaldelse af sessioner og blokering, så handlingerne kan skelnes fra angriberens i loggene.
☐ Før en log over alle indgreb.

Sessioner kan leve videre efter et skift af adgangskode, og det har betydning både for inddæmningen og for fortolkningen bagefter.

Prioritering: det, der forsvinder først

Når tiden er knap, sikres kilderne i rækkefølge efter, hvor hurtigt de udløber, ikke efter hvor vigtige de virker:

Entra ID-loginlogs, især på tenants uden betalte Entra-licenser.
Message trace for de seneste dage.
Tilstanden på den kompromitterede konto: regler, videresendelse, MFA-metoder, enheder og app-samtykker, før oprydningen.
Unified Audit Log for den relevante periode.
Indhold i postkasser og OneDrive via hold.
Konfiguration og rolletildelinger.

Notér for hver kilde, hvor langt tilbage data rakte på eksporttidspunktet. Det er afgørende for at kunne forklare huller senere.

Unified Audit Log

☐ Søg og eksportér auditloggen for de relevante brugere og perioden via Purview eller PowerShell.
☐ Eksportér i rå form, så hele hændelsesdataen i hver post er med, ikke kun oversigtskolonnerne.
☐ Notér opbevaringen for jeres licens. På tidspunktet for gennemgangen (oktober 2026) var standarden 180 dage, og med den udvidede auditlicens et år for de centrale tjenester, med mulighed for længere opbevaring via tillægslicens.
☐ Kontrollér, at eksporten ikke er afskåret af maksimalt antal poster. Del søgningen op i kortere perioder, hvis den er.

Indhold og fortolkning er beskrevet i Unified Audit Log i Microsoft 365.

Entra ID

☐ Eksportér loginlogs for de relevante brugere: interaktive, ikke-interaktive, serviceprincipaler og managed identities, hvis relevant.
☐ Eksportér Entra ID’s auditlog over ændringer af brugere, grupper, roller, apps og godkendelsesmetoder.
☐ Eksportér risikohændelser og risikable brugere, hvis licensen har dem.
☐ Notér opbevaringen. Loginlogs opbevares kun kort i portalen, på tidspunktet for gennemgangen (oktober 2026) 7 dage uden betalt Entra-licens og 30 dage med P1 eller P2.
☐ Overvej at sende loggene videre til et lager med længere opbevaring fra nu af.

Fremgangsmåden er beskrevet i eksport af Entra ID-loginlogs.

Postkasser

☐ Hent indbakkeregler for de berørte postkasser, også skjulte regler, og notér oprettelsestidspunkter, hvor de findes.
☐ Hent postkassens indstillinger for videresendelse.
☐ Hent organisationens transportregler og forbindelser, hvis der er mistanke om ændringer på organisationsniveau.
☐ Hent rettigheder på postkasser: FullAccess, SendAs, SendOnBehalf og delegering.
☐ Kontrollér, om postkasse-auditering er slået til, og hvilke handlinger der logges.
☐ Søg efter MailItemsAccessed-hændelser, hvis licensen giver dem, for at afgrænse, hvilke mails der kan være læst.

Regler og videresendelse er beskrevet i indbakkeregler og videresendelse, og læste mails i MailItemsAccessed og mailbox-auditlog.

Mailflow

☐ Kør message trace for de berørte adresser i perioden, og eksportér resultatet.
☐ Bestil en udvidet rapport for perioder ud over de seneste 10 dage. Message trace rækker højst 90 dage tilbage, og rapporter for ældre data leveres som downloadfil, der kan tage timer at få.
☐ Sikr originale mails med headere for de centrale beskeder.

Message trace og transportlogs er beskrevet i message trace og transportlogs.

Bevarelse af indhold

☐ Sæt litigation hold eller en opbevaringspolitik på de berørte postkasser og OneDrive-konti, hvis indholdet kan blive relevant.
☐ Notér tidspunktet for hold, fordi data slettet før dette tidspunkt kan være væk.
☐ Brug ikke sletning eller oprydning i postkasser, før indholdet er bevaret.

Apps, enheder og konfiguration

☐ Eksportér app-samtykker og enterprise applications med tilladelser og tidspunkter.
☐ Hent registrerede og tilsluttede enheder for de berørte brugere.
☐ Hent MFA-metoder og ændringer i dem.
☐ Hent adgangspolitikker og eventuelle ændringer i perioden.
☐ Hent tildelinger af administratorroller og ændringer i dem.

Filer og samarbejde

☐ Søg filaktivitet i SharePoint og OneDrive i auditloggen: download, synkronisering, deling.
☐ Hent delingslinks og eksterne delinger for de relevante websteder.
☐ Sikr relevante Teams-chats og kanalbeskeder via eDiscovery, hvis de indgår.

Sikkerhedsprodukter

☐ Eksportér alarmer og hændelser fra Defender-produkterne for perioden.
☐ Hent tidslinjer for de berørte endpoints, hvis de er onboardet.

Hvis en administrator er involveret

☐ Brug en separat konto med de nødvendige roller, som den mistænkte administrator ikke har adgang til eller kan nulstille.
☐ Kontrollér, om auditlogning, opbevaringspolitikker eller diagnostiske indstillinger er ændret i perioden.
☐ Hent rolletildelinger og ændringer for alle administratorer, ikke kun den mistænkte.
☐ Overvej at få en uafhængig til at foretage eksporten, så den ikke foretages af kolleger, der kan have en interesse i sagen.

Dokumentation af eksporten

☐ Gem hver eksport i oprindeligt format med filnavn, der angiver kilde og periode.
☐ Notér portal eller kommando, parametre, konto og tidspunkt for hver eksport.
☐ Beregn SHA-256 for hver fil, og før en hashliste.
☐ Opbevar eksporterne uden for den kompromitterede tenant.

Hvordan kommandoer og scripts dokumenteres, så eksporten kan efterprøves, er beskrevet i eksport via Microsoft Graph og PowerShell.

Efter sikringen

☐ Kontrollér stikprøvevis, at eksporterne kan åbnes og indeholder den forventede periode og de forventede brugere.
☐ Notér huller: perioder, hvor data allerede var udløbet, og hændelsestyper, licensen ikke registrerer.
☐ Sæt en løbende eksport eller videresendelse op, hvis hændelsen kan fortsætte, så nye hændelser ikke går tabt.
☐ Overdrag eksporter, hashliste og notat samlet til den, der skal analysere, og registrér overdragelsen.

Typiske fejl

Kontoen slettes eller konverteres, før data er sikret.
Kun visningen i portalen gemmes, ikke de rå hændelsesdata.
Søgninger rammer et maksimum af poster, uden at det opdages.
Eksporter gemmes i den tenant, der er kompromitteret.
Opbevaringstiden kontrolleres først, når data allerede er udløbet.

Tjeklisten er ikke en analyse, og den er ikke udtømmende for alle tenants. Organisationer med egne integrationer, SIEM, tredjepartsbackup eller andre identitetsudbydere har flere kilder, som bør med, og de bør kortlægges i samme omgang. Tjeklisten sikrer, at datagrundlaget findes, når analysen skal laves, af jer selv eller af en IT-sagkyndig.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Tjeklister og skabeloner

Læs også: Tjekliste: forensisk sikring af en computer · Tjekliste: før reinstallation eller udskiftning af en maskine · Alle skabeloner og værktøjer

→ Tjeklister og skabeloner · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik