En medarbejder får en mail fra Microsoft eller Google om et login fra et land, ingen i virksomheden har været i. Eller IT ser det i et overblik. Det første svar er enkelt: Tag det alvorligt, sikr loggen, og luk derefter adgangen. De fleste af den slags advarsler ender som en lille sag. Men de sager, der bliver store, starter tit præcis sådan, og så er det loggen fra de første dage, der viser, hvad der skete.
Hvad advarslen kan betyde
Et login fra et uventet land er et tegn, ikke et bevis. Der er flere mulige forklaringer:
- Medarbejderen er på rejse eller bruger en VPN-tjeneste, der sender trafikken via et andet land.
- Mobilnettet eller en app rammer en server, der står i udlandet.
- Nogen har adgangskoden og forsøger at logge ind, men bliver stoppet af totrinslogin.
- Nogen har adgangskoden og er kommet ind.
De to første er harmløse. Det tredje er et advarselstegn: adgangskoden er lækket. Det fjerde er en hændelse. I kan ikke se forskellen på advarslen alene. Det kræver et kig i loggen, og derfor skal loggen gemmes, før nogen ændrer noget.
Hvad gør I nu, i rækkefølge
- Spørg medarbejderen kort. Har vedkommende rejst, brugt VPN eller godkendt et login på telefonen, uden at være sikker på hvorfor? Skriv svaret ned med tidspunkt.
- Eksportér loginloggen for kontoen. Bed IT hente login-hændelserne for de sidste uger, både vellykkede og afviste forsøg. Gem filen uændret, og skriv ned, hvem der hentede den, og hvornår.
- Eksportér revisionsloggen. Den viser, hvad kontoen har gjort efter login: regler, deling, downloads. → Sessioner og tokens
- Tjek reglerne og delegeringerne i postkassen. Nye regler og nye adgange er det tydeligste tegn på, at nogen har været inde.
- Luk adgangen. Ny adgangskode, log ud af alle sessioner, og gennemgå de registrerede metoder til totrinslogin. En angriber kan have tilføjet sin egen telefon.
- Vurdér omfanget. Er der tegn på, at nogen har været inde, så behandl det som en overtaget konto. → Mailkontoen er overtaget
Rækkefølgen har en grund. Skifter I adgangskoden først, ser loggen bagefter rodet ud, fordi jeres egne handlinger blander sig med angriberens. Det tager kun få minutter at gemme loggen først.
Hvorfor loggen skal gemmes nu
Logs i skytjenester gemmes ikke for evigt. Hvor længe de ligger, afhænger af tjenesten, licensen og jeres egne indstillinger. Nogle loginoversigter i administrationsportalen viser kun en kort periode. Opdager I tre uger senere, at der skete mere, kan de første spor være væk.
Logs fra jeres eget netværk tæller også, hvis medarbejderen har brugt VPN eller fjernskrivebord. → Firewall-, VPN- og loginlogs
Hvem gør hvad
- IT · Eksporterer log, tjekker regler, lukker adgang
- Leder · Beslutter, om det er en hændelse, og hvem der skal vide det
- Medarbejderen · Forklarer rejser, VPN og godkendelser
- Ekstern IT-leverandør · Leverer log, hvis driften ligger ude
Ligger jeres IT-drift hos en leverandør, så bed skriftligt om, at loggen bliver eksporteret og gemt, og bed om en kopi. En mail er nok. Så har I dokumentation for, at I bad om det i tide.
Det skal I lade være med
- Ignorér ikke advarslen, fordi totrinslogin stoppede forsøget. Forsøget viser, at adgangskoden er kendt af en anden.
- Slet ikke advarselsmailen. Den har et tidspunkt og ofte en IP-adresse.
- Lad være med at bede medarbejderen klare det selv. En nulstilling fra telefonen lukker ikke nødvendigvis andre sessioner og fjerner ikke en ekstra metode til totrinslogin.
- Undgå at behandle det som en personalesag. Lækkede adgangskoder skyldes ofte, at en helt anden tjeneste er blevet hacket. Fokus er på kontoen, ikke på skyld.
Når det er en tidligere medarbejder
Nogle gange viser loggen, at det ikke er et fremmed land, men en kendt person. Et login fra en tidligere medarbejders hjemmeadresse eller private telefon er en anden sag med andre spørgsmål. → En tidligere medarbejder logger stadig ind
Her gælder det samme om rækkefølge: gem loggen, luk adgangen, og skriv ned, hvad I har gjort. Lad være med at kontakte vedkommende, før I har talt med jeres advokat om det.
Skriv et notat, også når det var harmløst
Viser loggen, at det var medarbejderens egen VPN eller en rejse, er det fristende at lukke sagen uden at skrive noget. Gør det alligevel. Et kort notat på fem linjer er nok:
- hvornår advarslen kom, og hvem der så den,
- hvad loggen viste, og hvor filen med loggen ligger,
- hvad medarbejderen forklarede,
- hvad I gjorde, og hvornår,
- hvem der besluttede, at sagen kunne lukkes.
Notatet har to formål. Det viser, at I tog advarslen alvorligt og handlede, hvis spørgsmålet kommer op igen, for eksempel fra en kunde, et forsikringsselskab eller en revisor. Og det gør det lettere at se et mønster, hvis den samme konto eller den samme slags advarsel dukker op igen om et halvt år.
Gem notatet og logfilen samme sted, så de ikke bliver skilt ad. En mappe med begrænset adgang er nok. Lad være med at gemme loggen i den postkasse, det handler om. Skriv også i notatet, hvilken tidszone tidspunkterne i loggen står i. Mange logs bruger universel tid, og en forskel på en eller to timer kan skabe forvirring, når loggen senere skal sammenholdes med andre oplysninger, for eksempel en betaling eller en mail fra en kunde.
Hvornår skal I have hjælp udefra?
Klarer jeres IT det på en time, og viser loggen kun afviste forsøg, kan sagen ofte lukkes med et notat. Få hjælp fra en IT-sagkyndig, hvis:
- loggen viser vellykkede login fra det ukendte sted,
- der er oprettet regler, delt filer eller tilføjet nye metoder til totrinslogin,
- kontoen har adgang til økonomi, kundedata eller ledelsens mail,
- I ikke kan finde ud af loggen selv, eller leverandøren ikke kan levere den.
Det er her, en lille hændelse kan blive en sag om persondata, forsikring eller et tab hos en kunde. Jo tidligere den sikres korrekt, jo lettere er det at vise, hvad der skete, og hvad der ikke skete.
Brug hændelsen til at forberede jer
Når sagen er lukket, så stil tre spørgsmål: Har alle totrinslogin? Hvor længe gemmes vores logs? Ved IT, hvordan man eksporterer dem? Svarene er en god start på jeres bevisberedskab. → Bevisberedskab i Microsoft 365
Overvej også at blokere login fra lande, hvor ingen i virksomheden arbejder. Det er en indstilling i mange skytjenester og fjerner en stor del af støjen. Skriv beslutningen ned, så I senere kan vise, hvornår reglen blev indført.
Læs også: Hacket mailkonto: sikr sporene, før I nulstiller adgangskoden · Mistanke om, at nogen læser med i ledelsens mail
→ Undersøgelse af en hacket mailkonto · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
