---
title: Lokalizacje
description: Zobacz każde miejsce, z którego naprawdę pochodzi aktywność w Twoim Microsoft 365 - biura, sieci domowe, VPN-y, Tor i centra danych - i sprawdź, czy Twoje reguły dostępu warunkowego rzeczywiście je obejmują.
icon: Globe
---
# Lokalizacje (Locations)
Ekran Lokalizacji odpowiada na dwa pytania, które należą do siebie nawzajem: **„Skąd tak naprawdę ktoś sięga po nasze dane - i czy reguły, które zadeklarowaliśmy, zgadzają się z tą rzeczywistością?”** Każde logowanie i każda akcja na pliku w Twoim tenancie dzieje się gdzieś; ten ekran zbiera te „gdzieś” w stabilne, nazwane miejsca, porządkuje je według aktywności i nakłada na nie Twoją konfigurację dostępu warunkowego (Conditional Access), tak aby luki nie miały się gdzie schować.
**Lokalizacja** nie jest tutaj adresem IP. To rozwiązana tożsamość złożona z kraju, miasta i sieci, do której należy połączenie - dzięki temu dwieście ulotnych adresów z jednego gospodarstwa domowego czyta się jako jeden wiersz „Warszawa, Polska - domowy dostawca internetu”. Jak działa to rozwiązywanie, łącznie z rozpoznawaniem i neutralizowaniem ruchu przekaźników samego Microsoftu, opisuje [Analiza lokalizacji](/pl/docs/location).
## Co Możesz Osiągnąć
## Cztery Karty, Jedno Pytanie
- **Lokalizacje** - każde miejsce, z którego zaobserwowano aktywność, jako filtrowalna, sortowalna lista.
- **Lokalizacje firmowe** - miejsca oznaczone jako biura, plus rekomendowani kandydaci.
- **Mapa** - te same dane na mapie świata, z warstwami biur, lokalizacji użytkowników, centrów danych Microsoftu, podejrzanych sieci i luk dostępu warunkowego.
- **Dostęp warunkowy** - Twoje zadeklarowane zasady nałożone na zaobserwowaną rzeczywistość. Pełną mechanikę opisuje [Dostęp warunkowy](/pl/docs/conditional-access).
- **Do przeglądu** - lokalizacje z aktywnym dostępem, na który Twoja lista dozwolonych lub blokowanych lokalizacji nie pozwala; każda z nich to także otwarty incydent. Zobacz [Do przeglądu - lista lokalizacji](#do-przegladu-lista-lokalizacji).
## Jak Czytać Listę
Jedno miejsce to jeden wiersz z samej konstrukcji: jakkolwiek rekord nazwie lokalizację - tu dzielnica, tam inna pisownia - trafia do jednego wiersza miejsca, którym naprawdę jest, z zachowaną dokładną etykietą („Łódź · Widzew”), a niezależne miasteczka zachowują własną tożsamość. Ponadto lista domyślnie grupuje lokalizacje **według miast** - jeden wiersz na metropolię, a kliknięcie w niego rozwija pojedyncze lokalizacje, które za nim stoją. Przełącznik **Wszystkie lokalizacje** pokazuje widok surowy.
Każdy wiersz niesie tożsamość lokalizacji - kraj, miasto i **sieć** (ASN: domowy dostawca internetu, operator komórkowy, sieć firmowa, dostawca chmury) - obok **typu infrastruktury**, werdyktu **pokrycia CA**, odległości do **najbliższego biura**, liczby zaobserwowanych **zdarzeń**, **użytkowników** i **urządzeń**, **wykresu aktywności** oraz dat, kiedy miejsce było widziane **po raz pierwszy** i **ostatni**.
Nad listą szybkie filtry dają jednym kliknięciem dostęp do cięć o najwyższym sygnale, każde z licznikiem na żywo: **Tor**, **VPN**, **Centrum danych** i **Microsoft**. Pełny panel filtrów idzie dalej - po kraju, mieście, sieci, typie infrastruktury, stanie pokrycia dostępu warunkowego, konkretnym ustaleniu CA lub konkretnej lokalizacji nazwanej.
Wzorzec o wysokim sygnale, który kosztuje dziesięć sekund: włącz filtry
**Tor** i **Centrum danych**, a potem posortuj malejąco po dacie **pierwszego
zaobserwowania**. Świeże zanonimizowane źródło, które już generuje aktywność,
to jeden z najmocniejszych tropów kompromitacji, jakie pasywna telemetria może
dać.
Na **pierwsze zaobserwowanie** warto zwracać uwagę na całym ekranie: 1Security oznacza pierwszy raz, gdy dany użytkownik pojawia się w danej lokalizacji, więc „nowe miejsce, prawdziwa aktywność” jest filtrowalnym faktem, a nie przeczuciem.
## Aktywny Dostęp, Próby Logowania i Przetwarzanie
Nie każde zdarzenie przypisane do lokalizacji oznacza, że ktoś tam był. 1Security sortuje każde zdarzenie do jednego z czterech rodzajów, a każdy licznik na tym ekranie - listy, filtry, szuflady, mapa - jest według nich rozdzielony:
- **Aktywny dostęp** - istniejąca sesja coś zrobiła: podgląd lub pobranie pliku, odczyt wiadomości, prompt do Copilota, zmiana administracyjna, udane logowanie. Agent AI działający w imieniu osoby też tu trafia, bo to ta osoba weszła. To liczba, która odpowiada na pytanie „czy ktoś naprawdę stąd wszedł?”.
- **Próby logowania** - logowania odrzucone, zablokowane lub przerwane. Dowodzą tylko, że ktoś *próbował* z danego miejsca, a adres należy do zgadującego hasło. Każdy tenant wystawiony do internetu zbiera je z połowy świata.
- **Automatyczne** - aplikacja, jednostka usługi lub tożsamość agenta działająca samodzielnie, bez osoby za sesją: przebiegi Power Automate, tożsamości agentów Entra, autonomiczna praca Copilota.
- **Przetwarzanie systemowe** - własne centra danych Microsoftu pośredniczące w ruchu (adres to serwer, nie osoba), przekaźniki i boty spotkań oraz zapisy naprawcze samego 1Security.
Nagłówkowy **rodzaj dostępu** lokalizacji to najwyższy z tych, które posiada: cokolwiek z aktywnym dostępem czyta się jako *aktywne*; miejsce z samymi próbami - jako *tylko próby logowania*; i tak dalej. Filtry **Aktywny dostęp** i **Tylko próby logowania** nad listą stawiają dwa przeciwne ustalenia o jedno kliknięcie od siebie: jeśli firma pracuje z Polski, wiersz *tylko próby logowania* z Ghany to szum do przeoczenia, a wiersz *aktywny* z Ghany oznacza, że komuś się udało. Ten sam podział widać na karcie Lokalizacje każdego użytkownika i urządzenia („czy *to* konto coś stąd zrobiło?”), na kartach Użytkownicy i Urządzenia w szufladzie lokalizacji oraz w eksporcie CSV.
## Lokalizacje Firmowe
Biura są kotwicą całego ekranu: gdy 1Security wie, gdzie dzieje się normalna praca, całą resztę można mierzyć odległością od normalności.
Oznaczenie biura to jedno kliknięcie na wierszu lokalizacji i krótkie okno dialogowe - nazwij biuro i ustaw jego **promień normalnego użycia** w kilometrach. Od tej chwili każdy wiersz i każdy punkt na mapie pokazuje, jak daleko leży od najbliższego biura.
Karta otwiera się sekcją **Rekomendowane działania** - kandydatami wyprowadzonymi z tego, co obserwujemy, co deklaruje Entra i co już oznaczono. Sugestia w rodzaju _„To wygląda na biuro”_ przychodzi z dowodami: dziesiątki użytkowników za garścią adresów, koncentracja w dni robocze i godziny pracy, zarządzane urządzenia, aktywność utrzymująca się przez wiele dni. Przyjęcie sugestii otwiera zwykłe okno oznaczania, więc nazwa i promień zostają w Twoich rękach. Działa też kierunek odwrotny: _„To biuro ucichło”_ wskazuje oznaczone biura bez świeżej aktywności.
## Zgłoś Sieć
Obok przycisku biura w panelu każdej lokalizacji jest **Sklasyfikuj sieć** - kanał korekt na rzadki przypadek, gdy klasyfikacja lub geolokalizacja 1Security nie zgadza się z tym, co wiesz. Przeklasyfikuj sieć (całą albo tylko tę lokalizację), popraw miejsce lub zapisz oznaczenie: **Oznacz jako oczekiwaną** wycisza sieć, której ufasz (węzeł Tor Twojego red teamu, VPN podwykonawcy), nie fałszując tego, czym jest, a **Oznacz jako podejrzaną** kieruje zwyczajnie wyglądającą sieć do warstwy podejrzanych i zasięgu polityk.
Zabezpieczenia chronią Cię przed własnym kliknięciem: sieci zweryfikowanych dostawców chmury oraz Tor nie dają się przeklasyfikować hurtowo, a zmiana całej sieci dotykająca wielu lokalizacji jest odrzucana z podaniem liczby. Korekty dotyczące sieci publicznych można opcjonalnie udostępnić, aby klasyfikacja poprawiała się u wszystkich - oznaczenia i cokolwiek o Twojej własnej infrastrukturze nigdy nie opuszczają tenanta. Pełne zasady: [Inteligencja lokalizacji](/pl/docs/location#kiedy-wiesz-lepiej-korekty-i-oznaczenia).
## Mapa
Karta Mapa rysuje każde zlokalizowane miejsce na mapie świata - rozmiar punktu podąża za aktywnością, ciche lokalizacje bledną, a pobliskie punkty łączą się w klastry do czasu przybliżenia. Warstwy przełączają **biura** (wraz z promieniem), cztery opisane wyżej rodzaje dostępu, **podejrzane sieci** (ruch przez VPN, Tor i hosting) oraz **luki CA** - pierścień wokół każdej lokalizacji, której dostęp warunkowy nie obejmuje, obejmuje tylko częściowo albo nigdy w niej nie egzekwował zasad. Zakres czasu od 24 godzin po całą historię zamienia mapę w odpowiedź na pytanie „skąd sięgano po nasze dane w zeszłym tygodniu?”
Przybliżenie nie gubi podkładu: poniżej poziomu państw pojawiają się jednostki pierwszego rzędu - województwa, stany, prowincje, landy - jako jaśniejsza, przerywana linia pod granicami państw, a gdy region jest już dość szeroki, by pomieścić nazwę, pojawia się także jego nazwa. Ten sam poziom szczegółu mają małe mapy w szufladach, więc lokalizacja pokazana obok biura leży w rozpoznawalnym regionie, a nie na jednolitym konturze kraju.
Kolor na mapie to **rodzaj dostępu** lokalizacji: **niebieski** dla miejsc z aktywnym dostępem, **żółty** dla miejsc, które widziały wyłącznie próby logowania, **zielony** dla tożsamości automatycznych działających samodzielnie i **szary** dla czystego przetwarzania - przekaźników Microsoftu, botów spotkań. Każdy z nich to warstwa, którą można wyłączyć, z liczbą miejsc, które zawiera; warstwy prób logowania i przetwarzania warto ukryć, gdy pytanie brzmi „skąd naprawdę pracują nasi ludzie?”, a samą niebieską warstwę studiować, gdy pytanie brzmi „czy ktoś wszedł skądś, skąd nie powinien?”. Podejrzane sieci (VPN, Tor, ruch z hostingu) zachowują czerwoną obwódkę niezależnie od koloru, więc niebieski punkt z czerwoną obwódką - prawdziwy dostęp przez anonimizator - rzuca się w oczy. Nieudana próba nigdy nie dopisuje miejsca do lokalizacji atakowanego użytkownika.
Gdy lista lokalizacji jest skonfigurowana, mapa ma też przełącznik **Do przeglądu** z licznikiem: każde miejsce z aktywnym dostępem, na który lista nie pozwala, dostaje przerywaną czerwoną obwódkę, a podpowiedź takiego punktu pokazuje znacznik **Do przeglądu**. **Tylko do przeglądu** wygasza całą resztę, żeby te miejsca niosły mapę - biura zostają jako punkt odniesienia - i to najszybszy sposób, by zobaczyć, czy trzy oflagowane miejsca to trzy podróże, czy jedna kampania.
Jedna zasada uczciwości utrzymuje wiarygodność mapy: dostawcy chmury przenoszą zakresy IP między centrami danych szybciej, niż nadąża jakakolwiek baza geolokalizacji, więc punkt centrum danych lub Microsoftu jest przypinany **wyłącznie tam, gdzie umieszczają go publikowane przez samego dostawcę dane o regionach** - Azure, AWS i Google Cloud publikują swoje. Ruch z hostingu, którego lokalizacji nikt nie publikuje, nadal pojawia się na liście z najlepiej znanym krajem, ale nigdy jako pinezka, która mogłaby być oddalona o setki kilometrów.
## Karta Dostęp Warunkowy
Ta karta to porównanie „zaobserwowane kontra zadeklarowane” w jednym miejscu. Nagłówek podsumowuje konfigurację - zasady egzekwujące, zasady w trybie tylko raport, lokalizacje nazwane i ile z nich jest zaufanych - obok liczby, która znaczy najwięcej: **odsetka logowań, które przeszły bez zastosowania żadnej zasady**.
Każda zaobserwowana lokalizacja dostaje jeden werdykt pokrycia - **Nieobjęta**, **Objęta częściowo**, **Nazwana**, **Zaufana** albo **Nieustalona** - obliczony z adresów źródłowych faktycznie tam widzianych, a nie z deklarowanego zakresu zasady. Ustalenia mówią, dlaczego wiersz zasługuje na działanie: logowania **bez egzekwowania**, miejsca **niezadeklarowane, a aktywne**, **biuro poza zaufanymi zakresami**, **zaufany zakres wskazujący na ryzykowną infrastrukturę**, **zakres, z którego ruch już wyrósł**, **pokrycie wyłącznie regułą kraju** i inne - każde z licznikiem lokalizacji, które je niosą.
Widok **Lokalizacje nazwane** odwraca porównanie i zaczyna od tego, co zadeklarowano: zakresy, z których nigdy nikt się nie zalogował, lokalizacje nazwane, do których nie odwołuje się żadna włączona zasada, oraz zakresy zwrócone przez Microsoft w formie, której nie dało się sparsować - pokazane, a nie po cichu przemilczane.
Dwa wiersze warte sprawdzenia w dniu podłączenia: **zaufana** lokalizacja
nazwana, której ruch wskazuje na infrastrukturę VPN lub hosting, oraz zaufany
zakres, z którego **nigdy nikogo nie widziano**. Oba są stałym wyjątkiem w
każdej zasadzie wykluczającej zaufane lokalizacje - jeden jest wynajmowany
obcym, drugi nie ma żadnego właściciela.
Podłączenie karty to jedna dodatkowa zgoda tylko do odczytu (`Policy.Read.All`); werdykty per logowanie już są w logach, które 1Security pobiera. Sam dostęp warunkowy wymaga po stronie Microsoftu licencji **Microsoft Entra ID P1** - jeśli Twój tenant jej nie ma, 1Security mówi to wprost, a cała reszta ekranu działa dalej.
## Do przeglądu - Lista Lokalizacji
Karta Do przeglądu zamienia monitorowanie lokalizacji w decyzję, którą podejmujesz raz. Prowadź **listę dozwolonych** krajów, miast i lokalizacji nazwanych Entra, z których ludzie mają pracować, albo **listę blokowanych** miejsc, z których nikt nie powinien się logować - jedną albo drugą, nigdy obie. Od tej chwili każda lokalizacja z **aktywnym dostępem**, na który lista nie pozwala, trafia tutaj do przeglądu, a to samo zdarzenie otwiera incydent na ekranie Anomalii („Aktywny dostęp z lokalizacji spoza listy”), więc działają już posiadane alerty, podsumowania i triage. Link **Reguły alertów** w nagłówku strony otwiera te reguły - kanały, podsumowania, odbiorców - już odfiltrowane do lokalizacji.
Liczy się tylko aktywny dostęp. Password spray z kraju spoza listy nie mówi nic o tym, gdzie pracuje firma, przekaźniki Microsoft nie są miejscem, a sieć prywatna nie ma kraju - żadne z nich nigdy nie trafia na listę do przeglądu.
Konfiguracja to jedno kliknięcie, nie formularz: zacznij od **krajów, które już obserwujemy**, od obserwowanych **miast**, od **lokalizacji nazwanych Conditional Access** (listy krajów stają się krajami, zakresy IP dopasowują się przez znacznik pokrycia) albo - dla listy blokowanych - od **wszystkich krajów nigdy nie widzianych**. Każde źródło jest przygotowane z zaznaczonymi wszystkimi pozycjami; odznacz wyjątki i zatwierdź. Do tego zatwierdzenia nic nie istnieje - wybór listy dozwolonych lub blokowanych tylko otwiera przygotowaną listę, więc możesz otworzyć obie, porównać je i zamknąć bez pozostawiania listy. Wysyłane są Twoje wykluczenia, więc źródło z większą liczbą kandydatów niż jeden ekran i tak zostaje dodane w całości. Pojedyncze wpisy dodajesz z wiersza lub szuflady lokalizacji w wybranej szczegółowości - cały kraj, aglomeracja albo lokalizacja nazwana - albo wybierasz po nazwie w oknie listy - dowolny kraj albo dowolne miasto na świecie, a miejsca, które już obserwujemy, są na górze - gdzie każdy wpis ma też własny przycisk Usuń.
Lista przeglądu jest **wg osób**: jeden wiersz na podróżującego i miejsce, którego lista nie dopuszcza, z informacją kiedy i jak długo tam był. Osoba i miejsce to te same klikalne znaczniki, co wszędzie indziej w 1Security, a sam wiersz otwiera miejsce (widok **Wg lokalizacji** grupuje wiersze po miejscu). **Podróż w porządku** w wierszu jednym kliknięciem potwierdza obecność tej osoby w kraju do teraz. **Zezwól…** otwiera okno decyzji dla tej osoby, a w widoku lokalizacji pierwszą akcją jest **Zezwól osobom…**: pokazuje osoby z aktywnym dostępem w tym miejscu, których nic jeszcze nie dopuszcza, wszystkie zaznaczone, i zapisuje **decyzję dla osoby** o wybranym zasięgu (to miasto, cały kraj albo lokalizacja nazwana). Domyślna to **Tylko ta podróż**: potwierdza, że dotychczasowy dostęp był w porządku, i niczego nie dopuszcza na przyszłość, więc przegląd zrobiony tygodnie po podróży nie zostawia otwartych drzwi - jeśli ta sama osoba pojawi się tam ponownie, miejsce zostanie oflagowane znów. Pozostałe opcje to zezwolenia na okres (30 lub 90 dni, data albo bezterminowo), z opcjonalną notatką. Miejsce nie trafia na listę firmową; incydent rozwiązuje się, bo nie zostaje tam nikt niepotwierdzony, a wiersz pokazuje „Dopuszczone dla wskazanych osób”. Duża organizacja nie kończy więc z listą dozwolonych obejmującą pół świata, a lista blokowanych nadal coś znaczy. Wpis dla całej firmy to drugi przycisk („Wszyscy…”) i link w oknie - na rzadki przypadek, gdy miejsce naprawdę jest nowym biurem. Zezwolenia działają tak samo na liście blokowanych (dopuszczają wskazane osoby mimo blokady), przeżywają zmianę trybu, wygasają w swojej dacie i są wypisane w oknie listy pod **Zezwolenia dla osób**, każde z własnym przyciskiem Usuń.
Dwa kolejne widoki odpowiadają na pytania, które przychodzą po decyzji. **Potwierdzone** to każde zezwolenie i potwierdzenie dla osoby, jakie kiedykolwiek zapadło - osoba, miejsce, decyzja i do kiedy, **kto zdecydował** i **kiedy** - wygasłe są wyszarzone, a nie ukryte, więc pytanie „czy ktoś to w ogóle oglądał?” zawsze ma odpowiedź; każdy wiersz ma własny przycisk Usuń, który ponownie oflaguje miejsce dla tej osoby przy jej następnym aktywnym dostępie. **Historia** to kanał całego tenanta ze wszystkim, co dotknęło lokalizacji - dodane lub usunięte wpisy listy, lista włączona, wyłączona albo przełączona między trybami, nadane lub cofnięte zezwolenia, oznaczone biura, zgłoszone sieci, zlecone akcje reagowania i komentarze - od najnowszych, z informacją kto i kiedy.
### Reaguj - ta sama reakcja, którą oferują anomalie
Oflagowane miejsce bywa nie podróżą, lecz skradzioną sesją, a odpowiedzią nie jest wtedy zezwolenie, lecz blokada. Każdy wiersz **Wg osób** ma tarczę **Reaguj**, każdy wiersz **Wg lokalizacji** i szuflada lokalizacji - przycisk **Reaguj**, z tymi samymi wyselekcjonowanymi akcjami powstrzymania, które anomalia oferuje dla użytkownika: **Wyłącz konto** i **Usuń wszystkie licencje**. Na lokalizacji otwiera się okno z osobami, które miały stąd aktywny dostęp - na oflagowanym miejscu z tymi, których nie obejmuje żadne zezwolenie - wszystkie zaznaczone; odznacz te, którym ufasz, wybierz akcję, a wykona się dla wszystkich nadal zaznaczonych, trafi do [Centrum akcji](/pl/docs/screens/actions) jak każda inna akcja i zostanie zapisana w historii lokalizacji. Tenanty demo wykonują ją w symulacji.
Zezwolenie na miejsce samo rozwiązuje jego otwarte incydenty; usunięcie wpisu otwiera je ponownie przy następnym aktywnym dostępie. Przełączenie między listą dozwolonych a blokowanych czyści wpisy, bo lista dozwolonych odczytana jako blokowana zablokowałaby dokładnie te miejsca, w których ludzie pracują - przełącznik najpierw pyta. Werdykt jest też kolumną, filtrem („Lista lokalizacji”) i polem polityki (`access_list_verdict`), więc trend może go obserwować jak każde inne znalezisko.
## Historia i Komentarze
Każda szuflada lokalizacji ma kartę **Historia i Komentarze**: pełną historię tego miejsca, od najnowszych, z polem komentarza na górze (Enter wysyła, Shift+Enter dodaje wiersz). Zapisywane same, bez niczyjego pisania: dodane lub usunięte wpisy listy obejmujące to miejsce, lista włączona, wyłączona albo przełączona między trybami, dodane lub cofnięte zezwolenia i potwierdzenia dla osób, oznaczenie biura, zgłoszenia sieci - zaufana lub podejrzana, klasyfikacja albo korekta miejsca - oraz każda akcja reagowania zlecona stąd. Zezwolenie na cały kraj pokazuje się na każdej lokalizacji w tym kraju, więc szuflada zawsze tłumaczy, dlaczego jej wiersz przestał być oflagowany. Komentarze są od reszty: co sprawdziłeś, kogo zapytałeś, co postanowiłeś.
Odznaka na karcie i kolumna **Aktualizacje** na liście lokalizacji pokazują, ile wpisów ma dane miejsce. Wiele aktualizacji to samo w sobie sygnał - ktoś już wykonał tu prawdziwą pracę - a kolumna od razu oddziela miejsca „już obsłużone” od nietkniętych.
## Podróże, Per Użytkownik i Per Urządzenie
Lokalizacje podążają za tożsamościami, które je odwiedzają. W panelu każdego użytkownika i urządzenia **ślad podróży** odtwarza ruch tej tożsamości między miejscami - każdy odcinek z pokonanym dystansem, odstępem czasu, prędkością, jaką ten odstęp implikuje, i werdyktem: podróż **prawdopodobna**, **mało prawdopodobna** albo **niemożliwa**. Odcinek oznaczony jako niemożliwy („1 800 km w 40 minut”) to mocniejsze stwierdzenie niż jakikolwiek wskaźnik anomalii - i prowadzi wprost do konkretnych zdarzeń na obu końcach.
Werdykty są celowo konserwatywne: pozycje to centroidy miast z geolokalizacji
IP, nigdy poziom ulicy, a model wykonalności dopuszcza podróż lądową poniżej
400 km i lot z czasem lotniskowym powyżej. Jeśli odcinek i tak jest oznaczony,
zasługuje na Twoją uwagę.
## Licencjonowanie
Wszystko na tym ekranie działa na **standardowej licencji Microsoft 365**. Rozwiązywanie lokalizacji odbywa się lokalnie - żaden zewnętrzny serwis wyszukiwania IP nigdy nie widzi Twoich danych - i nie wymaga Entra ID P2 ani płatnego dodatku do logów logowania. Jedynym wyjątkiem jest opisany wyżej wymóg po stronie Microsoftu dla karty Dostęp warunkowy - i to ograniczenie należy do samego dostępu warunkowego, nie do 1Security.