Microsoft 365 Warnungen
Download-Spitze, Benutzer 4471. Ein Vorfall oder ein normaler Dienstag?
Eine typische Warnung ist ein Schweregrad und ein Benutzername. 1Security schickt den Rest: welche Richtlinie ausgelöst hat, wie weit heute von der eigenen Norm dieses Kontos entfernt ist, von welchem Gerät und welcher Stadt, und ein Klick zu den genauen Ereignissen. 50+ Erkennungen zeigen ihre Live-Trefferzahl in Ihrem Mandanten, bevor Sie sie einschalten, ein Vorfall ist eine E-Mail, und die Warnlinie verschieben Sie jederzeit.
- 50+vorgefertigte Erkennungen, jede zeigt, wie viele Ressourcen in Ihrem Mandanten gerade passen
- 5 Min.typische Zeit vom Audit-Ereignis bis zur Neubewertung der betroffenen Richtlinien und zur E-Mail
- 1 E-Mailpro Vorfall - Episoden und Abklingzeiten fassen eine Serie von 40 Ereignissen zu einer Nachricht zusammen
Das Problem
Eine Warnung nennt einen Benutzernamen. Die Beurteilung dauert meist eine Stunde.
Eine Warnung mit fester Schwelle löst bei einer Zahl aus, die Sie vor Monaten geraten haben, und gibt Ihnen eine Zeile. Alles, was Sie zur Beurteilung brauchen, liegt woanders.
Eine Warnung nennt ein Konto. Sie zu beurteilen heißt zu beantworten, worauf das Konto zugreifen kann - in einem typischen Mandanten Hunderttausende Dateien über Gruppen, Links und Vererbung -, ob 300 Downloads für dieses Konto ungewöhnlich sind und welche Dateien beteiligt waren. Berechtigungen, Anmeldungen, Postfachzugriff und Aktivitätshistorie liegen jeweils an einem anderen Ort. Das zusammenzusetzen ist die Stunde.
Schwellenregeln haben einen zweiten Preis: jede Zahl ist eine blinde Wette. Setzen Sie "mehr als 100 Downloads" hoch, verschlafen Sie den Ausscheidenden, der eine Woche lang 95 Dateien am Tag zieht; setzen Sie sie niedrig, trainiert das Postfach alle darauf, Warnungen zu ignorieren. Die meisten Teams erfahren ein Quartal später, welche Wette sie eingegangen sind - und rühren die Zahl nie wieder an.
1Security beginnt am anderen Ende. Erkennungen zeigen ihre Live-Zahl in Ihrem Mandanten, bevor Sie sie aktivieren, Basislinien werden pro Richtlinie und pro Konto gelernt, und jede Warnung bringt ihre Belege mit - das Urteil dauert Minuten, nicht eine Stunde.
Funktionen
Ein Warnmodell für Trends, Aktivitäten, Anomalien und Automatisierungen.
Alles, was Sie in 1Security wecken kann, wird von derselben Echtzeit-Engine bewertet und über dieselben zwei Kanäle verschickt.
Eine Engine darunter
Aktivität aus dem Überwachungsprotokoll bewertet nur den Ausschnitt der Richtlinien neu, den sie berührt hat, innerhalb von Minuten, mit Zusammenführung pro Mandant (kein Ereignis geht verloren) und einem Abgleichlauf alle 30 Minuten als Untergrenze. Zähler und Basislinien aktualisieren sich, während Sie zusehen.
- 50+
Erkennungen gezählt, bevor Sie sie aktivieren
Die vorgefertigte Bibliothek zeigt, wie viele Websites, Benutzer, Dateien oder Links in Ihrem Mandanten gerade zu jeder Erkennung passen - "Jeder-Links auf sensiblen Dateien: 1.240", "Gäste seit einem Jahr untätig: 86". Sie aktivieren eine Regel und wissen genau, was sie sagen wird.
Sofort- und Zusammenfassungskanal
Sofortwarnungen laufen über den Echtzeitpfad und werden in dem Moment verschickt, in dem eine Linie überschritten wird, mit Abklingzeit, sodass eine Serie eine Nachricht ist und nicht vierzig. Zusammenfassungen sammeln den Rest im gewählten Intervall an die gewählten Empfänger - stündlich, täglich oder wöchentlich.
- 3.5σ
Die Anomalielinie
Jede Richtlinie, jeder Benutzer, jede App und jeder KI-Agent lernt die eigene Basislinie: heute gegen den Median der letzten 30 Tage. Die Warnlinie steht standardmäßig bei 3,5 Sigma und gehört Ihnen - die Historie wird beim Lesen neu klassifiziert, Feinabstimmung dauert Sekunden, nicht ein Quartal.
Episoden, nicht Ereignisse
Eine Spitze öffnet eine Episode, die ihren Höhepunkt verfolgt und schließt, wenn das Verhalten zur Norm zurückkehrt. Eine Benachrichtigung, eine Triage-Entscheidung - offen, bestätigt oder verworfen - statt einer E-Mail pro Ereignis.
Überschreibungen pro Mandant, Typ, Ressource
Setzen Sie Warnlinie und Kanäle einmal für den Mandanten und überschreiben Sie dann pro Ressourcentyp oder pro einzelner Website, Benutzer oder App - die Finanz-Website enger, das Marketing-Team lockerer - ohne die Richtlinien selbst anzufassen.
Keine Zahlen raten
Die Standardregel braucht keine Schwelle von Ihnen.
Abweichung von der eigenen Basislinie der Richtlinie ist die Standard-Warnregel: eine Spitze von 50 % über normal löst aus, und das ist die ganze Konfiguration.
Abweichung sind drei unabhängige Schalter. Spitzen sind standardmäßig an. Einbrüche sind aus, weil Feiertage jede Richtlinie gleichzeitig drücken. Stille ist aus, weil ein Zähler auf null meist bedeutet, dass etwas kaputt ist, nicht dass das Risiko verschwunden ist. Jeder Schalter ist ein bewusster Standard, den Sie pro Richtlinie umlegen können - und eine schlichte Schwelle ("mehr als 500 Downloads in einer Stunde") gibt es weiterhin für die Fälle, in denen Sie die Zahl kennen.
Unterhalb der Warnlinie wird nichts weggeworfen. Alles bis hinunter zu 2 Sigma bleibt als Info erhalten: gespeichert, filterbar, nie verschickt. Wenn Sie vermuten, letzte Woche etwas verpasst zu haben, senken Sie die Linie, filtern auf diese Woche und lesen, was unter Ihrer alten Schwelle bereits aufgezeichnet wurde.
In der Praxis
Ein Massendownload, Minute für Minute.
So sieht der Warnpfad an dem Tag aus, an dem es zählt.
- 01
14:02 - die Spitze beginnt
Ein Auftragnehmerkonto beginnt, Dateien aus einer Finanz-Website zu ziehen. Die Ereignisse landen im Audit-Strom, und die Engine bewertet die betroffenen Richtlinien innerhalb von Minuten neu - nicht nach dem Zeitplan von heute Nacht.
- 02
14:06 - eine Episode öffnet sich
Die heutige Download-Zahl dieses Kontos überschreitet seine eigene 30-Tage-Basislinie: 340 Dateien gegenüber üblichen 12. Eine Anomalie-Episode öffnet sich und verfolgt den Höhepunkt; Reichweite, Gerät und Ursprung des Kontos sind bereits angehängt.
- 03
14:07 - eine E-Mail, mit dem Warum
Der Sofortkanal schickt in dem Moment, in dem die Linie überschritten wird: welche Richtlinie, welches Konto, wie weit von normal, auf welchem Gerät, aus welcher Stadt und welchem Netz. Die Abklingzeit hält den Folgelärm zurück - die nächsten 200 Downloads schicken keine 200 E-Mails.
- 04
14:15 - von der Warnung zur Aktion
Ein Klick landet auf den genauen Ereignissen hinter der Zahl in den Aktivitätsprotokollen. Vom selben Bildschirm aus: Zugriff entziehen, Links ablaufen lassen, Konto deaktivieren - hinter dem Prüffenster gestaffelt und in Aktionen protokolliert, mit wer freigegeben hat und wann.
Der Unterschied
Was jede Warnung mitbringt.
Das sind Eigenschaften des Modells, keine Funktionen, die an eine Benachrichtigung angeschraubt wurden.
- Die Standardregel ist die Abweichung von der eigenen 30-Tage-Basislinie des Kontos - eine feste Zahl ergänzen Sie nur, wenn Sie sie kennen
- Die E-Mail nennt den Benutzer plus worauf er zugreifen kann, sein Gerät, seine Stadt und sein Netz und wie weit heute von seiner Norm entfernt ist
- Das Verschieben der Warnlinie klassifiziert die Historie beim Lesen neu - Feinabstimmung dauert Sekunden, nicht ein Quartal
- Befunde bis 2 Sigma bleiben als Info erhalten - gespeichert und filterbar, nie verschickt
- KI-Agenten bekommen eigene Basislinien, deshalb ist "der Finanz-Agent hat heute viermal so viele Dateien gelesen wie sonst" ein Signal der ersten Reihe
- Defender- und Sentinel-Warnungen landen in derselben Liste, bereits mit den Benutzern, Gruppen, Postfächern und Apps verknüpft, die sie betreffen
- Eine E-Mail mit Abklingzeit pro Episode statt einer pro Ereignis - eine Serie von 40 Ereignissen ist eine Nachricht
- 14 Tage Aufwärmphase, bevor die Anomalieerkennung etwas sagt, und ein Lebenszeichen-Streifen der Engine ("letzte Auswertung vor 3 Minuten"), damit Stille überprüfbar ist
Einführung
Am selben Tag live, ehrlich vom ersten Tag an.
Verbinden Sie mit schreibgeschützter Zustimmung, und die Engine beginnt sofort zu lernen: erste Befunde am selben Tag, Anomalieerkennung nach einer bewussten Aufwärmphase von 14 Tagen. Keine Agenten, keine Appliance, kein SIEM-Vertrag. Es läuft mit Standard-Lizenzen für Microsoft 365, ab Business Basic, und bleibt in Mandanten mit mehr als 40 Millionen Dateien schnell, weil es nur den Ausschnitt neu bewertet, den jedes Ereignis berührt hat.
- 1 Tagvon der schreibgeschützten Zustimmung zu den ersten Befunden und Live-Zählern
- 14 TageHistorie, bevor die Anomalieerkennung ihre erste Warnung schickt
- 500M+Dateien in den größten Mandanten, auf denen die Engine bereits läuft - ohne E5
Anwendungsfälle
Drei Warnungen, die Teams in der ersten Woche einrichten.
Die Exfiltrations-Schwelle: eine stündliche Sofortwarnung auf einem Ein-Stunden-Download-Fenster, typisch "mehr als 500 Downloads eines Benutzers in einer Stunde". Ein Massendownload wird markiert, während er läuft, mit Gerät und Ursprung - der Unterschied zwischen einem Vorfallbericht und einem unterbrochenen Vorfall.
Die Drift-Wache: neue Jeder-Links auf Dateien mit sensiblen Daten, Berechtigungsänderungen auf Finanz-Websites, Anmeldungen aus einem zum ersten Mal gesehenen Land. Jede ist ein vorgefertigter Trend mit Live-Zähler, einen Klick davon entfernt, eine Warnung zu werden.
Die Rückschau: "wir glauben, letzte Woche etwas verpasst zu haben" ist kein Forensik-Projekt mehr. Senken Sie die Anomalielinie, filtern Sie auf diese Woche und lesen Sie, was unter Ihrer alten Schwelle aufgezeichnet wurde - derselbe Mandant, dieselben Daten, derselbe Detektor.
Echtzeit-Überwachung
Ein Massendownload dauert 20 Minuten; der Nachtbericht findet ihn morgen. Die Engine, auf der die Warnungen laufen.
Echtzeit-Überwachung ansehen →Triage von Warnungen hoher Priorität
Die Warnung kommt um 02:14. Was Sie um 02:20 wissen - Konto, Reichweite, Basislinie, Gerät.
Warnungs-Triage ansehen →Anomalieerkennung
Jedes Konto, jede App und jeder KI-Agent gegen die eigene 30-Tage-Basislinie bewertet - der Detektor hinter der Abweichungsregel.
Anomalieerkennung ansehen →
FAQ
Fragen, die Teams vor dem Einschalten der Warnungen stellen.
Muss ich Schwellen abstimmen, bevor die Warnungen nützlich sind?
Nein. Die Standardregel ist die Abweichung von der eigenen Basislinie jeder Richtlinie - eine Spitze von 50 % über normal löst ohne jede Zahl von Ihnen aus. Die Anomalielinie steht standardmäßig bei 3,5 Sigma, und ihr Verschieben klassifiziert die vorhandene Historie beim Lesen neu, sodass Feinabstimmung sofort und umkehrbar ist statt ein quartalslanges Experiment. Wo Sie die Zahl kennen, ist eine schlichte Schwelle ein Feld entfernt.
Wie schnell kommen Warnungen, nachdem etwas passiert ist?
Aktivität aus dem Überwachungsprotokoll bewertet die betroffenen Richtlinien innerhalb von Minuten nach dem Ereignis neu - typischerweise etwa fünf ab dem Moment, in dem das Audit-Ereignis eintrifft. Sofortwarnungen werden in dem Moment verschickt, in dem eine Linie überschritten wird, mit Abklingzeit gegen Serien; Zusammenfassungen sammeln alles andere im eingestellten Intervall.
Ersetzt das die Warnungen von Microsoft Defender?
Es ergänzt sie. Defender- und Sentinel-Warnungen erscheinen in derselben Liste, verknüpft mit den Benutzern, Gruppen, Postfächern und Apps, die sie betreffen - und daneben erhalten Sie die eigenen Richtlinien-Erkennungen von 1Security, die es nirgendwo sonst gibt, weil sie aus Ihrem Berechtigungsgraphen und Ihren Basislinien berechnet werden.
Welche Lizenzen brauchen wir?
Standard-Lizenzen für Microsoft 365 ab Business Basic. Kein E5, kein Entra P2, kein SIEM-Vertrag, nichts zu installieren. Ein Microsoft Defender Plan wird nur gebraucht, wenn Sie Defenders eigene Warnungen neben den Erkennungen von 1Security sehen wollen.
Überflutet das unsere Postfächer?
Das Modell ist dagegen gebaut: Episoden fassen eine Spitze zu einer Benachrichtigung zusammen, Sofortwarnungen haben Abklingzeiten, Befunde unterhalb der Warnlinie werden als Info gespeichert statt verschickt, und alles andere kommt als Zusammenfassung nach Ihrem Zeitplan. In der Praxis sieht ein mittelgroßer Mandant eine Handvoll Sofort-E-Mails pro Woche, keine hundert.
Die 1Security-Plattform
Microsoft 365 Warnungs-Tool ist erst der Anfang
Microsoft 365 Warnungs-Tool ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- BerichteSechs Berichtstypen als PDF, PowerPoint, HTML, CSV und JSON, unter Ihrer Marke mit dem Namen des Kunden, ein Bericht pro Kunde für das ganze Kundenbuch.
- Trends und das TagesbriefingWas sich diesen Monat bewegt hat, was heute eine Entscheidung braucht, nach Rang, für das Kundengespräch und für Ihren eigenen Morgen.
- StandorteWoher jede Anmeldung und jede Aktion wirklich kommt, auf einer Karte, pro Mandant. Verstöße nach Standort, unmögliche Reisen, Zulassungslisten pro Person. Funktioniert ohne Premium-Anmeldeprotokolle.
- GeräteRegistrierte, nicht registrierte und Schattengeräte, aus der Aktivität abgeleitet statt von einem Agenten. Das Gerät, das niemand registriert hat, taucht trotzdem auf.
- Apps und EinwilligungenJede App mit Zugriff auf den Mandanten, was sie erreichen kann, wer eingewilligt hat und ob das noch nötig ist.
- KI-Agenten und CopilotDas Agentenregister: Eigentümer, Reichweite, als wer jeder Agent handelt, was Copilot sehen wird. Die EU-AI-Act-Prüfungen pro Agent, verantwortlicher Eigentümer, transparente Anweisungen und Folgenabschätzung, aus dem Mandanten gemessen. Readiness vor den Lizenzen, Governance danach.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Sehen Sie, worauf Ihr Mandant warnen würde, bevor Sie eine einzige Regel aktivieren.
Verbinden Sie schreibgeschützt, und die 50+ Erkennungen zeigen noch am selben Tag ihre Live-Zähler in Ihrem Mandanten. Schalten Sie die drei ein, die zählen, und der nächste Vorfall kommt als eine E-Mail mit Konto, Gerät und Ereignissen.
Oder raten Sie weiter Schwellen und setzen die Belege von Hand zusammen.