På en almindelig filserver kan det ofte ikke ses, hvem der åbnede en bestemt fil eller mappe. Det kræver, at logning af filadgang er slået til på forhånd, og det er det sjældent i mindre virksomheder. Men det betyder ikke, at der ingen spor er. Medarbejderens computer, backup, ændringsdatoer og andre logs kan ofte vise meget af forløbet. Bevar dem, før I undersøger.
Artiklen er til IT og ledere i virksomheder, der stadig har en filserver eller en NAS på kontoret. Den handler om, hvad der typisk kan ses, hvad der ikke kan, og hvad I gør nu.
Hvorfor det ofte ikke kan ses
En Windows-filserver kan registrere, hvem der åbner filer. Men funktionen er typisk slået fra som standard, og den skal slås til både generelt og på de enkelte mapper. Den giver mange registreringer, og loggen bliver hurtigt fyldt og overskrevet. Derfor har mange IT-leverandører ladet den være slået fra. Det samme gælder for mange NAS-enheder, hvor logning af filadgang er en indstilling, som skal vælges.
Er den ikke slået til, kan I ikke slå den til bagudrettet. Det, der ikke blev registreret, findes ikke i serverens log. Spørg alligevel IT eller leverandøren, om logning har været slået til på nogle mapper. Nogle gange er den slået til på enkelte områder fra et tidligere projekt eller en revision, uden at nogen husker det. Og selv hvis den er slået til, kan loggen være overskrevet, hvis den kun gemmer et begrænset antal registreringer. Bed derfor om at få den sikret med det samme, før I spørger videre.
Hvad der typisk findes i stedet
- Medarbejderens computer · Nyligt åbnede filer og mapper, genveje, kopier
- Filernes ændringsdatoer · Hvornår en fil sidst blev ændret, ikke hvem der læste den
- Serverens loginlog · Hvem der var logget på netværket, og hvornår
- Backup · Hvordan mappen så ud på bestemte tidspunkter
- VPN- og fjernadgangslog · Om nogen var inde udefra, og hvornår
- Cloudsynkronisering · Om filer er kopieret til OneDrive eller en anden tjeneste
Medarbejderens computer
Det stærkeste spor er ofte medarbejderens egen computer. Windows gemmer en række oplysninger om, hvilke filer og mapper der er åbnet, og hvornår. Det kan vise, at en bestemt kundemappe på serveren blev åbnet fra netop den computer. Men sporene ændres, hver gang computeren bruges. Derfor skal den sikres forensisk, før nogen kigger. → Kan vi se, om en medarbejder har kopieret filer?
Backup
Backup kan vise, om filer er slettet eller ændret, og hvornår. Hvis en kundemappe var der i sidste uges backup, men ikke i dag, er det et spor. Tag den relevante backup ud af rotation, så den ikke overskrives. → Backup som bevis
Andre logs
Domænecontrolleren registrerer logins. VPN og fjernadgang registrerer forbindelser udefra. Firewallen kan vise, om store mængder data er sendt ud. Ingen af dem viser, hvilken fil der blev åbnet, men de kan vise, hvem der havde mulighed for det, og hvornår. → Firewall-, VPN- og loginlogs
Hvad I gør nu, i rækkefølge
- Skriv mistanken ned. Hvilken mappe, hvilken periode, og hvem mistanken retter sig mod.
- Tag medarbejderens computer ud af brug. Den må ikke geninstalleres eller gives videre.
- Stop rotation af backup for den relevante periode.
- Bed IT sikre de logs, der findes, fra server, VPN og firewall, før de overskrives.
- Rør ikke mappen. Undgå at åbne, flytte eller rydde op i den. Det ændrer datoer og spor.
- Ring til en IT-sagkyndig, hvis det kan blive en sag.
Typiske spørgsmål, og hvad sporene kan svare
“Har den fratrådte sælger åbnet kundemappen i sine sidste uger?” Serverens log kan sjældent svare. Men sælgerens computer kan ofte vise, at mappen og bestemte filer blev åbnet derfra, og hvornår. Det kræver, at computeren ikke er geninstalleret.
“Hvem slettede tilbudsmappen?” Hvis logning ikke var slået til, kan serveren ikke svare. Backup kan vise, hvornår mappen forsvandt, og loginloggen kan vise, hvem der var logget på i det tidsrum. Det indsnævrer kredsen, men peger ikke nødvendigvis på én person.
“Er filerne kopieret ud af huset?” Computeren kan vise, om filer er kopieret til en USB-nøgle eller en synkroniseringsmappe. Firewallen kan vise store udgående datamængder. Sammen kan de give et billede.
“Hvem har overhovedet adgang til mappen?” Det kan IT svare på med det samme ved at se på rettighederne. Gem en dokumenteret oversigt over rettighederne, som de er nu, før nogen ændrer dem.
Mistanke mod den, der har nøglerne
Hvis mistanken retter sig mod en IT-medarbejder eller en leverandør med administratoradgang til serveren, er situationen særlig. En administrator kan ændre logs og rettigheder. Lad ikke den person sikre sporene. → Mistanke mod IT-administratoren
Slå logning til fremover
Hvis I har følsomme mapper, for eksempel med løn, kundelister eller tegninger, så overvej at slå logning af filadgang til på netop dem. Det giver ikke for mange registreringer, hvis det er afgrænset, og det betyder, at I kan svare næste gang.
- ☐ Find de mapper, hvor det er vigtigt at vide, hvem der har haft adgang.
- ☐ Bed IT slå logning til på dem, og sørg for, at loggen gemmes længe nok.
- ☐ Gennemgå rettighederne. Mange har adgang til mapper, de ikke har brug for.
- ☐ Orientér medarbejderne i IT-politikken om, at adgang til bestemte mapper logges.
Logning af medarbejdernes filadgang kræver et sagligt formål og orientering. Tjek reglerne og eventuel kontrolaftale eller overenskomst.
Overvej også, om filserveren skal erstattes af SharePoint, Google Drev eller en anden løsning, hvor logning er indbygget. Det er en større beslutning, men det kan give bedre spor. → Minimumslogning: hvad bør være slået til?
Hvem gør hvad
- Leder · Beskriver mistanken og beslutter at bevare
- IT · Sikrer logs og backup, rører ikke mappen
- IT-sagkyndig · Sikrer computeren og samler sporene
- HR · Tjekker IT-politik og orientering
Det skal I lade være med
- At åbne mappen for at se, hvad der mangler. Det kan ændre spor og datoer.
- At slå logning til midt i sagen og tro, at det viser fortiden. Det viser kun fremtiden.
- At gennemgå medarbejderens computer selv.
- At konkludere ud fra ændringsdatoer alene. En dato viser, at en fil blev ændret, ikke hvem der gjorde det.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, når der er mistanke om, at fortrolige filer er kopieret eller slettet, og det kan blive en sag. En sagkyndig kan sikre computer, server og backup og samle sporene til et forløb, der kan efterprøves, også når serveren ikke selv har registreret, hvem der åbnede mappen.
Læs også: Projektværktøjer: hvem gjorde hvad hvornår i Planner, Trello eller Asana? · Gamle mails i PST-filer, arkiver og på fællesdrev
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
