En central logopsamling samler logs fra mange systemer ét sted, så de kan søges og sammenholdes. Gennemgangen kontrollerer, om de rigtige kilder er koblet på, om data kommer ind med de felter, der skal til, og om opsamlingen selv er sat op til at holde.
Det almindelige hul er en kilde, der står som tilsluttet, men hvis data ikke kan bruges. Den slags fejl viser sig ikke på en statusside. De viser sig, når nogen prøver at følge et spor og ikke kan.
To danske målestokke, der siger noget forskelligt
SAMSIK’s vejledning om logning anbefaler, at organisationen etablerer et system, der samler alle logs ét centralt sted, og at gennemgangen af logs er understøttet af værktøjer, fx et SIEM-system. Vejledningen nævner også, at en ekstern leverandør kan gennemgå logs periodisk eller i realtid.
Vejledningen til de statslige tekniske minimumskrav siger det modsatte for sit eget område. Der stilles ikke krav om central opsamling eller overvågning af logdata, og heller ikke om, at logs opbevares online. Kravene er obligatoriske for statslige myndigheder og handler om, at der logges. De binder ikke private virksomheder.
Forskellen er reel. Den ene er en anbefaling om god praksis, den anden et minimumskrav, der bevidst er holdt smalt. For en privat virksomhed betyder det, at central opsamling er et valg, I træffer ud fra jeres risiko, og at SAMSIK anbefaler den.
For de omfattede enheder peger bilaget til forordning 2024/2690 samme vej som SAMSIK. Punkt 3.4.2, litra d, beder om en fast fremgangsmåde for at korrelere og analysere logfiler, og punkt 3.2.6 om reservesystemer til overvågning og logning, hvis tilgængelighed overvåges uafhængigt.
Koblet på eller læst rigtigt?
SAMSIK anbefaler at teste loggene: om logningen er korrekt, om de rigtige data gemmes, og om man kan identificere, hvem der har gjort hvad hvornår. Det er den test, gennemgangen gentager kilde for kilde.
Et tænkt eksempel på testen: vælg en kendt handling, fx at en bestemt bruger loggede på VPN i går formiddags. Søg efter den i opsamlingen. Kan I finde den med brugernavn, tidspunkt og ekstern IP, er kilden læst rigtigt. Finder I hændelsen, men uden brugernavn, eller med et tidspunkt, der er en time forkert, er kilden koblet på, men ikke læst rigtigt.
SAMSIK nævner også en bestemt fejl: at klienters rigtige IP-adresser er erstattet af proxyens. Så ser al webtrafik ud til at komme fra samme maskine, og et opslag på en mistænkelig adresse kan ikke føres tilbage til en klient. Kontrollér det ved at finde en kendt klients trafik i proxyloggen.
Typiske fejl i opsætningen
Ud over det, vejledningen nævner, kan en gennemgang se efter en række fejl, som er almindelig praksis at kontrollere. De er ikke beskrevet i en målestok, men de er lette at efterprøve:
- Kilder, der leverer i et format, opsamlingen ikke fortolker, så felterne havner i én lang tekststreng.
- Kilder med forkert tidszone eller uden tidssynkronisering.
- Kilder, der er stoppet med at levere, uden at nogen har opdaget det.
- Filtre, der smider hændelser væk for at spare plads, og som også fjerner dem, der er brug for.
- Opbevaringstid i opsamlingen, der er kortere end den, logpolitikken nævner.
For hver kilde kan fundet skrives i samme form: kilde, forventet indhold, faktisk indhold, og hvad der skal rettes.
Opsamlingen selv
Opsamlingen er et system som alle andre. Den skal have adgangsstyring, opdateringer og backup. Og den skal være adskilt fra de systemer, den samler fra, så en administrator af kildesystemerne ikke også kan slette det, der er samlet. Bilagets krav om, at tilgængeligheden overvåges uafhængigt, betyder i praksis, at nogen skal opdage det, hvis opsamlingen går ned eller fyldes op.
Gennemgangen trækker derfor også listen over administratorer af opsamlingen, dens opbevaringsindstilling og dens ledige plads.
Når en ekstern part læser loggene
SAMSIK nævner muligheden for, at en ekstern leverandør gennemgår loggene. Så skal gennemgangen også se på, hvilke kilder leverandøren faktisk modtager, og om aftalen svarer til listen over kilder, der skal levere. Den afstemning er beskrevet nærmere i artiklen om overvågningsleverandørens dækning. For den interne opsætning er pointen, at det, der ikke kommer ind i opsamlingen, heller ikke bliver set af nogen udefra.
Søgning som daglig rutine
En opsamling, der kun bruges efter en hændelse, bliver sjældent testet. Det er almindelig praksis at lade driften bruge den i det daglige, fx til fejlsøgning på netværk eller logon. Så bliver huller i kilderne opdaget af dem, der har brug for data, længe før en sikkerhedshændelse gør dem kritiske.
Hvad det kræver, og hvad det koster at lade være
Gennemgangen kræver læseadgang til opsamlingen, en liste over de kilder, der skal levere, og nogle få kendte handlinger at søge efter. Rettelserne er ofte konfiguration i opsamlingen eller i kilden.
Uden gennemgangen kan I have en omfattende opsamling, der ser fuld ud, men som ikke kan svare på det enkleste spørgsmål efter en hændelse. Det opdages typisk på det værst tænkelige tidspunkt.
Det skal I lade være med
- At læse statussiden som bevis for, at kilden virker · søg efter en kendt hændelse.
- At filtrere hændelser væk uden at vide, hvad der forsvinder · notér, hvad hvert filter fjerner.
- At lade opsamlingen administreres af de samme, som administrerer kilderne · så kan sporet slettes to steder.
Det skal gennemgangen kunne vise
- ☐ En liste over kilder, der skal levere, holdt op mod dem, der faktisk gør.
- ☐ En test pr. kilde, hvor en kendt handling er fundet med de rigtige felter.
- ☐ Kontrol af, at klienters rigtige IP-adresser er med i proxy- og webloggen.
- ☐ Opsamlingens opbevaringstid, administratorer og overvågning af dens tilgængelighed.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 8-9, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.6, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.6 og 3.4.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg tre handlinger fra i går, som I ved er sket, og søg efter dem i opsamlingen med brugernavn og tidspunkt.
Læs også: Beskyttelse af loggen mod administratoren selv · Alarmer: findes reglerne, og reagerer nogen?
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
