Microsoft 365 Trendverfolgung
12.000 extern freigegebene Dateien. Mehr oder weniger als letztes Quartal?
Ein Bericht liefert eine Zahl für heute. Er kann Ihnen nicht sagen, ob es vor sechs Wochen 4.000 waren oder 28.000, bevor die Bereinigung begann. 1Security macht aus jeder Bedingung über Ihren Mandanten - Websites mit sensiblen Daten für "Jeder" freigegeben, Benutzer ohne Anmeldung seit 90 Tagen, Dateien in Reichweite von Copilot - eine live gezählte Reihe, mit Sparkline auf der Karte und einer Warnung, sobald sie eine Linie kreuzt.
- 50+Trends ab dem ersten Tag vorkonfiguriert - Exposition, Inaktivität, KI-Reichweite, Identitätshygiene
- 9Ressourcentypen, die ein Trend zählen kann: Benutzer, Dateien, Websites, Gruppen, E-Mails, Apps, Agenten, Geräte, Standorte
- 2Arten zu warnen: eine Schwelle, die Sie setzen, oder eine Abweichung von der eigenen Basislinie des Trends
Das Problem
Eine Momentaufnahme sagt, wie es ist. Nicht, wohin es geht.
Die Zahl selbst ist selten das Interessante. Die Richtung ist es.
12.000 extern freigegebene Dateien sind ein Fakt ohne Bedeutung. 12.000, hoch von 4.000 in sechs Wochen, sind ein Befund, mit dem Sie heute zum CISO gehen. 12.000, runter von 28.000 seit Beginn der Bereinigung, sind der Beweis, dass das Programm wirkt. Ein einzelner Bericht liefert nur die erste Lesart - eine Momentaufnahme von jetzt.
Teams, die die zweite und dritte Lesart wollen, exportieren jeden Monat denselben Bericht und heben die Tabellen auf. Nach unserer Erfahrung hält diese Disziplin etwa zwei Quartale, und die Reihe bricht beim ersten geänderten Filter, weil ein Export eine Momentaufnahme ist und keine Definition. Fragt der Auditor, wie sich die Exposition über das Jahr bewegt hat, ist die ehrliche Antwort meist ein Schulterzucken.
Ein Trend in 1Security legt die Definition einmal fest - "Websites mit sensiblen Informationen UND für Jeder freigegeben" - und zählt sie weiter gegen den Live-Berechtigungsgraphen. Die Reihe bleibt über Quartale vergleichbar, die Richtung steht auf der Karte, und dasselbe Objekt kann warnen oder beheben, ohne neu definiert zu werden.
Was Sie bekommen
Jede Bedingung über Ihren Mandanten, täglich gezählt und aufbewahrt.
Trends laufen auf dem Berechtigungsgraphen, also kann ein Trend alles zählen, was der Graph ausdrücken kann - keinen festen Katalog von Berichten.
50+ Trends fertig am ersten Tag
Externe Benutzer, die Dateien herunterladen, Exposition sensibler Daten gegenüber Copilot, inaktive lizenzierte Konten, Gäste ohne Anmeldung seit 90 Tagen, "Jeder"-Links auf sensiblen Dateien. Schalten Sie die ein, die Sie interessieren; die Historie baut sich sofort auf.
Eigene Trends aus demselben Builder wie Automatisierungen
Wählen Sie einen Ressourcentyp - Benutzer, Dateien, Websites, Gruppen, E-Mails, Apps, Agenten, Geräte, Standorte - und stapeln Sie Bedingungen: "Websites mit sensiblen Informationen UND externen Benutzern UND keiner Aktivität seit einem Jahr". Der Zähler ist live und stimmt mit der Anzeige der Websites-Seite überein.
Drei Lesarten, nicht eine
Jede Karte zeigt den aktuellen Wert, die Veränderung im Fenster und die Abweichung von dem, was die Zahl normalerweise tut. "1.240 Jeder-Links, +18 % diesen Monat, deutlich über der 90-Tage-Norm" ist eine Entscheidung; "1.240" ist eine Zeile.
Ein Board pro Person, ein Mandant
Karten in Kategorien gruppiert, die Sie benennen, einfärben und ordnen. Der Sicherheitsverantwortliche hält Exposition und Identität oben; Compliance hält Bezeichnungsabdeckung und DSGVO-Datentypen. Dieselben Zahlen, zwei Boards, kein Widerspruch.
Sparkline auf jeder Karte
Die Form der letzten Wochen steht auf der Karte selbst. Ein Board mit 20 Trends ist in Sekunden gelesen; ein Ausschlag oder ein Plateau ist sichtbar, bevor Sie irgendetwas anklicken.
Warnung auf demselben Objekt
Geben Sie einem Trend einen Sofortauslöser, und er schickt eine E-Mail, wenn der Zähler eine gesetzte Schwelle überschreitet oder von seiner eigenen Basislinie abweicht. Zusammenfassungen sammeln den Rest stündlich, täglich oder wöchentlich. Kein zweites Tool, um die Zahl zu definieren.
Wie tief es geht
Warum "Abweichung von der eigenen Basislinie" eine feste Schwelle schlägt.
Schwellen sind leicht zu setzen und schwer gut zu setzen. Zwei Jahre Personalveränderung machen aus jeder festen Zahl Rauschen oder Stille.
"Warne mich über 500 externen Freigaben" ist eine vernünftige Regel in einem 300-Personen-Mandanten und Dauerrauschen in einem mit 5.000. Innerhalb einer Organisation altert sie genauso schlecht: Die Zahl, die vor der Fusion alarmierend war, ist danach ein normaler Dienstag. Die meiste Warnmüdigkeit kommt von Schwellen, die jemand einmal gesetzt und niemand überprüft hat.
Ein Abweichungsauslöser lernt, was ein Trend normalerweise tut, und feuert, wenn heute davon abweicht. Er überlebt Wachstum, Saisonalität und Umstrukturierungen, ohne dass jemand die Regel anfasst. Schwellen gibt es weiterhin für Fälle, in denen die Anforderung wirklich absolut ist - ein Regulator hat "null Jeder-Links auf Dateien mit Kartennummern" verlangt, oder ein Richtliniendokument nennt ein Limit.
Ein Beispiel: Filtern Sie Websites auf "enthält sensible Informationen" plus "für Jeder freigegeben", speichern Sie das als Trend und beobachten Sie es ein Quartal. In einem typischen mittelgroßen Mandanten startet die Reihe im niedrigen dreistelligen Bereich, fällt in den Wochen nach der Link-Bereinigung stark und kriecht dann um ein paar Websites pro Woche nach oben, wenn Leute teilen. Das Kriechen ist die Zahl, auf die sich eine Warnung lohnt - und in jedem einzelnen Export unsichtbar.
In der Praxis
Die Reihen, die die meisten Teams behalten.
Boards driften zu derselben Handvoll Trends, ungefähr in dieser Reihenfolge.
- 01
Zuerst Exposition verfolgen
Extern freigegebene Dateien, "Jeder"-Links, Websites mit externen Benutzern, sensible Dateien in Reichweite aller. Schalten Sie die Expositionstrends am ersten Tag ein; nach zwei Wochen wissen Sie, ob die Zahl steigt, hält oder fällt - typischerweise steigt sie, bis jemand hinschaut.
- 02
KI-Reichweite ergänzen
Dateien in Reichweite von Copilot, Websites mit sensiblen Daten, die Copilot indiziert, Agenten mit Reichweite in Benutzerdaten. Neu genug, dass die Richtung mehr zählt als das Niveau: flache 30.000 Dateien sind ein Fakt, 30.000, die sich seit dem Lizenz-Rollout verdoppelt haben, sind eine Entscheidung.
- 03
Identitätshygiene ergänzen
Inaktive lizenzierte Konten, Gäste ohne Anmeldung seit 90 Tagen, Konten ohne MFA, ungenutzte bezahlte Apps. Langsam laufende Reihen, bei denen der Trend das ganze Signal ist - und bei denen eine Stufe nach unten Geld zurück in den Lizenzpool bedeutet.
- 04
Die Zahl für die Geschäftsleitung wählen
Ein Trend pro Quartal, den die Führung wiedererkennt - "Dateien mit personenbezogenen Daten in Reichweite von Jeder", "Gäste mit Zugriff auf sensible Websites" - mit angehängter Historie. Die Verbesserung ist eine Linie im Diagramm, keine Behauptung auf einer Folie.
Der Unterschied
Was ein monatlicher Export Ihnen nicht geben kann.
Ein Bericht ist eine Momentaufnahme. Ein Trend ist eine Definition, die weiter misst.
- Freigabelinks jeden Tag ein Jahr lang gezählt, sodass Sie sehen, wo die Zahl geknickt ist, nicht nur wo sie heute steht
- "Lizenzierte Benutzer ohne Anmeldung seit 90 Tagen" als Reihe geführt, sodass Sie wissen, ob das Offboarding Schritt hält
- Eine Bedingung kann Ressourcentypen kreuzen - Websites mit sensiblen Informationen UND externen Benutzern UND ohne Besitzer - in einer Definition
- Veränderung und Abweichung werden für Sie berechnet; niemand hebt 12 Monatstabellen auf und vergleicht sie von Hand
- Trends für Geräte, KI-Agenten und Anmeldeorte liegen auf demselben Board wie Dateien und Benutzer
- Boards pro Benutzer über einen Mandanten, sodass Sicherheit und Compliance dieselben Zahlen unterschiedlich anordnen, ohne dass eine Seite falsch liegt
- Eine Sparkline auf der Karte, sodass ein Ausschlag sichtbar ist, ohne 20 Berichte zu öffnen
- Dasselbe Richtlinienobjekt kann messen, warnen und beheben - ein Trend, den Sie letztes Quartal beobachtet haben, wird in diesem unverändert zur Automatisierung
Design
Eine Richtlinien-Engine, drei Oberflächen.
Ein Trend misst, eine Aktivität ordnet, eine Automatisierung handelt. Alle drei sind Richtlinien, die auf demselben Berechtigungsgraphen ausgewertet, innerhalb von Minuten nach den Ereignissen, die sie berühren, neu geprüft und täglich aggregiert werden, damit die größten Mandanten - 40 Millionen Dateien und mehr - sofort antworten. Deshalb widersprechen sich ein Trendzähler und der passende Bildschirmfilter nie.
- 9Ressourcentypen: Benutzer, Dateien, Websites, Gruppen, E-Mails, Apps, Agenten, Geräte, Standorte
- 10 mintypische Aktualität neuer Aktivität bei jeder Mandantengröße; berührte Richtlinien werden in Minuten neu bewertet
- 3 JahreHistorie hinter jedem Trend auf Standardlizenzen, sodass das letzte Jahr noch im Diagramm steht
Verwandt
Wo das hineinpasst.
Trends sind die Messoberfläche derselben Engine, die Aktivität ordnet und Behebung ausführt. Die meisten Teams kommen von einer der beiden hierher - oder von einem Bericht, den sie nicht mehr neu bauen wollen.
Aktivitätsanalyse
Die Extreme statt der Summen: wer in der letzten Stunde am meisten heruntergeladen hat, welche App seit 90 Tagen niemand nutzt.
Aktivitäten ansehen →Behebungsautomatisierung
Dieselben Bedingungen mit einer Aktion dahinter und einem 72-Stunden-Prüffenster davor.
Automatisierungen ansehen →Reporting
Gespeicherte Ansichten, CSV-Exporte und die schreibgeschützte REST-API, um die Zahlen zu Auditoren und ins SIEM zu bringen.
Reporting ansehen →
FAQ
Fragen, die Teams zuerst stellen.
Was kann ein Trend messen?
Alles, was der Berechtigungsgraph als Bedingung ausdrücken kann, über Benutzer, Dateien, Websites, Gruppen, E-Mails, Apps, KI-Agenten, Geräte und Anmeldeorte - "Websites mit sensiblen Informationen für Jeder freigegeben", "Gäste ohne Anmeldung seit 90 Tagen", "Dateien mit Kartennummern in Reichweite aller", "Geräte, von denen sich seit einem Monat niemand angemeldet hat". Sensitivitätserkennungen, Bezeichnungen, Freigabelinks, Gruppenverschachtelung und Aktivität stehen alle als Bedingungen zur Verfügung.
Muss ich sie selbst bauen?
Nein. Mehr als 50 Trends sind vorkonfiguriert - Exposition, Inaktivität, KI-Reichweite, Identitätshygiene, Lizenzverschwendung. Die meisten Teams behalten fünf bis zehn davon und ergänzen zwei oder drei eigene für die Fragen, die nur sie stellen würden.
Schwelle oder Abweichung - was soll ich nehmen?
Abweichung für alles, was mit der Organisation skaliert, weil eine feste Zahl bei Personalveränderungen schlecht altert. Schwelle, wenn die Anforderung wirklich absolut ist - ein Regulator hat null verlangt, oder ein Richtliniendokument nennt das Limit. Beide landen im selben Warnstrom, per E-Mail, mit Abklingzeiten, damit ein Ausschlag eine Nachricht ist.
Wie weit reicht die Historie zurück?
Ab dem Tag, an dem Sie einen Trend einschalten, und sie wird bis zu drei Jahre auf Standard-Lizenzen für Microsoft 365 aufbewahrt. Aktivitätsbasierte Trends greifen zusätzlich auf die Aktivitätshistorie zu, die 1Security behält - bis zu drei Jahre -, sodass das letzte Jahr noch auf dem Diagramm ist.
Wie hängt das mit Automatisierungen zusammen?
Ein Trend und eine Automatisierung sind dieselbe Richtlinie, einmal ohne und einmal mit Aktion. Eine Zahl, die Sie beobachtet haben, wird ohne Neudefinition zur gestaffelten Behebung, und die Behebung berichtet gegen die Reihe, die Sie ohnehin verfolgen - Sie sehen also, wie der Zähler nach dem Lauf der Automatisierung fällt.
Starten Sie die Reihe heute. Lesen Sie die Richtung nächsten Monat.
Verbinden Sie schreibgeschützt, und die 50+ fertigen Trends zählen ab demselben Tag. Der erste brauchbare Vergleich - hoch, runter oder stabil - kommt innerhalb von Wochen, und die Historie bleibt drei Jahre erhalten.
Oder heben Sie 12 Monatsexporte auf und vergleichen Sie von Hand.