Microsoft 365 Zugriffsüberprüfung
Ein Konto öffnet 200.000 Dateien. Ihre Überprüfung zeigt seine 11 Gruppen.
Die meisten Zugriffsüberprüfungen beginnen bei der Gruppenmitgliedschaft. Auditoren stellen eine andere Frage: Was kann diese Person tatsächlich öffnen, und sollte sie das noch können? 1Security beantwortet sie für jede Identität im Mandanten - Mitarbeiter, Entra-Gäste und reine SharePoint-Gäste eingeschlossen - mit Dateien, Websites, Postfächern, letzter Anmeldung und MFA in einer Zeile. Die Quartalsprüfung dauert einen Nachmittag, kein Quartal.
- 3Identitätsklassen gemeinsam geprüft: interne Konten, Entra-Gäste und reine SharePoint-Gäste, die nie zu Verzeichnisobjekten wurden
- 100.000+Dateien, die ein gewöhnliches Konto typischerweise über Gruppen, Links und Vererbung erreicht - die Zahl, die eine Gruppenliste nie zeigt
- 1 Jahrder Inaktivitätshorizont: Konten ohne Anmeldung seit einem Jahr, die noch Lizenzen, Mitgliedschaften und Zugriff halten
Das Problem
Die Prüfung, nach der der Auditor fragt, handelt von Dateien, nicht von Gruppenlisten.
Zu zertifizieren, wer in einer Gruppe ist, ist der Punkt, an dem die meisten Prüfungen aufhören. Niemand hat gefragt, wer in einer Gruppe ist. Gefragt wurde, wer den Gehaltsordner öffnen kann.
Gruppenmitgliedschaft ist ein Näherungswert für Zugriff, und ein schlechter. Sie sagt nichts über die Freigabelinks, die eine Person erstellt hat, die direkt gewährten Websites, die delegierten Postfächer oder darüber, wie viele Dateien das alles zusammen ergibt. Der Abstand zwischen "Mitglied in 11 Gruppen" und "kann 24.000 Dokumente öffnen, 900 davon mit personenbezogenen Daten" ist der ganze Sinn einer Microsoft 365 Zugriffsüberprüfung - und genau der Abstand, den eine verzeichnisbasierte Prüfung nie überbrückt.
Bei Gästen wird es schwieriger. Entra-Gäste erscheinen in der Gästeliste. Reine SharePoint-Gäste kamen über einen Freigabelink oder eine Website-Berechtigung herein und wurden nie zu Verzeichnisobjekten, deshalb übersieht man sie leicht - und sie halten echten, funktionierenden Zugriff. 1Security listet beide Klassen nebeneinander. In einem typischen Mandanten sind die reinen SharePoint-Gäste zahlreicher als die, von denen Sie wissen.
Dann gibt es die Konten, an denen sich seit einem Jahr niemand angemeldet hat, noch lizenziert, noch in Gruppen, noch mit Zugriff auf sensible Daten. Üblich sind 10-30 % der bezahlten Lizenzen auf solchen Konten. Sie sind Kostenposten und Angriffspfad zugleich. 1Security legt die beiden Tatsachen in eine Zeile.
Was Sie bekommen
Eine Zeile pro Identität: was sie öffnen kann, was sie getan hat, ob sie existieren sollte.
Sortieren Sie nach jeder Spalte. Erreichbare Dateien absteigend findet die Konten, die zuerst geprüft gehören; letzte Anmeldung aufsteigend findet die, die entfernt gehören.
Effektiver Zugriff, aufgelöst
Dateien, Websites, Gruppen, Postfächer und Apps, die ein Konto öffnen kann - direkte Berechtigungen, verschachtelte Gruppen, Freigabelinks und Website-Vererbung zusammengezählt. Die Größe dessen, was ein kompromittiertes Anmeldedatum preisgeben würde.
Sensible Daten in Reichweite
Dateien mit erkannten vertraulichen Informationen oder Vertraulichkeitsbezeichnung in Reichweite des Kontos, dazu die Freigabelinks, die dieser Benutzer erstellt hat, und wer sie noch nutzt.
Aktivität neben Zugriff
Letzte Aktivität, letzte Anmeldung, ein 30-Tage-Aktivitätstrend, gesendete und empfangene E-Mails - damit "kann 24.000 Dateien öffnen" neben "hat letzten Monat 3 geöffnet" steht.
Spalten zur Kontohygiene
Aktiviert oder deaktiviert, Anmeldung gesperrt, MFA registriert, Erstellungsdatum, Lizenzzuweisung - die Spalten, nach denen ein Auditor fragt, in derselben Zeile wie der Zugriff.
Gäste in die Klassen geteilt, die zählen
Intern, Entra-Gast und reiner SharePoint-Gast als getrennte Filter. Die dritte Klasse wird am leichtesten übersehen - und ist meist die längste Liste.
Warnungen und Anomalien an der Identität
Defender-Warnungen und 1Security-Anomalie-Episoden am Konto, sodass der Name aus einer Warnung mit vollem Zugriff und voller Historie bereits geladen aufgeht.
Wie tief es geht
Vier Prüfungen, die jeweils eine Sortierung oder zwei Filter sind.
Jede davon ist sonst ein Skriptprojekt mit mehreren Exporten. Hier dauert jede unter einer Minute.
Prüfung der externen Exposition: Benutzer auf extern filtern, dann auf "erreicht vertrauliche Informationen". Das ist der Bericht, den die meisten Zugriffsüberprüfungen liefern sollen und selten können, weil er Verzeichnisdaten mit Erkennungen auf Dateiebene verbinden muss. Die Liste umfasst typischerweise Dutzende Gäste, manche aus Projekten, die vor Jahren endeten.
Inaktiv mit Zugriff: nach letzter Anmeldung aufsteigend sortieren, auf lizenziert filtern. In einem mittelgroßen Mandanten liefert das Hunderte Konten. Gekreuzt mit Gruppenmitgliedschaften und erreichbaren Dateien ist dieselbe Liste Lizenzrückgewinnung und Angriffsflächenreduktion in einem Durchgang.
MFA-Lücken bei großer Reichweite: auf keine registrierte MFA-Methode filtern, nach erreichbaren Dateien sortieren. Nicht jedes Konto ohne MFA wiegt gleich; das grenzt die Liste auf die zwanzig ein, bei denen es am meisten zählen würde.
Vorfallseingrenzung: beim Konto aus einer Defender-Warnung beginnen und Reichweite, Aktivität, Geräte und Anmeldeorte lesen, ohne den Bildschirm zu wechseln. Jede Benutzerzeile führt in den Berechtigungsgraphen, sodass Sie sehen, warum der Zugriff besteht - nicht nur, dass er besteht.
In der Praxis
Die Offboarding-Prüfung in der Reihenfolge, die nichts zurücklässt.
Das Konto zu entfernen ist der letzte Schritt, nicht der erste - drei der vier Schritte sind nicht mehr möglich, sobald es weg ist.
- 01
Lesen, was der Ausscheidende öffnen kann
Öffnen Sie den Benutzer in Benutzer. Das Reichweiten-Panel listet jede Website, Datei und jedes Postfach - auch das, was über verschachtelte Gruppen und Links kam statt über eine direkte Berechtigung. Bei einem Mitarbeiter mit fünf Jahren Betriebszugehörigkeit sind das typischerweise Zehntausende Dateien.
- 02
Lesen, was er in den letzten 90 Tagen berührt hat
Aktivitätsprotokolle gefiltert auf das Konto: Downloads, Freigaben, Postfachzugriffe, Anmeldeorte und Geräte. Hier wird aus einem routinemäßigen Offboarding gelegentlich eine Untersuchung - ein Ausschlag von 600 Downloads in der letzten Woche ist hier sichtbar, nicht in einer Gruppenliste.
- 03
Stilllegen, was er erstellt hat
Von diesem Benutzer erstellte Freigabelinks überleben das Konto. Sie stehen in der Zeile - typischerweise Dutzende, einige "Jeder"-Links - und lassen sich von derselben Stelle ablaufen lassen, hinter dem 72-Stunden-Prüffenster.
- 04
Dann entziehen und zurückholen
Starten Sie die Offboarding-Automatisierung: Zugriff entfernen, Anmeldung deaktivieren, Lizenz zurückholen. Jede Aktion landet in Aktionen mit Freigebendem und Zeitpunkt - der Nachweis, nach dem das nächste Audit fragen wird.
Was 1Security hinzufügt
Eine Prüfung nach Zugriff geordnet, nicht nur nach Konto
Ein Verzeichnis ordnet Identitäten nach Konto. 1Security ordnet dieselben Identitäten nach dem, was sie öffnen können.
- Alles, was ein bestimmtes Konto öffnen kann, mit Verschachtelung, Links und Vererbung zu einer Dateizahl aufgelöst
- Reine SharePoint-Gäste eingeschlossen, obwohl sie nie zu Verzeichnisobjekten wurden
- Vertrauliche Informationen und bezeichnete Dateien in Reichweite einer einzelnen Identität
- Die von dieser Person erstellten Freigabelinks, und wer sie noch nutzt
- Inaktive Konten mit ihren Lizenzen, Mitgliedschaften und ihrer Reichweite in derselben Zeile
- MFA-Registrierung neben der Reichweite gelesen, damit die Lücken, die zählen, zuerst stehen
- Gesendete und empfangene E-Mails mit letzten Zeitstempeln neben der Dateiaktivität
- Defender-Warnungen und Anomalie-Episoden an der Identität für sofortige Eingrenzung
Skalierung
Jede Identität, keine Stichprobe - in Mandanten mit 40 Millionen Dateien.
Eine Zugriffsüberprüfung ist nur glaubwürdig, wenn sie die Identitäten abdeckt, die niemand registriert hat: die Gäste aus einem Projekt vor drei Jahren, die Dienstkonten, die älter sind als das aktuelle Admin-Team, die reinen SharePoint-Gäste, die man leicht übersieht. 1Security löst den effektiven Zugriff jedes Kontos aus dem Berechtigungsgraphen auf, hält ihn aktuell und bewahrt bis zu drei Jahre Aktivität dahinter auf.
- 40 Mio.+Dateien in den größten produktiven Mandanten, für die der Berechtigungsgraph den Zugriff pro Identität auflöst
- 3 JahreAktivitätshistorie hinter jedem Konto - von 180 Tagen Standardaufbewahrung auf drei Jahre
- 0Schreibberechtigungen nötig für die gesamte Prüfung - die Behebung ist ein separates Opt-in-Modul
Verwandt
Wo die Prüfung normalerweise endet
Eine Benutzerprüfung endet woanders: in der Gruppe, die den meisten Zugriff gewährt hat, in der Lizenz, die Geld kostet, oder in der Automatisierung, die aufräumt. Das sind die nächsten Stationen.
Gruppenzugriffsanalyse
Die Verschachtelungskette, die der Identität den Großteil ihrer Reichweite gab - und was eine Mitgliedschaftsanfrage tatsächlich freischaltet.
Gruppen ansehen →Lizenzoptimierung
Die 10-30 % bezahlter Plätze auf Konten, die sich nicht mehr anmelden.
Lizenzen ansehen →Behebungsautomatisierung
Das Prüfergebnis in gestaffelte, prüfbare Aktionen mit 72-Stunden-Fenster überführen.
Automatisierungen ansehen →
FAQ
Fragen, die Teams zuerst stellen
Was ist ein reiner SharePoint-Gast?
Eine externe Person, die über einen Freigabelink oder eine Website-Berechtigung Zugriff erhielt, ohne je ins Verzeichnis eingeladen worden zu sein. Sie hält echten, funktionierenden Zugriff und wird leicht übersehen, weil sie nie zum Verzeichnisobjekt wurde - deshalb sammeln sich diese Gäste jahrelang unbemerkt an. In den meisten Mandanten sind sie die größte Gästeklasse.
Zählen bei "erreichbare Dateien" auch Zugriffe über Gruppen und Links?
Ja. Direkte Berechtigungen, Gruppenvererbung einschließlich Verschachtelung, Freigabelinks, Website-Vererbung und App-Zugriff zählen alle. Alles andere würde die Antwort untertreiben - genau der Fehler einer mitgliedschaftsbasierten Prüfung.
Kann ich die Prüfung als Nachweis exportieren?
Ja - CSV-Export aus jeder gefilterten Liste, gespeicherte Ansichten, damit dieselbe Prüfung im nächsten Quartal reproduzierbar ist, und eine schreibgeschützte REST-API, falls der Nachweis in einer GRC-Plattform oder SOC-Pipeline landen soll statt in einer Tabelle.
Brauchen wir dafür Entra ID P2 oder E5?
Nein. Effektiver Zugriff, Gästeklassen, Inaktivität, MFA-Status und Aktivitätshistorie laufen mit Standard-Lizenzen für Microsoft 365 über eine schreibgeschützte Verbindung. Nichts zu installieren.
Kann es Zugriff entziehen oder nur berichten?
Es kann handeln, im Opt-in-Schreibmodell der gesamten Plattform. Zugriff entfernen, die von einem Benutzer erstellten Links ablaufen lassen, Anmeldung deaktivieren und Lizenz zurückholen sind Automatisierungen, die pro Ressource einen Vorschlag hinter einem Prüffenster (standardmäßig 72 Stunden) einstellen, bevor etwas angewendet wird - und jede Aktion wird protokolliert.
Führen Sie die Prüfung durch, nach der der Auditor wirklich gefragt hat.
Verbinden Sie schreibgeschützt, und jede Identität kommt noch am selben Tag mit Dateien, Websites, Postfächern, letzter Anmeldung und MFA-Status an. Die Gästeliste ist meist länger, als irgendjemand erwartet hat.
Oder zertifizieren Sie erneut Gruppenmitgliedschaften und hoffen, dass das die Frage war.