Når angrebet er opdaget, handler alt om at få systemerne op at køre igen. Det er forståeligt, men oprydningen kan slette de spor, der skal vise, hvad der skete. Sikr derfor sporene, før eller mens I genopretter: afbryd netværket uden at slukke, eksportér logs, beskyt backup og skriv alt ned med tidspunkter.
Forsikringsselskabet vil vide, hvordan angriberen kom ind. Kunder og samarbejdspartnere vil vide, om deres data er berørt. Måske skal I dokumentere forløbet over for Datatilsynet, og måske ender det i en tvist med en IT-leverandør. Alle de spørgsmål besvares med de samme spor. Bliver de væk i de første dage, kommer de ikke igen.
Denne side er hovedsiden for angreb på virksomhedens systemer. Den er bygget op som en tidslinje fra den første time til de første måneder, efterfulgt af de beslutninger, I typisk står over for undervejs. Er det kun én mailkonto, der er misbrugt, så start med den hackede mailkonto. Er der betalt penge ud, så start med den falske faktura.
Hvem skal bruge dokumentationen?
- Forsikringsselskab · Hvad skete der, hvornår, og hvad har det kostet?
- Kunder og partnere · Er deres data berørt, og hvad gør I ved det?
- Datatilsynet · Hvilke personoplysninger er berørt, og hvad er gjort?
- IT-leverandører · Hvor svigtede sikringen, og hvem havde ansvaret?
- Jeres egen ledelse og bestyrelse · Hvad er beslutningsgrundlaget?
Kravene fra forsikringen står i policen. Læs den, eller ring til selskabet tidligt, for nogle policer stiller krav til, hvem der må undersøge angrebet, og hvornår skaden skal anmeldes. → Forsikringssager efter cyberangreb · Ransomware: hvad skal forsikringsselskabet have dokumenteret?
Tidslinjen: fra den første time til de første måneder
Tidslinjen er vejledende. Nogle angreb opdages tidligt og er begrænsede. Andre har stået på i uger, før nogen ser krypterede filer. Brug faserne som en rækkefølge, ikke som et skema, der skal passe på minuttet.
Den første time: stop spredningen, bevar sporene
Det vigtigste i den første time er at begrænse skaden uden at fjerne det, der kan forklare den.
- ☐ Afbryd netværket, sluk ikke. Tag ramte maskiner af netværket, men lad dem være tændt, hvis det er muligt. En tændt maskine kan indeholde spor i hukommelsen, som forsvinder ved genstart.
- ☐ Geninstallér ikke de ramte maskiner, før der er taget en kopi. → Forensisk kopi
- ☐ Beskyt backup. Kobl den fra, så den ikke også bliver ramt eller overskrevet. → Backup som bevis
- ☐ Gem løsesumsbeskeder, mistænkelige mails og filer urørt. Tag et billede af skærmen med en telefon, hvis I ikke kan gemme på anden måde.
- ☐ Start en log med tidspunkter for alt, hvad der sker og bliver gjort. → Skabelon til intern log over beviser
Skift adgangskoder og luk sessioner, men skriv ned, hvornår det sker. Et skift af adgangskode afbryder ikke altid adgangen, og tidspunktet kan blive vigtigt, når forløbet skal stykkes sammen bagefter.
Time 1-24: roller, forsikring og logs
Et angreb rammer hele virksomheden på én gang. Aftal derfor hurtigt, hvem der har hvilken opgave:
- Ledelsen udpeger én ansvarlig, kontakter forsikringen og godkender beslutninger om nedlukning og genopretning.
- IT eller IT-leverandøren isolerer de ramte systemer, bevarer logs og kopier og holder styr på, hvad der ændres.
- En advokat vurderer pligter over for Datatilsynet, kunder og samarbejdspartnere.
- En uvildig IT-sagkyndig kan sikre data forensisk og dokumentere, hvordan angrebet foregik.
- Kommunikationen til medarbejdere og kunder samles hos én person, så der ikke kommer modstridende forklaringer.
→ Rollefordeling i en bevissag
Samme døgn skal logs eksporteres, før de roterer eller udløber. Det gælder især firewall, VPN og cloudtjenester, hvor opbevaringen ofte er kort. → Firewall-, VPN- og loginlogs Bruger I Microsoft 365 eller Google Workspace, så eksportér revisionsloggen nu. → Unified Audit Log i Microsoft 365
Underret forsikringen inden for det første døgn, også selv om I ikke kender omfanget endnu. Det er bedre at give besked tidligt og supplere senere. → Underret forsikringsselskabet: hvornår og med hvad?
Vurdér samtidig, om der er personoplysninger involveret. Hvis ja, begynder fristen for at underrette Datatilsynet at løbe, fra I bliver opmærksomme på bruddet. → Persondatabrud: dokumentationen inden for 72 timer
Dag 2-7: sikring og genopretning side om side
Det er sjældent muligt at vente med genopretningen. Den gode løsning er at sikre og genoprette parallelt:
- Tag forensiske kopier af de vigtigste ramte maskiner og servere.
- Gem kopierne et sikkert sted, adskilt fra det ramte netværk.
- Genopret derefter fra ren backup eller nye installationer.
- Notér, hvilke maskiner der er geninstalleret, og hvornår.
Spørg jeres IT-leverandør, om de gør dette som standard. Mange fokuserer kun på at få driften op. Det er ikke forkert, men det er en beslutning, ledelsen skal træffe bevidst. Har I virtuelle servere, kan der ofte tages et øjebliksbillede, før genopretningen starter, uden at driften venter længe.
I denne fase skal kommunikationen også på plads. Kunder og samarbejdspartnere spørger, og det, I skriver, kan senere blive læst af en forsikring eller en modpart. Hold jer til det, I ved, og lov ikke mere, end I kan dokumentere. → Kommunikation efter et cyberangreb, der ikke ødelægger beviserne
Uge 2-4: analyse, omkostninger og krav
Når driften kører igen, er der tid til at finde ud af, hvad der egentlig skete. Den IT-sagkyndige arbejder ud fra kopierne og logs og forsøger at besvare de klassiske spørgsmål: hvordan kom angriberen ind, hvornår, hvad blev set eller hentet, og hvad blev ændret?
Saml samtidig omkostningerne: fakturaer fra IT-leverandøren, overarbejde, tabt omsætning og udgifter til rådgivere. Forsikringen vil typisk have bilag for hver post. Hvis der er grund til at tro, at angrebet skyldes en fejl hos en leverandør, så tal med jeres advokat, før I sender krav eller beskyldninger. → Cyberangreb: tvisten med IT-leverandøren
Måned 1-3: afslutning og læring
Sagen er ikke slut, fordi systemerne kører. Forsikringen kan komme med opfølgende spørgsmål, og en kunde kan rejse et krav måneder senere. Bevar derfor kopier, logs og jeres egen log over beslutninger, indtil advokaten siger, at de kan slettes. Skriv et kort notat om forløbet, og brug det til at rette op på det, der manglede. → Beredskabsplan med et afsnit om bevissikring
Hvis … så: beslutninger undervejs
Under et angreb skal ledelsen træffe beslutninger hurtigt og ofte på et ufuldstændigt grundlag. De her situationer går igen:
- Hvis IT vil geninstallere alt med det samme, så bed om en kopi af de vigtigste maskiner først, eller i det mindste et øjebliksbillede af de virtuelle servere. Notér beslutningen, uanset hvad I vælger.
- Hvis forsikringen har sin egen leverandør til undersøgelsen, så følg policen, men bed om, at jeres egne logs og noter bliver sikret og udleveret til jer også. Det er jeres dokumentation.
- Hvis angriberen kræver løsesum, så svar ikke, før I har talt med forsikringen og jeres advokat. Gem al korrespondance uændret.
- Hvis der kan være persondata involveret, så lad advokaten vurdere underretning af Datatilsynet og de berørte med det samme. Fristen venter ikke på, at analysen er færdig.
- Hvis det er jeres IT-leverandør, der står for både drift og undersøgelse, så overvej en uafhængig sikring. Leverandøren kan have en interesse i, hvad konklusionen bliver. → Second opinion på jeres IT-leverandørs undersøgelse
- Hvis det er leverandøren, der blev ramt, og ikke jer, er opgaven en anden. → Leverandøren blev hacket
- Hvis hjemmesiden eller webshoppen er ramt, gælder der særlige forhold om hosting og logs hos udbyderen. → Hjemmesiden eller webshoppen er hacket
Hvor ligger sporene?
Et angreb efterlader spor mange steder, og de forsvinder i forskelligt tempo. Brug oversigten til at prioritere, hvad IT skal tage først.
- Ramte computere og servere · Typiske spor: Skadelige filer, ændringer, spor i hukommelsen · Hvad truer dem: Genstart, antivirus, geninstallation
- Firewall og VPN · Typiske spor: Forbindelser ind og ud, logins udefra · Hvad truer dem: Kort opbevaring og logrotation
- Microsoft 365 eller Google · Typiske spor: Logins, regler, delinger, hentede filer · Hvad truer dem: Licensens opbevaringsperiode
- Backup · Typiske spor: Hvordan systemerne så ud før angrebet · Hvad truer dem: Overskrivning og kryptering
- Mails og beskeder · Typiske spor: Phishing-mailen, løsesumsbeskeden · Hvad truer dem: Sletning og oprydning
- Fjernsupportværktøjer · Typiske spor: Hvem der var inde, og hvornår · Hvad truer dem: Opbevaring hos udbyderen
Det sidste punkt bliver ofte glemt. Mange angreb sker gennem værktøjer til fjernsupport eller gennem en leverandørs adgang. → Fjernsupportværktøjer: hvem var inde på computeren?
Spørgsmål, ledelsen skal stille IT
Ledelsen behøver ikke forstå teknikken for at styre forløbet. Men den skal stille de rigtige spørgsmål og have svarene skriftligt:
- Hvilke maskiner er ramt, og er der taget kopi af dem?
- Hvilke logs er eksporteret, og hvor ligger de nu?
- Er backup koblet fra, og hvornår blev den sidst taget?
- Hvem har ændret noget i systemerne siden opdagelsen?
- Hvad mangler vi at vide, og hvem kan finde ud af det?
Svarene går direkte ind i jeres log. De er også det, forsikringen typisk spørger om i de første samtaler.
Det skal I skrive ned
- hvornår angrebet blev opdaget, og af hvem,
- hvad der blev observeret, for eksempel krypterede filer eller mærkelige logins,
- hvilke systemer der er ramt,
- hvem der er kontaktet: forsikring, IT-leverandør, advokat, kunder,
- hvilke beslutninger der er truffet, og af hvem,
- udgifter og tabt omsætning, med bilag.
Tidspunkter er vigtige. Notér tidszonen, hvis logs kommer fra flere systemer. → Tidsstempler og tidszoner
Skriv noterne løbende, ikke bagefter. Under et angreb går tiden hurtigt, og efter en uge husker ingen præcist, hvornår serveren blev lukket ned, eller hvem der godkendte det. En simpel tabel med tidspunkt, hændelse, hvem og bemærkning er nok. Gem den uden for de ramte systemer, for eksempel på papir eller på en ren computer.
Typiske fejl
- Alle maskiner geninstalleres med det samme · Sporene af, hvordan angriberen kom ind, er væk
- Logs bliver ikke eksporteret · De roterer, før nogen kigger
- Antivirus køres på ukopierede maskiner · Filer, der kunne vise angrebet, bliver slettet
- Ingen log over beslutninger · Forsikringen spørger, og ingen kan huske det
- Backup kobles ikke fra · Den bliver også ramt
Lad heller ikke medarbejdere undersøge på egen hånd for at finde ud af, hvem der klikkede på hvad. Det skaber utryghed og forurener sporene. Er der en medarbejder, der har klikket på et link, så tag en rolig samtale og skriv et referat. → Medarbejderen klikkede på phishing
Leverandørens ansvar
Skyldes angrebet en fejl hos en IT-leverandør, for eksempel manglende opdateringer eller en svag opsætning, kan der opstå et krav. Så skal I kunne dokumentere, hvordan systemerne var sat op, før angrebet. Sikr derfor dokumentation og logs, før leverandøren retter op. Det kan være ubehageligt at bede den leverandør, der skal hjælpe jer, om at lade være med at ændre noget. Men det er netop derfor, en uafhængig part bør sikre dokumentationen. → Opsigelse af en IT-leverandør
Myndigheder er jeres egen beslutning
Om I vil inddrage myndighederne ud over Datatilsynet, er virksomhedens egen beslutning, og I skal selv vurdere, om der er pligt til det. Nielco IT tager kun civile sager og hjælper med den civile side: dokumentation til forsikring, krav mod leverandører og materiale til kunder og myndigheder.
Ordforklaringer
- Forensisk kopi: en nøjagtig kopi af en disk eller et system, taget sådan, at det kan dokumenteres, at kopien svarer til originalen.
- Revisionslog (audit log): loggen i fx Microsoft 365, der viser logins, ændringer og handlinger i postkasser og filer.
- Øjebliksbillede (snapshot): en fastfrysning af en virtuel server på et bestemt tidspunkt, som kan gemmes, før der genoprettes.
- Logrotation: når et system sletter de ældste logs for at gøre plads til nye. Det er derfor, logs skal eksporteres tidligt.
- Ransomware: skadelig software, der krypterer filer og kræver betaling for at låse dem op.
Flere ord står i ordbogen for ledere.
Hvornår skal I have hjælp udefra?
Har I ikke selv folk, der kan tage forensiske kopier og eksportere logs korrekt, så hent hjælp med det samme. Det gælder også, når der kan blive tale om krav mod en leverandør, eller når forsikringen vil have en uafhængig redegørelse. Det haster, fordi logs og spor forsvinder i løbet af dage. Hastesager koster ekstra, se pris og tilbud. Hvad Nielco IT kan hjælpe med efter et angreb, står på siden hacket eller snydt.
Når driften kører igen, så brug erfaringerne: hvilke logs manglede, og hvor lang tid tog det at finde de rigtige folk? Skriv det ind i jeres beredskab, så I står bedre næste gang. → Bevisberedskab: vær klar, før sagen opstår
Næste skridt
- CEO-svindel: mail fra “direktøren” om en hasteoverførsel
- Login fra et ukendt land: sikr loggen, før I nulstiller
- Mistanke om, at nogen læser med i ledelsens mail
- Videresendelsesregler i mailen: tjek dem, før I gør noget andet
Læs også: Hjemmesiden eller webshoppen er hacket: sikr sporene før genopretning · Leverandøren blev hacket: hvad skal I dokumentere?
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
