Logfiler er systemernes dagbog. Firewalls, VPN-løsninger og login-systemer registrerer, hvem der forbinder sig, hvornår og hvorfra. I civile sager kan de vise, at en tidligere medarbejder har logget på efter fratrædelsen, at store mængder data er sendt ud af netværket, eller hvornår en bruger var aktiv. Logs har dog én stor svaghed: De overskrives ofte hurtigt.
Typer af logs
- Login i Microsoft Entra ID eller Google · Hvem loggede ind, hvornår, fra hvilken IP-adresse og enhed
- VPN · Hvem forbandt sig til netværket, hvornår og hvor længe
- Firewall · Trafik ind og ud: hvilke adresser, hvor meget data
- Proxy og webfilter · Hvilke hjemmesider der er besøgt
- Servere · Logins og handlinger på servere
- Fjernadgang · Sessioner via fjernskrivebord og lignende
- Adgangskort · Fysisk adgang til bygninger, hvis systemet logger
Typiske spørgsmål, logs kan besvare
- Har en fratrådt medarbejder logget på efter sin sidste dag?
- Var en bruger logget ind, da en fil blev slettet?
- Er der sendt store mængder data til en ukendt adresse?
- Hvorfra loggede brugeren ind: kontoret, hjemmet eller udlandet?
Hvor længe gemmes logs?
Det varierer meget. Mange firewalls og servere gemmer kun logs lokalt i dage eller uger, før de overskrives. Cloudtjenester har faste opbevaringsperioder, der afhænger af licens. Nogle virksomheder sender logs til et centralt system (SIEM) med længere opbevaring. → Hvor længe gemmes data?
Er logs vigtige, så sikr dem med det samme. → Data, der forsvinder dag for dag
Sådan sikres logs
- Find ud af, hvor logs ligger: lokalt på udstyret, hos en leverandør eller i et centralt system.
- Eksportér logs for den relevante periode, gerne lidt bredere end nødvendigt.
- Gem i det oprindelige format, ikke kun som skærmbilleder.
- Beregn hashværdier for de eksporterede filer. → Hashværdier
- Notér systemets tidszone og om uret er synkroniseret. → Tidsstempler og tidszoner
- Dokumentér, hvem der har eksporteret, hvornår og hvordan. → Kæde af ansvar
IP-adresser
En IP-adresse viser, hvilken internetforbindelse der er brugt, ikke hvilken person. Hjemmeforbindelser kan have skiftende IP-adresser, og flere personer kan dele en forbindelse. At knytte en IP-adresse til en bestemt kunde hos en internetudbyder kræver normalt retslige skridt.
Logs hos leverandører
Administreres firewall eller VPN af en ekstern leverandør, så kontakt dem hurtigt. Bed om, at logs for perioden bevares, og om en eksport.
Logs er sjældent nok alene
En log viser, at en forbindelse har fundet sted. Kombineret med andre spor, for eksempel revisionsloggen i Microsoft 365 eller spor på computeren, kan den vise, hvad der skete. → Revisionslog i Microsoft 365
Uautoriseret adgang
Har en tidligere medarbejder logget på uden ret til det, kan det være en sag for politiet. Vi hjælper med sikring af logs til den civile sag og interne undersøgelser.
Nielco IT sikrer og analyserer logs i civile sager. Se Nielco IT.
