Logning og overvågning: sporene, og hvem der læser dem

Når noget er sket, er loggen det eneste, der kan fortælle hvad. Men en log hjælper kun, hvis den blev skrevet, stadig findes, har den rigtige tid og ikke kunne rettes af den, der står bag hændelsen. Artiklerne her gennemgår, hvad der kontrolleres for at svare på de spørgsmål: hvilke kilder der logger, hvor længe posterne faktisk gemmes, hvad revisionspolitikken beder Windows om at skrive, og om nogen reagerer, når en alarm går.

Hvad der logges

• Logdækning: et kort over, hvilke kilder der logger, og hvilke der mangler Kortet tegnet ud fra de hændelser, I vil se.
• Revisionspolitikken på domænecontrollere og servere: det, der afgør, hvad der overhovedet skrives Underkategori for underkategori.
• Logning i lejeren: er auditloggen slået til, og hvor længe gemmes den? To spørgsmål, der skal stilles hver for sig.

Opbevaring, tid og beskyttelse

• Opbevaring af logs: de faktiske indstillinger pr. system mod de 13 måneder Den ældste post, der faktisk findes.
• Fælles tidskilde: kontrolpunktet, alle logkrav forudsætter Samme tid, så forløbet kan lægges sammen.
• Beskyttelse af loggen mod administratoren selv Opbevaring uden for det system, den beskriver.

Opsamling og reaktion

• Central logopsamling: gennemgang af opsætning og huller Kilderne, felterne og opsamlingens egen drift.
• Alarmer: findes reglerne, og reagerer nogen? Regler, tærskler og historik.
• Overvågningsleverandørens dækning: hvad ser de faktisk? Kilderne afstemt mod jeres egen liste.

Sådan kommer I i gang

Skriv fem hændelser op, I ville ønske at kunne efterforske: et login fra et usædvanligt sted, en ny administrator, en slettet log, en ændret firewallregel og en masseudsendelse af post. Gå derefter baglæns: hvilket system ville registrere hændelsen, er logningen slået til der, og hvor ender posten? Det giver dækningskortet i en form, der kan bruges. Mål samtidig den ældste post, der faktisk ligger i hver kilde. Den kan være langt yngre end den periode, politikken nævner.

Kontrollér tidskilden på domænecontrollere, firewalls og logopsamling, før I lægger logs sammen. To minutters forskel er nok til, at et forløb ser forkert ud.

SAMSIK anbefaler, at logs gemmes i mindst 13 måneder, medmindre anden lovgivning siger noget andet. Det er en anbefaling, ikke et lovkrav, og bilaget til forordning 2024/2690 og DORA’s standard lader selv perioden være op til virksomheden. Vælg en periode, skriv den i logpolitikken, og mål indstillingerne mod den.

Hvad det kræver, og hvad det koster at lade være

Kontrollen kræver læseadgang til logkilderne og den centrale opsamling og en tekniker, der kender revisionspolitikken. Udtrækkene er hurtige, mens dækningskortet tager tid, fordi hver kilde skal efterprøves. Uden kontrollen kan en hændelse ikke efterforskes, fordi posten aldrig blev skrevet, er slettet efter få dage eller blev fjernet af den samme konto, der stod bag.

Det skal I lade være med

• At tage logpolitikken for den faktiske opbevaring · mål pr. kilde.
• At lade administratorer kunne slette loggen uden spor · flyt den væk fra systemet.
• At oprette alarmer, ingen har ansvaret for · hver regel skal have en modtager.
• At gå ud fra, at overvågningen ser alt · afstem kilderne.

Det skal gennemgangen kunne vise

• ☐ Et dækningskort med kilde, logning og destination.
• ☐ Opbevaring pr. kilde målt som ældste post.
• ☐ Tidskilde og afvigelse for de vigtigste systemer.
• ☐ Alarmregler med modtager og historik over reaktion.

Senest gennemgået: november 2026.

Næste skridt

• Logdækning
• Opbevaring af logs

Læs også: Backup og gendannelse · Sårbarhedsstyring

→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT