Et dækningskort over logning er en liste over jeres systemer med to oplysninger ud for hvert: logger det, og ender loggen et sted, hvor nogen kan finde den igen. Kortet tegnes bedst ud fra de hændelser, I vil kunne opdage og efterforske, med SAMSIK’s liste over gode logkilder som skelet.
De fleste driftsafdelinger ved, at firewallen logger, og at domænecontrollerne har en hændelseslog. Færre kan sige, om DNS-forespørgsler, DHCP-tildelinger og VPN-logins også bliver gemt. Det er netop de kilder, der binder et spor sammen, når en maskine har opført sig mærkeligt.
Begynd med det, I vil kunne svare på
SAMSIK’s vejledning om logning anbefaler at starte med en risikovurdering og foreslår, at logpolitikken kan bygges på scenarier over de hændelser, man vil kunne undersøge. Det er en praktisk indgang for driften. Skriv tre eller fire spørgsmål ned, som I gerne vil kunne besvare bagefter. Tænkte eksempler: Hvilken klient slog op på et bestemt domæne i sidste uge? Hvem loggede på VPN fra en ukendt adresse? Hvilken konto blev lagt i en administratorgruppe?
Hvert spørgsmål peger på bestemte kilder. Det første kræver DNS-log og DHCP-log, så IP-adressen kan føres tilbage til en maskine. Det andet kræver VPN-gatewayens log. Det tredje kræver revisionslog fra katalogserveren. Når spørgsmålene står på papir, kan kortet tegnes baglæns fra dem.
SAMSIK’s kildeliste som skelet
Vejledningen nævner en række steder, hvor det er godt at logge, og angiver for flere af dem, hvilke felter der hører med:
- Rekursive DNS-servere: tid i UTC, forespørgerens IP, forespørgsel og svar.
- Interne DHCP-servere: tid, tildelt IP og MAC-adresse.
- Firewalls og andre punkter med trafik ind og ud: godkendt og blokeret trafik, afsender, modtager, port, beslutning og datamængde.
- Autentificeringsservere: tid, hændelsestype, kontonavn, IP, værtsnavn og resultat.
- Klient-VPN-gateways: ekstern IP, brugernavn, tildelt IP og både fejlede og godkendte logins.
- Internetvendte webservere og webtjenester: metode, adresse, returkode, henvisning, browserangivelse og bytes samt den oprindelige klient-IP, når trafikken går gennem proxy eller lastfordeler.
- Interne routere, webproxy, antimalware, e-mailsystemer og øvrige internetvendte tjenester.
Hertil kommer kilder, vejledningen beder jer overveje: klienter, kritiske filservere, lykkede og mislykkede revisionshændelser, adgangsstyring for privilegerede konti, administrative loginforsøg, blokerede scripts og industrielle styresystemer.
Listen er en anbefaling og binder ingen. Den er nyttig, fordi den er konkret nok til at afstemme mod jeres egne systemer række for række.
Sådan ser kortet ud
Kortet kan være et regneark med én række pr. system. Kolonnerne kan være systemets navn, kildetypen fra listen ovenfor, om der logges (ja, delvis, nej), hvilke felter der kommer med, hvor loggen ender, og hvem der ejer kilden. Den sidste kolonne betyder mest, fordi et hul først bliver lukket, når nogen har ansvaret for det.
SAMSIK anbefaler også, at I har overblik over topologien, forbindelsespunkterne til internettet, alle DNS- og DHCP-servere og VPN-koncentratorerne. Det overblik giver rækkerne i kortet. Mangler en DNS-server i oversigten, mangler den også i kortet, og så opdager ingen, at den ikke logger.
Vejledningen beder desuden om, at alle logningsløsninger dokumenteres, også de gruppepolitikker, der slår logningen til. Notér derfor i kortet, hvilken indstilling der styrer hver kilde, så den kan efterses, når nogen ændrer den.
Den falske dækning
En række i kortet kan stå til ja, selv om loggen ikke kan bruges. To tilfælde nævnes i vejledningen. Det ene er, at klienters rigtige IP-adresse er erstattet af proxyens, så alle forespørgsler ser ud til at komme fra samme maskine. Det andet er, at loggen findes, men mangler de felter, der skal til for at følge et spor. Kontrollér derfor felterne for hver kilde, og skriv “delvis”, hvor de ikke er der.
Målestokken i forordningen
I forordning 2024/2690 står kravet i bilagets punkt 3.2.3. Enheden laver på grundlag af risikovurderingen en oversigt over de aktiver, logningen skal dække. Hvor det er relevant, skal logfilerne bl.a. rumme nettrafik, nye og ændrede brugere og rettigheder, logon, privilegeret adgang, sikkerhedsværktøjer og aktivering og standsning af selve logningen. Punkt 3.2.6 beder om en liste over alle aktiver, der logges, og punkt 3.2.7 om, at listen gennemgås regelmæssigt.
Kravene binder kun de enheder, forordningen selv nævner. Alle andre kan bruge dem som målestok, og dækningskortet er i praksis de to lister lagt side om side: det, der skal logges, og det, der gør.
Den statslige vejledning til de tekniske minimumskrav afgrænser logkravet til internetvendte tjenester og centrale interne systemer. SaaS er ikke omfattet, og når en leverandør driver systemet, gælder kravet den infrastruktur, der indgår i leverancen. Afgrænsningen binder statslige myndigheder og kan bruges som inspiration af alle andre.
Kortet er et af de bilag, der indgår, når den almene auditmetode bruges på hele virksomheden.
Hvad det kræver, og hvad det koster at lade være
Kortet kræver en person, der kender netværket, og læseadgang til indstillingerne på hver kilde. Derefter skal det rettes, når systemer kommer til eller lukkes.
Uden kortet opdager I hullet den dag, loggen skal bruges. Det, der ikke blev skrevet, kan ikke findes bagefter, og en hændelse kan så hverken forklares eller afgrænses.
Det skal I lade være med
- At tælle en kilde som dækket, fordi den kan logge · det afgørende er, om den gør det, og om felterne er med.
- At begynde med værktøjet · begynd med spørgsmålene, og vælg kilderne ud fra dem.
- At springe DNS og DHCP over · uden dem kan en IP-adresse sjældent føres tilbage til en maskine.
Det skal gennemgangen kunne vise
- ☐ En liste over systemer, der skal logge, begrundet i de hændelser, I vil kunne undersøge.
- ☐ For hver kilde: logges der, hvilke felter kommer med, og hvor ender loggen.
- ☐ Dokumentation af de indstillinger og gruppepolitikker, der slår logningen til.
- ☐ En ejer for hver kilde og dato for seneste gennemgang af listen.
Kilder
- SAMSIK, Logning, en del af et godt cyberforsvar, 3. udgave januar 2023, s. 4-8, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, dansk tekst, bilagets punkt 3.2.3, 3.2.6 og 3.2.7, læst 13. november 2026.
- Vejledning til de tekniske minimumskrav til it-sikkerhed i staten, september 2025, afsnit 3.6, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv de tre spørgsmål ned, I vil kunne besvare efter en hændelse, og find de kilder, hvert spørgsmål kræver.
Læs også: Fælles tidskilde: kontrolpunktet, alle logkrav forudsætter · Systemlisten bygget fra systemerne selv
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
