Digital forensics
på dansk
Et spor er kun et bevis, når metoden holder
En 4624-hændelse, en LastWrite-tid i NTUSER.DAT eller en linje i Unified Audit Log siger noget om et system. Den siger ikke af sig selv, hvem der gjorde hvad. Mellem artefakten og konklusionen ligger valg af sikringsmetode, verifikation med hash, normalisering af tidszoner og en vurdering af, om det var brugeren, synkroniseringen eller antivirus, der rørte filen. Det er dér, en teknisk rapport vinder eller taber, når en modpart sætter sin egen sagkyndige til at læse den.
digitalforensics.dk beskriver det håndværk på dansk: hvordan artefakter opstår, hvor de ligger, hvordan de sikres uden at blive ændret, og hvad de kan og ikke kan bære. Artiklerne er skrevet til folk, der selv sidder med konsollen, og sagerne er tvister og interne undersøgelser. → Læs mere
Platforme
- Windows: hændelseslogs, registreringsdatabasen, NTFS-journaler, Prefetch og USB-spor → Læs mere
- macOS og Linux: unified log, APFS-snapshots, journald og NAS → Læs mere
- iPhone og Android: backup, udtrækstyper, app-databaser og cloud-supplement → Læs mere · /android-forensik/
- Microsoft 365 og Entra ID: auditlog, loginlogs, postkasser og SharePoint → Læs mere
- Google Workspace, cloud og SaaS: Vault, CloudTrail, Activity Log og SSO-logs → Læs mere · /cloud-saas-forensik/
- Netværk og mail: firewall, VPN, DNS, headere og transportlogs → Læs mere · /mail-forensik/
Metode
Sikring, analyse og kvalitet har hver sin samleside: valget mellem image, logisk og målrettet indsamling på /sikringsmetoder/, tidslinjer, korrelation og fejlkilder på /analysemetoder/, og hash, bevislog, værktøjsverifikation og ISO/IEC 27037 på /kvalitet-og-standarder/. Skabeloner til bevislog, hash-log og handlingslog ligger under /skabeloner-tjeklister/.
Find jeres indgang
- IT-afdelingen: det, I selv kan sikre, og det, der skal ligge urørt → Læs mere
- MSP og IT-leverandør: kunden ringer, og leverandørens egne konti kan være en del af sagen → Læs mere
- IT-sikkerhed og SOC: incident response og bevissikring i samme hændelse → Læs mere
- IT-revision og DPO: logintegritet, audit trails og dataminimering → Læs mere
- Teknisk interesserede advokater og sagkyndige: fortolkning, konklusionsgrader og rapportgennemgang → Læs mere
Sådan foregår det
- Konflikttjek: I nævner organisation og parter, og først når der ikke er nogen binding, går samtalen videre til hændelsen.
- Afklaring: kilder, opbevaringstider og det, I allerede har gjort, gennemgås, så de mest flygtige data sikres først. → Når I ringer
- Sikring: på stedet eller på afstand, med hash, bevislog og værktøjer, den sagkyndige selv medbringer. Kører et IR-team allerede, sker det side om side. → Samarbejde med jeres IR-leverandør
- Overdragelse: hashlister og en sikringsrapport, som en modparts sagkyndige kan efterprøve. Hvem der modtager beviskopierne, ligger fast fra opgavens start.
Kort fortalt: en uvildig og uafhængig part uden forhandleraftaler med leverandører, bundet af tavshedspligt og med egne opgaver som IT-sagkyndig ved danske retskredse og UPC bag sig.
Når I har brug for en uvildig
Sitet drives af Nielco IT, som er konsulenten John Nielsen. Firmaet har eksisteret siden 2009, og bag det ligger over 30 år i IT-sikkerhed. I danske retskredse og hos UPC, Den Fælles Europæiske Patentdomstol, har John Nielsen selv optrådt som IT-sagkyndig. Der er intet produkt at sælge og ingen leverandøraftale at tage hensyn til, så en vurdering af jeres egen IT-drift eller af en modparts rapport farves ikke af et salg. Se, hvad en digital forensics-undersøgelse indeholder, eller få en second opinion på en teknisk rapport. Ved akutte sager kan John Nielsen være fremme på få timer, og den slags hastesager koster ekstra, jf. pris og tilbud hos Nielco IT. Ring 70 13 63 23.
Images, logs og arbejdsnoter er dækket af tavshedspligt, som kun domstolene kan bryde, og en NDA underskrives, hvis I beder om den.
Civile sager
Emnet er civile tvister og virksomheders interne undersøgelser. Politiets efterforskning og dens metoder behandles ikke, og der gives ingen vejledning i at omgå sikkerhed. Digital stalking er undtagelsen. Læs afgrænsningen.
