Logning
Automatisk registrering af hændelser i IT-systemer – fx login, ændringer og netværkstrafik – så man bagefter kan se, hvem der gjorde hvad og hvornår.
Kort svar
Logning er IT-systemernes automatiske registrering af hændelser: hvem loggede ind hvornår og hvorfra, hvilke indstillinger blev ændret, og hvilken trafik gik ind og ud af netværket. Logs er afgørende, når en sikkerhedshændelse skal opklares, og de kan bruges til at opdage angreb, mens de står på. Styrelsen for Samfundssikkerhed anbefaler at samle logs centralt, beskytte dem mod ændringer og gemme dem i mindst 13 måneder, medmindre lovgivning kræver andet.
- RegistrérLogin, ændringer og trafik på vigtige systemer logges.
- Saml centraltLogs samles ét sted med fælles tidskilde (UTC).
- Beskyt og gemBegrænset adgang, ingen manipulation, mindst 13 måneder.
- BrugGennemgang med værktøj – løbende og ved hændelser.
Hvorfor logning betyder noget
Et angreb opdages ikke altid, mens det står på. Styrelsen for Samfundssikkerhed (SAMSIK) skriver i vejledningen om logning, at der ofte kan gå uger og måneder, fra et angreb sker, til det bliver opdaget. Uden logs kan man hverken se, hvordan angriberen kom ind, hvad der blev tilgået, eller hvor langt tilbage man skal gendanne fra backup.
Logs bruges også i hverdagen: til at fejlsøge, til at se hvem der har slettet en fil, og til at dokumentere over for fx Datatilsynet, hvad der skete ved et brud på persondatasikkerheden.
Hvad bør logges?
SAMSIK anbefaler at logge på alle internetvendte tjenester og centrale interne systemer. Vejledningen nævner bl.a.:
| Kilde | Hvad der skal logges |
|---|---|
| Firewall | Tid, afsender/modtager, port, blokeret eller tilladt |
| Autentificering (login) | Tid, konto, IP-adresse, resultat af login |
| VPN | Tid, ekstern IP-adresse, brugernavn, fejlede og godkendte login |
| DHCP | Tid, tildelt IP-adresse, enhedens MAC-adresse |
| Webservere | Forespørgsler, inkl. klientens oprindelige IP-adresse |
Godt at vide: Mange mislykkede login-forsøg efterfulgt af et vellykket kan ifølge SAMSIK tyde på et vellykket brute force-angreb. Den slags mønstre kan kun ses, hvis login logges.
Opbevaring og beskyttelse
- Centralt: SAMSIK anbefaler, at logs samles ét centralt sted, fordi en angriber ellers kan slette sporene lokalt.
- Fælles tid: Alle systemer bør bruge samme tidskilde og tidszone (UTC), så hændelser kan sammenholdes.
- Beskyttet: Logs skal beskyttes som andre følsomme oplysninger, og ingen medarbejder bør kunne ændre dem uden at det opdages.
- Varighed: Mindst 13 måneder ifølge SAMSIK, medmindre lovgivning kræver noget andet. Logs kan indeholde persondata, så sletning skal også ske efter en fast procedure.
- Test: Kontrollér jævnligt, at logningen virker, og at I faktisk kan finde svar på “hvem gjorde hvad hvornår”.
Logning i Microsoft 365
Microsoft 365 har en samlet revisionslog (Microsoft Purview Audit), som er slået til som standard. I standardudgaven (Audit Standard) gemmes poster i 180 dage. Med Audit Premium gemmes bl.a. Entra ID-, Exchange-, OneDrive- og SharePoint-poster i ét år, og længere opbevaring kan tilkøbes.
Det betyder, at Microsoft 365’s indbyggede logs ikke i sig selv lever op til SAMSIK’s anbefaling om 13 måneder. Skal logs gemmes længere, kan de eksporteres til et separat system, fx et SIEM.
Eksempel: En revisor opdager i september, at en medarbejders mailkonto har videresendt mails til en ekstern adresse siden februar. Med kun 180 dages revisionslog kan det være svært at se præcis, hvornår reglen blev oprettet, og fra hvilken IP-adresse.
Logning, SIEM og SOC – forskellen
- Logning er at registrere og gemme hændelser.
- SIEM er værktøjet, der samler og analyserer logs fra mange kilder og slår alarm.
- SOC er de mennesker, der reagerer på alarmerne.
Spørgsmål I kan stille
- Hvilke systemer logger vi i dag – og ved vi, hvor længe logs gemmes?
- Samles logs fra firewall, servere og Microsoft 365 ét sted?
- Kan en angriber med administratoradgang slette logs uden at det opdages?
- Hvem kigger på logs – og hvornår?
- Har vi beskrevet i en politik, hvad der logges, hvor længe, og hvordan logs slettes?
Hvornår giver det mening at få hjælp?
Furesø Data kan hjælpe med at afklare, hvilke logs I har, hvor længe de gemmes, og om de bør samles i en løsning med overvågning. Se SOC.
Spørgsmål og svar
Må vi logge medarbejdernes aktivitet?
Logning af sikkerhedshændelser er almindeligt, men logs indeholder ofte persondata. Det bør være beskrevet, hvad der logges og hvorfor, og medarbejderne bør informeres. Se GDPR.
Er 13 måneder et lovkrav?
Nej, det er SAMSIK’s anbefaling. Konkrete krav kan følge af fx NIS2-reglerne eller branchekrav, og databeskyttelsesreglerne kan begrænse, hvor længe logs med persondata må gemmes.
Forbehold: Logs indeholder ofte personoplysninger og er omfattet af databeskyttelsesreglerne. Teksten er ikke juridisk rådgivning om opbevaringsperioder.
Kilder (tjekket 31. oktober 2026)