Skal driften levere konfigurationsudtræk til en gennemgang, er det fristende at sende et pænt regneark. Et brugbart udtræk er noget andet: rådata fra systemet, trukket med et script eller via platformens API, med oplysning om tidspunkt, kilde og den kommando, der blev brugt, så den, der læser det, kan regne efter og trække det samme igen.
Det er et håndværk, og det er driften, der har det. Artiklen handler om formen, ikke om hvilke udtræk der skal trækkes på hver platform.
Hvorfor script frem for håndarbejde
I NIST’s vejledning fra 2008 er en af pointerne, at maskinelle kontroller giver samme svar hver gang (SP 800-115, afsnit 3.4). Det samme gælder udtræk. Et script trækker de samme felter fra de samme objekter hver gang. Et udtræk lavet i hånden afhænger af, hvem der klikkede, og hvad de huskede at tage med.
Det betyder ikke, at håndarbejde aldrig kan bruges. Nogle indstillinger findes kun i en administrationsflade. Men hvor platformen har en kommandolinje eller et API, er scriptet at foretrække, og selve scriptet bliver en del af beviset.
Hvad et brugbart udtræk indeholder
Det følgende er praksis. Felterne bygger på NIST’s anbefaling om, hvad en aktivitetslog bør indeholde (afsnit 7.4.1), men er tilpasset et udtræk.
- Hoved · Tidspunkt med tidszone, system eller lejer, den konto der trak udtrækket
- Metode · Scriptets navn og version, eller den kommando der blev kørt, med parametre
- Rådata · Alle rækker og felter, som systemet returnerede, uden filtrering eller redigering
- Tælling · Antal rækker, så modtageren kan se, at intet mangler
- Fejl · Eventuelle fejl eller advarsler fra kørslen, fx objekter, kontoen ikke kunne læse
Det femte felt overses ofte. Et udtræk, hvor kontoen manglede rettigheder til en del af objekterne, kan se fuldstændigt ud. Fejlbeskederne viser, at det ikke er.
Format
Det er sitets anbefaling at levere rådata i et maskinlæsbart format, fx kommaseparerede filer eller en struktureret tekstfil, som platformens egne værktøjer kan skrive. NIST nævner, at værktøjers output kan bevares i værktøjets eget format eller lægges i en database (afsnit 7.4.2). Det vigtige er, at modtageren kan sortere, filtrere og sammenligne uden at skulle taste noget om.
Undgå at lægge rådata i et regneark med formatering, farver og sammenlagte celler. Det ser pænt ud, men det skjuler, hvad der er data, og hvad der er kommentar. Kommentarer hører hjemme i en separat fil eller kolonne, der tydeligt er tilføjet bagefter.
Navngivning og opbevaring
En enkel ordning for filnavne gør det let at finde det rigtige udtræk, når et fund skal efterprøves. Et tænkt eksempel:
(dato)_(system)_(indhold).(format), fx (2026-11-13)_(katalog)_(administratorgrupper).(csv)
Læg scriptet ved siden af udtrækket med samme dato. Ændres scriptet senere, kan det gamle udtræk stadig forklares.
Udtrækkene indeholder oplysninger om konti, regler og opsætning, som er følsomme. NIST beskriver den slags data som et kort over, hvordan organisationens systemer kan angribes, hvis de kommer i de forkerte hænder (afsnit 7.4). Opbevar dem adskilt fra den daglige drift, med begrænset adgang og krypteret, og overfør dem krypteret til den, der gennemgår.
Læseadgang til scriptet
Et udtræk skal kun læse. Brug en konto, der har læserettigheder til det, der skal trækkes, og intet andet. Hvor platformen har roller med kun læseadgang, er de at foretrække. Hvilke roller det er, afhænger af platformen og skal slås op i producentens dokumentation.
Kontrollér scriptet, før det køres. Et script, der skriver til systemet, hører ikke hjemme i en gennemgang. Er scriptet leveret af den, der gennemgår, skal driften kunne læse det og se, at det kun henter data.
Gentagelse er pointen
Det bedste udtræk er det, der kan køres igen om et halvt år og give et resultat, der kan sammenlignes linje for linje. Det gør opfølgningen let: samme script, samme konto, ny dato. Forskellen mellem de to filer viser, hvad der er rettet, og hvad der er kommet til.
Det gør også driften i stand til at kontrollere sig selv mellem gennemgangene. Et udtræk af administratorgrupperne, der køres hver måned og sammenlignes med det forrige, fanger ændringer, ingen har meldt.
Hvad det kræver, og hvad det koster at lade være
Det kræver, at nogen i driften kan skrive og vedligeholde enkle scripts til de platforme, der gennemgås, og at der er en fast ordning for navngivning og opbevaring. Første gang tager det tid. Anden gang går det hurtigt.
Uden faste udtræk skal alt trækkes forfra ved hver gennemgang, og resultaterne kan ikke sammenlignes. Fund kan heller ikke efterprøves præcist, fordi ingen ved, hvordan det oprindelige udtræk blev lavet.
Det skal I lade være med
- At filtrere eller redigere rådata, før de afleveres · lever alt, og kommentér separat.
- At bruge en administratorkonto til udtræk · brug en konto med læseadgang.
- At smide scriptet ud efter brug · det er en del af beviset.
Det skal gennemgangen kunne vise
- ☐ Udtræk med tidspunkt, kilde, konto og metode i hovedet.
- ☐ De scripts eller kommandoer, der blev brugt, arkiveret med samme dato.
- ☐ Antal rækker og eventuelle fejl fra kørslen.
- ☐ Opbevaring og overførsel af udtrækkene, der beskytter dem.
Kilder
- NIST SP 800-115, Technical Guide to Information Security Testing and Assessment, september 2008, afsnit 3.4 og 7.4, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Vælg ét udtræk, I ofte trækker i hånden, og skriv et script, der trækker det samme med tidspunkt og konto i hovedet.
Læs også: Konfigurationsudtræk hos auditoren · Active Directory med læseadgang
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
