Microsoft 365 Anomalieerkennung
Ein Konto lud heute 340 Dateien herunter. Normal sind 12. Wir melden es in Minuten.
In einem Mandanten mit ein paar tausend Personen passiert jeden Tag etwas Ungewöhnliches - ein Benutzer, eine App oder ein KI-Agent tut das 10-, 30-, 100-fache dessen, was er letzten Monat tat. 1Security lernt für jedes Konto, jede Anwendung, jeden Agenten und jede Richtlinie eine Baseline aus den eigenen letzten 30 Tagen, bewertet den heutigen Tag, während die Ereignisse eintreffen, und behält jede Abweichung - die Warteschlange enthält also, was für Ihren Mandanten ungewöhnlich ist, nicht was eine fremde Schwelle zufällig erwischt hat.
- 30 Tageeigene Historie jedes Kontos hinter jedem Urteil - heute gemessen am Median der vorangegangenen dreißig Tage
- 10 Minvom neuen Audit-Ereignis zur aktualisierten Bewertung - eine Anomalie, die morgens beginnt, steht morgens auf dem Bildschirm
- 0zu konfigurierende Schwellen - ein Regler für die Warnempfindlichkeit, offen verschoben, bewertet Ihre echte Historie neu, sobald Sie loslassen
Das Problem
Eine Regel fängt, was Sie vorhergesehen haben. Die meisten Vorfälle waren nicht vorhergesehen.
Feste Schwellen passen zu einem Team und schlagen bei jedem anderen fehl; pro Konto gelernte Baselines passen zu jedem.
Jeder Massendownload, jede fehlgezündete Automatisierung und jede zu breite Berechtigungsänderung sieht aus der Ferne gleich aus: eine Zahl, die klein war und es plötzlich nicht mehr ist. Eine Buchhalterin, die 40 Dateien herunterlädt, ist Routine, wenn ihre Baseline 38 ist, und ein Vorfall, wenn sie 3 ist. Eine Regel mit einer Schwelle für den ganzen Mandanten kann diese beiden nicht unterscheiden - also feuert sie den ganzen Tag oder verpasst die eine, die zählte.
Das übliche Ergebnis ist eine Warteschlange, die niemand liest, oder eine, die still bleibt, ohne dass man erfährt, was sie nicht gesagt hat. Nachjustieren hilft nur nach vorn - eine neue Schwelle ist eine Wette auf das nächste Quartal, im Schattenmodus, bis jemand Zeit findet. In der Praxis wird die Schwelle einmal gesetzt und nie wieder angefasst.
1Security teilt die Entscheidung in zwei. Was ungewöhnlich ist, wird für jedes Konto, jede App, jeden Agenten und jede Richtlinie gegen die eigene Historie gemessen und immer aufgezeichnet, bis hinunter zu zwei Sigma, ob es Ihre Latte reißt oder nicht. Was eine Warnung verdient, ist eine Linie, die Sie offen oben auf dem Bildschirm verschieben - und das Verschieben bewertet Historie neu, die Sie bereits haben, sodass Sie die Wirkung sofort sehen.
Was Sie bekommen
Eine Baseline für jedes Konto, jede App, jeden Agenten und jede Richtlinie
Ungewöhnlich heißt ungewöhnlich für dieses eine, in diesem Mandanten. Fünfhundert Dateifreigaben sind für ein Team ein normaler Dienstag und für ein anderes ein Großalarm.
Heute gegen die letzten 30 Tage
Die heutige Zahl gegen den Median der vorangegangenen dreißig Tageswerte, ohne heute, damit eine Spitze nie die Latte anhebt, an der sie gemessen wird.
Robuste Statistik statt Durchschnitte
Median und mittlere absolute Abweichung: ein seltsamer Tag in der Vergangenheit vergiftet nie, was "normal" bedeutet, und die Streuung ist Ihre eigene Schwankung, keine Zahl, die jemand gewählt hat.
Bewertet, während Ereignisse eintreffen
Die heutige Zahl wird innerhalb von Minuten nach einem neuen Audit-Ereignis neu berechnet, nicht einmal pro Nacht. Die 340 Downloads erscheinen als Anomalie, während sie noch laufen.
Baselines pro Entität
Ein bestimmter Benutzer, eine bestimmte Drittanbieter-App, ein bestimmter KI-Agent, eine bestimmte Richtlinie - jede gemessen an der eigenen Historie, nicht an der Gesamtheit.
Alles unter der Linie bleibt erhalten
Zwischen zwei Sigma und Ihrer Warnlinie werden Abweichungen als Info gespeichert. Wenn etwas an den Warnungen vorbeirutscht, existiert der Beleg bereits - auf letzte Woche filtern und lesen.
Episoden statt Zeilen
Eine Anomalie öffnet sich, verfolgt ihren Höhepunkt und hält fest, wann die Metrik wieder normal wurde. Eine dreitägige Spitze ist eine Episode mit einer Benachrichtigung und bleibt offen, bis ein Mensch sie bestätigt oder verwirft.
Wie tief es geht
Ein Regler, zwei sehr verschiedene Organisationen
Verschieben Sie den Regler für die Warnempfindlichkeit, und die Klassifikation läuft beim Lesen neu, gegen Ihre echte Historie. Lassen Sie los, und die Zähler für Warnungen und Info daneben antworten sofort.
Eine Bank, ein Krankenhaus oder eine Kanzlei zieht die Linie nach unten Richtung zwei Sigma. Alles, was der Detektor je als bemerkenswert eingestuft hat, wird rückwirkend zur Warnung, und die Audit-Frage - hätten wir es gesehen - wird durch Hinsehen beantwortet, nicht durch Hoffen.
Eine Marketingagentur oder ein Start-up mit dreißig Leuten schiebt die Linie ans lockere Ende. Die Warteschlange schrumpft auf die Handvoll Episoden, die einen Menschen verdienen, und nichts geht verloren: alles unter der Linie liegt weiter in Info, für den Tag, an dem es relevant wird.
Beides ist derselbe Mandant, dieselben Daten und derselbe Detektor, nur der Regler steht anders. Das ermöglicht auch den Untersuchungsschritt, der nach einem Vorfall am meisten zählt: "wir glauben, wir haben letzte Woche etwas verpasst" - Linie senken, auf jene Woche filtern und lesen, was unter Ihrer alten Latte bereits aufgezeichnet war. In einem typischen Mandanten bringt dieser erste Blick eine Handvoll Episoden zutage, die einen zweiten wert sind.
In der Praxis
Eine Spitze, vom ersten Ereignis bis zur geschlossenen Episode
Was ein Admin in Anomalien tatsächlich tut, wenn eine Zahl aus dem Rahmen fällt.
- 01
Warteschlange öffnen, gefiltert auf Warnungen
Anomalien öffnet sich mit den offenen Episoden über Ihrer Warnlinie, neueste zuerst: "Downloads pro Benutzer - 340 heute, Baseline 12, Spitze 09:40". Schweregrad, eine 30-Tage-Sparkline und der Sprung von der Baseline zum aktuellen Wert stehen in jeder Zeile.
- 02
Das Konto lesen, nicht nur die Zahl
Ein Klick öffnet den Benutzer, die App oder den Agenten hinter der Episode: worauf er zugreifen kann, Gerät und Standort der heutigen Aktivität und der vollständige Trend hinter dem Detektor. "Das 4-fache seiner üblichen Dateien" kommt mit der Liste dieser Dateien.
- 03
Entscheiden - die Warteschlange merkt es sich
Episode bestätigen oder verwerfen; mit den Ereignissen im Anhang eskalieren oder eine Behebung - Links ablaufen lassen, Zugriff entziehen, Konto deaktivieren - hinter dem Prüffenster einstellen. Eine Spitze, die über Nacht endete, wartet trotzdem, bis jemand hingesehen hat.
- 04
Den Regler verschieben, wenn sich Ihr Appetit ändert
Neue Aufsicht, neuer Auditor, neues Quartal: ziehen Sie den Empfindlichkeitsregler, und die Zähler antworten sofort auf bereits bewerteter Historie. Kein Schattenmodus, kein Warten darauf, was eine neue Einstellung gefangen hätte.
Was es abhebt
Warum KI-Agenten dieses Design zum richtigen machen
Der Wirkungsradius eines Agenten sind seine Berechtigungen, nicht sein Prompt. Das zu überwachen braucht drei Dinge an einem Ort.
- Das KI-Agenten-Inventar, damit die Entität mit Baseline ein echtes, verwaltetes Objekt ist
- Der Berechtigungsgraph, damit die Reichweite eines Agenten oder Kontos aufgelöst statt geraten wird
- Die Aktivitäts-Baseline, damit "das Vierfache seiner üblichen Dateien" eine Aussage mit einer Zahl dahinter ist
- Anomalien pro Entität für Benutzer, Drittanbieter-Apps und KI-Agenten gleichermaßen, auf einer vergleichbaren Skala
- Ein statistisch äquivalenter Wert für flache Historien und seltene Ereignisse, damit ein Regler alle steuert
- Schweregrad, eine 30-Tage-Sparkline und der Sprung von der Baseline zum aktuellen Wert in jeder Zeile
- Filter nach Stufe, Triage-Status, Schweregrad, Ressourcentyp und Erkennungsdatum, jeder mit Live-Zählern
- Der vollständige Trend hinter einem Detektor und das Aktivitätsprotokoll des Kontos einen Klick von der Anomalie entfernt
Methode
Eine Skala, jede Art von Historie
Flache Historien erhalten einen statistisch äquivalenten Wert - einen Poisson-Tail-Test für seltene Ereignisse, einen prozentualen Sprung für hohe Volumina - sodass jede Episode auf derselben Skala landet und ein Regler alle steuern kann. Die Erkennung ist absichtlich einseitig: nur Spitzen werden markiert, weil Aktivität ständig aus harmlosen Gründen fällt und eine Warteschlange voller Einbrüche die Spitze begraben würde, die zählt.
- 2,0 Sigmadie Untergrenze, unter der nichts gespeichert wird - alles darüber bleibt als Info oder Warnung erhalten
- 3,5die Warnlinie ab Werk, und Sie können sie jederzeit verschieben
- 14 TageHistorie, bevor die Erkennung etwas sagt - so viel brauchen Median und Streuung, um etwas zu bedeuten
Verwandt
Wo das hingehört
Anomalien messen die Abweichung von einer Baseline. Aktivitäten ordnen absolute Extreme - der Top-Downloader dieser Stunde, die Websites, die seit einem Jahr niemand anfasst. Warnungen tragen das Ergebnis zu einem Menschen. Die drei sind ein System, nicht drei Produkte.
Aktivitätsanalyse
Die absoluten Ranglisten: wer diese Woche 4.000 Dateien heruntergeladen hat, welche Websites seit einem Jahr niemand geöffnet hat - mit 1-, 12- und 24-Stunden-Fenstern.
Aktivitäten ansehen →Warnungen
Ein Warnmodell für Richtlinien, Aktivitäten und Anomalien: eine E-Mail um 14:07 für die Spitze, die um 14:02 begann, mit Konto und Gerät.
Warnungen ansehen →KI-Agenten-Inventar
Die verwaltete Population, für die Baselines pro Agent berechnet werden - jeder Agent mit dem, was er lesen kann.
Agenten ansehen →
FAQ
Fragen, die Teams zuerst stellen
Muss ich Schwellen pro Richtlinie oder pro Benutzer konfigurieren?
Nein. Jede Richtlinie und jede Entität lernt ihre eigene Baseline aus den letzten dreißig Tagen, es gibt also nichts vorherzusehen. Die einzige globale Einstellung ist die Warnlinie, und ihr Standard von 3,5 ist vom ersten Tag an brauchbar.
Was passiert, wenn ich den Empfindlichkeitsregler verschiebe?
Die Klassifikation läuft beim Lesen neu, gegen Historie, die bereits bewertet wurde. Die Zähler für Warnungen und Info antworten, sobald Sie den Regler loslassen, und die Warteschlangen füllen sich entsprechend neu. Nichts wird in irgendeine Richtung gelöscht.
Wie lange dauert es, bis die Erkennung anspringt?
Vierzehn Tage für alles, was sie beobachtet - der Punkt, an dem Median und Streuung etwas bedeuten. Davor sammelt 1Security still, statt aus einer Woche Daten Warnungen zu erfinden. Alles andere auf der Plattform ist ab dem ersten Scan live.
Warum werden Einbrüche nicht markiert?
Weil Aktivität ständig aus harmlosen Gründen fällt - ruhige Tage, Aufräumaktionen, gelöste Befunde - und eine Warteschlange voller Einbrüche die Spitze begraben würde, die zählt. Die Erkennung ist absichtlich einseitig; die Frage nach Inaktivität wird auf dem Bildschirm Aktivitäten und über die Lebenszyklus-Filter sauber beantwortet.
Kann eine Anomalie einen einzelnen KI-Agenten betreffen?
Ja. Baselines pro Entität decken Benutzer, Drittanbieter-Anwendungen und KI-Agenten ab. "Der Finanz-Agent hat heute viermal so viele Dateien gelesen wie üblich" ist genau das Signal, das Agenten-Inventar, Berechtigungsgraph und Aktivitäts-Baseline gemeinsam möglich machen.
Sehen Sie, was diese Woche in Ihrem Mandanten ungewöhnlich war.
Verbinden Sie schreibgeschützt, und die Baselines beginnen noch am selben Tag zu wachsen. Zwei Wochen später ist die Warteschlange echt, der Empfindlichkeitsregler das Erste auf dem Bildschirm, und der Morgen mit 340 Downloads eine Episode mit einem Verantwortlichen - keine Zeile in einem Export.
Oder raten Sie weiter, welche Spitze die entscheidende war.