Kan I se, hvem der har været på jeres wifi? Ofte kun delvist, og kun et kort stykke tilbage. Routere, access points og firewalls registrerer typisk, hvilke enheder der har fået en adresse på netværket, og hvornår. Men loggen er ofte kort, den overskrives hurtigt, og den viser enheder, ikke personer. Er netværket en del af en sag, skal loggen derfor hentes med det samme.
Artiklen er til IT-ansvarlige i små og mellemstore virksomheder. Den handler om, hvad netværket kan fortælle, hvornår det er relevant, og hvorfor I skal sikre loggen, før I ændrer noget.
Hvornår netværket bliver relevant
Netværksloggen er sjældent det vigtigste bevis. Men den kan udfylde huller. Typiske situationer:
- En medarbejder har koblet en privat computer på firmanettet og muligvis hentet filer fra fællesdrevet.
- En tidligere medarbejder har været i bygningen efter fratrædelsen, og I vil vide, om vedkommendes telefon var på netværket.
- En leverandør eller gæst har været på det interne netværk i stedet for gæstenettet.
- Der er mistanke om, at nogen har sat en ukendt enhed op på netværket.
I alle tilfælde er spørgsmålet: Hvilken enhed var på netværket, hvornår, og hvad gjorde den? Netværket kan ofte svare på det første og det andet. Det tredje er sværere.
Hvad udstyret typisk gemmer
Det afhænger meget af, hvilket udstyr I har, og hvordan det er sat op. Men groft sagt kan der være:
- En liste over tildelte adresser. Routeren eller serveren, der deler adresser ud, kan vise, hvilken enhed der fik hvilken adresse, og hvornår. Enheden kendes på sin hardwareadresse og ofte på et navn, som enheden selv oplyser, for eksempel navnet på en telefon.
- En log over forbindelser til wifi. Access points kan registrere, når en enhed kobler på og af.
- En firewall-log. Den kan vise, hvilke adresser der har haft trafik til og fra internettet, og nogle gange til hvilke tjenester.
- Login til netværket. Kræver jeres netværk login med brugernavn, kan det knytte enheden til en bruger.
→ Routerens log og IP-tildeling: hvem var på netværket?
Moderne telefoner og computere bruger ofte en tilfældig hardwareadresse på wifi for at beskytte brugerens privatliv. Det gør det sværere at genkende en bestemt enhed over tid. Navnet, enheden oplyser, kan også være ændret. Derfor skal oplysningerne fra netværket tolkes forsigtigt.
Hvorfor loggen er kort
Mindre routere og access points har ofte begrænset plads. Loggen gemmes i hukommelsen og forsvinder ved genstart, eller den overskrives, når den er fuld. Det kan være tale om dage eller timer, afhængigt af trafik og indstillinger. Firewalls i virksomheder gemmer typisk mere, men også her er der grænser.
Har I en løsning, hvor loggen sendes til en central server eller en cloudtjeneste, kan den gemmes længere. Det er værd at vide, før I har brug for det. → Firewall-, VPN- og loginlogs
Hvad gør I nu?
- Genstart ikke udstyret. En genstart kan slette loggen. Det gælder også en planlagt opdatering. Udskyd den.
- Eksportér loggen med det samme. Gem den uændret, og notér tidspunkt, hvem der eksporterede den, og fra hvilken enhed.
- Tag skærmbilleder af oversigterne. Mange routere viser aktuelle og nyligt tilsluttede enheder i en oversigt, som ikke kan eksporteres. Tag billeder med dato og tid synlig.
- Notér tidszonen og klokken på udstyret. Går routerens ur forkert, skal det kunne korrigeres senere.
- Find ud af, om loggen sendes et andet sted hen. Spørg IT-leverandøren eller internetudbyderen.
- Skriv ned, hvad I leder efter. En bestemt dato, en bestemt person, en bestemt enhed.
Det skal I lade være med
- Ændre opsætningen, før loggen er sikret. Nyt kodeord, ny firmware eller nulstilling kan slette det, I skal bruge.
- Blokere den ukendte enhed med det samme, hvis den stadig er på netværket, uden at notere oplysningerne først. Overvej også, om blokeringen advarer den, der står bag.
- Konkludere ud fra et enhedsnavn alene. Navnet kan ændres af brugeren.
- Bruge netværket til at følge medarbejdere generelt. Det kræver et sagligt formål og normalt orientering.
Sammenhold med andre spor
Netværksloggen viser sjældent noget entydigt alene. Den bliver stærk, når den passer med andre oplysninger. Overvej, hvad I ellers har fra samme tidsrum:
- Adgangskort og alarm. Viser de, at en bestemt person var i bygningen, når en ukendt enhed var på netværket?
- Logins i Microsoft 365 eller Google. Er der logins fra jeres egen netværksadresse på tidspunkter, hvor ingen burde være der?
- Filserverens log. Har nogen åbnet mapper på fællesdrevet fra en adresse, der passer med den ukendte enhed?
- Videoovervågning. Viser kameraerne, hvem der var til stede?
Hver kilde har sin egen klokke, og de går sjældent helt ens. Notér derfor, hvad hver kilde viste som tidspunkt, og hvordan I har sammenholdt dem. En IT-sagkyndig kan lave en samlet tidslinje, hvor forskellene i klokkeslæt er forklaret. Det er ofte den tidslinje, der gør sagen forståelig for advokaten og ledelsen.
Husk også, at de andre kilder har deres egne frister. Adgangssystemer og videoovervågning sletter ofte automatisk efter en periode. Bed om, at de også bliver sikret, mens I alligevel er i gang.
Private enheder på firmanettet
Mange virksomheder lader medarbejdere bruge det interne netværk med private telefoner og computere. Det er praktisk, men det betyder, at private enheder kan få adgang til fællesdrev og interne systemer. I en sag er det svært at sikre noget fra en privat enhed, og den er ikke virksomhedens at undersøge. → BYOD og bevissikring
En enkel løsning er at adskille netværkene:
- ☐ Firmaets enheder på det interne netværk.
- ☐ Private enheder og gæster på et gæstenet uden adgang til interne systemer.
- ☐ Login på det interne netværk, så enheden kan knyttes til en bruger.
- ☐ Log, der gemmes centralt i en fast periode.
Hvor længe loggen skal gemmes, er en afvejning mellem behovet for spor og reglerne om persondata. → Hvor længe skal virksomheden gemme logs?
Hvem gør hvad?
- IT · Stopper genstart, eksporterer og dokumenterer loggen
- IT-leverandør eller internetudbyder · Oplyser, hvad der gemmes centralt
- Leder · Beslutter, om sagen skal videre
- IT-sagkyndig · Sammenholder netværksspor med andre spor
Hvornår skal I have hjælp udefra?
Når netværkssporene skal bruges i en sag, og især når de skal kobles sammen med spor fra computere, adgangskort eller logins i cloud. En IT-sagkyndig kan vurdere, hvad loggen faktisk viser, og hvor usikkerheden ligger. Nielco IT arbejder uvildigt og kan hjælpe både med sikringen og med at forklare resultatet, så ledelsen og advokaten kan bruge det. Ring hellere for tidligt end for sent, fordi netværkets log sjældent venter på, at I bliver sikre.
Læs også: Udskrifter af kundelister: printstyring og udskriftslog · Fjernsupportværktøjer: hvem var inde på computeren?
→ Undersøgelse af en medarbejders computer · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
