En log er kun et bevis, hvis den, der administrerer systemet, ikke også kan rette eller slette den uden at efterlade et spor. Kontrollen består i at finde ud af, hvem der kan ændre, slette eller slå logningen fra, og om loggen opbevares et sted, der står uafhængigt af det system, den beskriver.
Spørgsmålet er ubehageligt, fordi det handler om driftens egne folk. Men det handler lige så meget om en angriber, der har overtaget en administratorkonto. Den konto har de samme rettigheder som den medarbejder, den tilhører.
Hvad målestokkene siger
SAMSIK’s vejledning om logning skriver, at dataintegritet er et must. Ved generering, overførsel og opbevaring skal det ifølge vejledningen sikres, at logdata ikke kan manipuleres, og beskyttelsen skal også gælde medarbejdere med privilegerede rettigheder, eksterne samarbejdspartnere og udefrakommende. Vejledningen tilføjer, at ingen medarbejdere bør kunne manipulere med loggen, uden at det kan opdages, og at logs sikkerhedskopieres som andre følsomme oplysninger. Vejledningen siger selv, at beskyttelse af logdata ikke er dens hovedemne, men afsnittet om integritet er tydeligt.
I Cyberforsvar der virker anbefaler SAMSIK, at logs opbevares separat med begrænset adgang og gennemses regelmæssigt.
I forordning 2024/2690 handler tre bilagspunkter om det samme for de omfattede enheder. Punkt 3.2.5 beskytter logfiler og backups af dem mod uautoriseret adgang og ændringer. Punkt 3.2.3, litra k, beder om, at aktivering, standsning og pause af logningsprocesserne selv logges. Og punkt 3.2.6 siger, at tilgængeligheden af overvågnings- og logningssystemerne skal overvåges uafhængigt af de systemer, de overvåger.
DORA’s tekniske standard, artikel 12, kræver for finansielle enheder beskyttelse af logsystemer mod manipulation, sletning og uautoriseret adgang, også under overførsel, og foranstaltninger, der opdager svigt i logsystemerne.
Tre spørgsmål, gennemgangen stiller
Kontrollen kan samles i tre spørgsmål.
Hvem kan slette eller ændre loggen på kilden? På Windows hører rettigheden Manage auditing and security log til dette spørgsmål, sammen med de administratorgrupper, der kan tildele den. Træk listen over dem, der har rettigheden, på domænecontrollere og en stikprøve af servere.
Hvem kan slå logningen fra? Det kan være den samme gruppe, men det kan også være dem, der kan ændre gruppepolitikken, firewallens konfiguration eller lejerens auditindstilling. I Microsoft 365 logges en ændring af auditstatus selv, så en søgning kan vise, om den er slået fra og til igen.
Hvem kan ændre eller slette loggen, der hvor den opbevares? Ligger kopien hos en central opsamling, er det dens administratorer, der tæller. Er det de samme personer, som administrerer kildesystemerne, er der ingen reel adskillelse.
Adskillelsen i praksis
En simpel måde at se det på er at sammenligne to lister: administratorerne af kildesystemerne og administratorerne af stedet, hvor loggen opbevares. Overlappet er fundet. Et tænkt eksempel: tre driftsfolk er domæneadministratorer og har samtidig fuld adgang til opsamlingen. Den, der kan slette sporet på serveren, kan også slette kopien.
Adskillelsen kan opnås på flere måder. Loggen kan sendes til et sted, hvor kildens administratorer kun kan skrive og ikke slette. Adgangen til opsamlingen kan ligge hos andre personer. Eller sletning kan kræve to personer. Hvilken løsning der passer, er en vurdering. Det afgørende for gennemgangen er, at den kan påvises.
Når logningen stopper
Det sidste kontrolpunkt er, om nogen opdager, at logningen er holdt op. Den amerikanske #StopRansomware-guide anbefaler at kontrollere loggene regelmæssigt for, om data er slettet, eller logningen er slået fra. Bilagets krav om, at overvågningen af logsystemet sker uafhængigt af det overvågede, peger samme vej.
I praksis betyder det en regel hos opsamlingen, der reagerer, når en kilde har været tavs længere end normalt, og en regel for de hændelser, der viser, at en log er ryddet eller en revisionsindstilling er ændret. Om reglerne findes, og om nogen reagerer på dem, kan læses i historikken.
Backupkopien af loggen
SAMSIK anbefaler, at logs sikkerhedskopieres som andre følsomme oplysninger, og bilagets punkt 3.2.5 nævner backups af logfiler side om side med logfilerne selv. Kopien er altså en del af beskyttelsen, men den er også endnu et sted, hvor loggen kan rettes eller slettes. Se derfor efter, hvem der kan slette i backuppen af logopsamlingen, og om det er de samme personer, der administrerer kilderne. Er kopien beskyttet mod sletning i en fastsat periode, er det værd at notere i gennemgangen, fordi det er den stærkeste form for adskillelse, driften selv kan påvise.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver udtræk af gruppemedlemskaber og rettigheder på kilderne og hos opsamlingen. At etablere adskillelsen kan kræve ændringer i, hvem der administrerer hvad, og det er en ledelsesbeslutning.
Uden adskillelsen kan en undersøgelse ikke afvise, at loggen er rettet. Så mister den sin værdi som bevis, også når ingen har rørt den.
Det skal I lade være med
- At lade samme personer administrere kildesystemerne og logopsamlingen · så er der ingen reel adskillelse.
- At regne med, at et stop i logningen bliver opdaget af sig selv · det kræver en regel og en, der læser den.
- At glemme den kopi, der ligger i backup · den skal beskyttes på samme måde.
Det skal gennemgangen kunne vise
- ☐ En liste over dem, der kan slette eller ændre loggen på kilderne.
- ☐ En liste over administratorerne af logopsamlingen og overlappet mellem de to lister.
- ☐ Logning af, at logningen startes, stoppes eller ændres.
- ☐ En regel, der opdager, når en kilde holder op med at levere, og historik for, at den virker.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 8-9, læst 13. november 2026.
- SAMSIK, Cyberforsvar der virker, 4. udgave juli 2023, område 7, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.3, 3.2.5 og 3.2.6, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 12, stk. 2, litra d og e, læst 13. november 2026.
- CISA m.fl., #StopRansomware Guide, september 2023, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læg listen over domæneadministratorer ved siden af listen over administratorer af jeres logopsamling, og find overlappet.
Læs også: Ændringsloggen som bevis · Logning i lejeren
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
