Digital efterforskning: vi fastslår, hvad der faktisk skete

Hvornår en digital efterforskning giver mening

De fleste sager begynder med en tvivl: en konto, der logger ind fra et ukendt land, en overførsel, ingen vil vedkende sig, en medarbejder, der er stoppet med filer, en videresendelsesregel i en postkasse. Efterforskningen gør tvivlen til en fastslået tidslinje — eller viser, at intet spor understøtter den.

• Kompromittering af en computer, en server eller en onlinekonto
• Uautoriseret adgang til en postkasse, et cloudmiljø eller Microsoft 365
• Digital svindel: falsk leverandør, CEO-svindel, omdirigeret betaling
• En medarbejder stopper, og der er mistanke om kopierede data
• Et ransomware-angreb, hvor det skal fastslås, hvad der kan være kopieret før krypteringen

Hvad vi undersøger

Computere og servere

Filsystemer, hændelseslogge, programkørsler, tilsluttede USB-enheder, browsere, planlagte opgaver og oprettede konti: de spor, der gør det muligt at datere en handling og spore den tilbage.

Cloud og Microsoft 365

Audit- og loginlogge, postkasseregler, delinger, godkendte applikationer, registrerede enheder. Opbevaringstiden er begrænset og afhænger af abonnementet: ofte det første, der skal sikres.

Beskeder og e-mail

Fulde e-mailheadere, forvekslelige domæner, kaprede svaradresser, kontrol af SPF, DKIM og DMARC — for at skelne simpel forfalskning af afsenderen fra et egentligt indbrud i postkassen.

Slettede spor

Slettede filer, tømte papirkurve, ryddede logge eller tilbagedaterede elementer, så længe medierne stadig gør gendannelse mulig. Det er aldrig garanteret, og rapporten siger det klart.

Indsamling og sikring

Medierne kopieres, og hver kopi får en kryptografisk SHA-256-hashværdi. Analysen foretages derefter på kopierne: originalen forbliver intakt, og enhver kan genberegne hashværdien for at kontrollere, at intet er ændret. Hver handling registreres — hvem, hvornår, hvordan — i en dokumenteret bevisførelse.

For systemer i drift er målet at sikre sporene uden at standse virksomheden: isoler fra netværket i stedet for at slukke, sikr loggene, før de udløber, og forlæng opbevaringen. Vores guide til sikring af digitale beviser beskriver disse forholdsregler.

Rapporten

Rapporten adskiller konstateringer fra fortolkning. Den beskriver metoden, de undersøgte medier, hashværdierne, den rekonstruerede tidslinje og analysens begrænsninger: hvad der kunne fastslås, og hvad der ikke kunne. Den er skrevet på engelsk til ledelsen, et forsikringsselskab, en advokat eller eventuelt en domstol. Det er retten, der vurderer materialets bevisværdi.