Logs fra firewall, domænecontroller og lejer kan kun lægges sammen til ét forløb, hvis systemerne har samme tid. Kontrollen består i at se, hvor hvert system henter sin tid, hvor langt det er fra kilden, og hvilken tidszone loggen skrives i.
Kontrolpunktet virker teknisk og lille. Men hvis urene går skævt, kan en undersøgelse ikke afgøre, om en logon kom før eller efter en ændring i firewallen. Så er de andre logkrav opfyldt på papiret og ubrugelige i praksis.
Tre målestokke siger det samme
Kravet om fælles tid står i tre kilder, uafhængigt af hinanden.
SAMSIK’s vejledning om logning kalder tidsstempling afgørende og beskriver, at logoptegnelsen skal have en tidsstempling i UTC, synkroniseret fra en central tidsserver. Anbefalingen lyder, at organisationen bør anvende en fælles tidskilde og samme tidszone, UTC. Vejledningen er en anbefaling.
Forordning 2024/2690 beder i bilagets punkt 3.2.6 de relevante enheder om, så vidt det er muligt, at give alle systemer synkroniserede tidskilder, så logfiler kan sammenholdes. Det gælder for de enheder, forordningen omfatter, og er en målestok for andre.
Artikel 12 i den delegerede forordning 2024/1774, der udfylder DORA, kræver for finansielle enheder, at urene i alle IKT-systemer synkroniseres efter en dokumenteret pålidelig kilde til referencetid. Ordet “dokumenteret” er værd at bemærke. Kilden skal være skrevet ned, og det skal kunne vises, at systemerne bruger den.
Hvordan Windows får sin tid
I et Windows-domæne synkroniserer domænetilsluttede computere som standard gennem domænehierarkiet. Microsoft kalder typen NT5DS. Klienter og servere henter tid fra en domænecontroller, domænecontrollerne fra hinanden, og PDC-emulatoren i skovens roddomæne henter tid fra en ekstern kilde. Hele kæden afhænger altså af, at netop den ene maskine er sat rigtigt op.
Det giver kontrollen en naturlig rækkefølge. Begynd med PDC-emulatoren, og se, hvilken ekstern kilde den bruger. Gå derefter ned gennem hierarkiet med en stikprøve.
Kommandoerne
Windows har de nødvendige værktøjer indbygget i w32tm:
- w32tm /query /source viser, hvor maskinen henter sin tid.
- w32tm /query /status viser bl.a. seneste synkronisering og kildens niveau.
- w32tm /query /configuration viser den samlede opsætning, herunder typen.
- w32tm /monitor giver et overblik over domænecontrollerne i et domæne.
- w32tm /stripchart viser forskydningen mellem maskinen og en anden computer over tid.
- w32tm /tz viser maskinens tidszone.
NTP bruger UDP-port 123. Står der en firewall mellem PDC-emulatoren og den eksterne kilde, skal porten være åben netop dér, og helst kun dér.
Udstyret uden for domænet
Det svære er sjældent Windows. Det er alt det, der ikke er med i domænet: firewalls, switche, VPN-gateways, hypervisorer, lagersystemer, printere og cloudtjenester. Hvert af dem har sin egen tidsindstilling, og mange står med producentens standard.
En brugbar kontrol går gennem systemlisten og noterer for hver enhed to ting: hvilken tidskilde den er sat til, og hvilken tidszone den skriver logs i. Det sidste er vigtigt. Skriver firewallen i lokal tid og lejeren i UTC, er der en time eller to imellem hændelserne, og ved overgangen til og fra sommertid flytter forskellen sig. Det kan rettes i opsamlingen, men kun hvis nogen ved, at det skal.
Samme spørgsmål gælder tjenester i skyen. Her kan tidskilden sjældent ændres, men tidszonen i eksporterede logs kan aflæses, og den skal noteres.
Den eksterne kilde
Når PDC-emulatoren henter tid udefra, er valget af kilde en del af kontrollen. Notér, hvilken kilde der er sat op, om der er mere end én, og hvem der har besluttet det. En enkelt kilde, der forsvinder, efterlader domænet uden reference, og urene begynder langsomt at glide. Glidningen er lille fra dag til dag, men den vokser, og den opdages sjældent, før nogen sammenligner to logs.
Notér også, hvad der sker, når en domænecontroller med rollen som PDC-emulator bliver flyttet eller erstattet. Indstillingen følger ikke altid med, og så står den nye maskine med en standard, ingen har valgt. Det er et godt spørgsmål at stille ved hver ændring af domænecontrollerne.
En simpel måling
Ud over indstillingerne kan forskydningen måles. Et tænkt eksempel: tag én hændelse, der kan ses i to logs, fx et VPN-login, der også giver en logon på en domænecontroller. Sammenlign tidsstemplerne. Ligger de sekunder fra hinanden, er synkroniseringen i orden. Ligger de minutter eller timer fra hinanden, er der et fund. Målingen er praksis og intet krav, men den viser bedre end nogen indstilling, om logs kan lægges sammen.
Hvad det kræver, og hvad det koster at lade være
Kontrollen kræver adgang til at køre w32tm på domænecontrollerne og læseadgang til tidsindstillingen på det øvrige udstyr. Rettelserne er som regel små, men de skal laves enhed for enhed.
Uden kontrollen bliver en efterforskning til et puslespil, hvor brikkerne har forskellige ure. Det koster tid i den situation, hvor der er mindst af den, og det kan gøre en tidslinje umulig at bevise.
Det skal I lade være med
- At antage, at udstyr uden for domænet har samme tid · firewalls, switche og hypervisorer har hver deres indstilling.
- At blande lokal tid og UTC i logs uden at notere det · sommertid flytter forskellen to gange om året.
- At glemme PDC-emulatoren i roddomænet · hele domænets tid afhænger af den.
Det skal gennemgangen kunne vise
- ☐ En dokumenteret referencetid, som alle systemer henter tid fra.
- ☐ Udtræk fra w32tm /query /source og /status fra PDC-emulatoren og en stikprøve.
- ☐ En liste over udstyr uden for domænet med tidskilde og tidszone.
- ☐ En måling af forskydningen mellem mindst to logkilder.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 8 og 10, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.6, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 12, stk. 2, litra f, læst 13. november 2026.
- Microsoft, Windows Time Service Tools and Settings, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Kør w32tm /query /source på PDC-emulatoren, og skriv kilden ned som jeres dokumenterede referencetid.
Læs også: Switche, routere og firewalls: udstyrets egen sikkerhed · Central logopsamling
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
