Office 365 Reporting
Wer was öffnen kann: ein Klick und ein Export. Kein Arbeitstag.
Ein "Wer hat Zugriff worauf"-Bericht heißt meist mehrere Exporte, zusammengeführt in eine Tabelle, die beim Speichern schon veraltet ist - typischerweise ein Arbeitstag pro Frage. In 1Security ist jeder Bildschirm der Bericht: filtern, Ansicht speichern, URL teilen, CSV exportieren oder das SOC dieselben Zahlen über eine schreibgeschützte API abrufen lassen. Hinter jeder Zeile stehen drei Jahre Historie.
- 1filterbare, exportierbare Liste pro Frage - als URL teilbar, ohne Zusammenführen
- 3 JahreAktivitätshistorie hinter jeder Berichtszeile, auf einer Standardlizenz
- 600/minAPI-Anfragen pro Schlüssel, um Protokolle, Erkennungen und Warnungen ins SIEM zu holen
Das Problem
Ein Bericht, der fünf Exporte braucht, ist kein Bericht. Er ist ein Projekt.
Die Daten existieren. Sie sind über Quellen verstreut, die nie dafür gebaut wurden, gemeinsam eine Frage zu beantworten.
Websites in einem Export, Anmeldungen und Gäste in einem zweiten, Bezeichnungen und Audit in einem dritten, Nachrichtenfluss in einem vierten und ein Skript für den Teil, den keine Liste zeigt. Jede Quelle liefert eine andere Form, und bis die Tabelle zusammengeführt ist, hat sich der Mandant weiterbewegt. Eine typische Quartals-Zugriffsüberprüfung kostet ein mittelgroßes IT-Team mehrere Tage Exporte.
Die schwierigsten Fragen lassen sich gar nicht exportieren. "Wer kann diese Datei öffnen, und über welche Gruppe, welchen Link oder welche vererbte Berechtigung" ist in keinem Export eine Spalte - es ist ein Pfad durch den Berechtigungsgraphen, der aufgelöst und nicht abgefragt werden muss. Also sagt der Bericht "Mitglieder von Finance-All" statt "die 1.900 Benutzer, 12 Gäste und 3 Apps, die sie tatsächlich öffnen können".
1Security hält das aufgelöste Modell - jeden Benutzer, jede Gruppe, Website, Datei, jeden Link, jede App, jeden Agenten, jedes Gerät und Postfach in einem Graphen, mit drei Jahren Aktivität daran. Reporting hört auf, Montagearbeit zu sein: Frage am Bildschirm stellen, Ansicht speichern, URL teilen, Liste exportieren. Dieselbe Zahl stimmt morgen noch, weil sie neu berechnet und nicht eingefügt wird.
Was Sie bekommen
Jeder Bildschirm ist der Bericht.
Benutzer, Dateien, Websites, Gruppen, Apps, Agenten, Geräte, E-Mails, Lizenzen, Standorte - jede Liste im Produkt filtert, sortiert und exportiert vollständig.
Live-Listen, vollständige CSV-Exporte
Jede gefilterte Liste wird so exportiert, wie sie ist - keine Zeilenlimits, kein "Top 1.000". Filtern Sie Dateien auf "enthält Kartennummern UND Jeder-Link", exportieren Sie, und die Datei ist der Nachweis. Der Bericht ist der Live-Bildschirm, keine Momentaufnahme vom letzten Monat.
Gespeicherte und geteilte Ansichten
Benennen Sie eine gefilterte Ansicht, verfeinern Sie sie, teilen Sie sie mandantenweit. "Extern freigegeben, sensibel, ohne Ablauf" einmal gespeichert öffnet sich jedes Quartal aktuell - eine URL, kein Ritual. Aktivitäts-Boards funktionieren genauso.
- DSGVO · HIPAA · PCI-DSS
Sensible Daten je Rahmenwerk
Eine Zeile pro Typ vertraulicher Information - Kartennummern, Ausweise, Gesundheitsdaten, Anmeldedaten - mit der Zahl der Dateien, E-Mails, Websites, Benutzer und Apps, die darauf zugreifen können. Nach Rahmenwerk (DSGVO, HIPAA, PCI-DSS, SOX, CCPA, FERPA) und Konfidenz filtern und nur Treffer mit hoher Konfidenz zitieren.
Bezeichnungsabdeckung als Prozentwert
Abdeckung mit Vertraulichkeitsbezeichnungen gemessen daran, wo sensible Daten tatsächlich liegen, je Website und je Bezeichnung. Der Unterschied zwischen "wir haben eine Klassifizierungsrichtlinie" und "68 % der Dateien mit personenbezogenen Daten tragen eine Bezeichnung, im Q1 waren es 41 %".
Lizenznutzung je SKU
Gekauft vs. zugewiesen vs. verfügbar für jede SKU, wer jede Einheit hält, Gäste und inaktive Konten getrennt ausgewiesen. In einem typischen Mandanten sitzen 10-30 % der bezahlten Plätze auf Konten, die sich seit Monaten nicht angemeldet haben - gehen Sie mit dieser Zahl in die Verlängerung.
- 3 Feeds
Eine schreibgeschützte API für den Rest
Normalisierte Aktivitätsprotokolle, Ihre eigenen Richtlinienerkennungen und zugeordnete Sicherheitswarnungen, Schlüssel pro Mandant mit Berechtigungsumfängen, Cursor-Paginierung, 600 Anfragen pro Minute - mit dokumentierter Anbindung an Microsoft Sentinel, Splunk, QRadar und Elastic.
In der Praxis
Die Quartals-Zugriffsüberprüfung in einer Sitzung.
Vom Öffnen der Ansicht bis zur Übergabe der Nachweise - so läuft es, sobald die Ansichten gespeichert sind.
- 01
Die gespeicherte Ansicht öffnen
Dateien: extern freigegeben, sensibel, ohne Ablauf - letztes Quartal gespeichert und mit dem Team geteilt. Sie ist aktuell, sobald sie sich öffnet. Typische Zahl in einem mittelgroßen Mandanten: ein paar hundert Dateien, die meisten auf drei oder vier Websites.
- 02
Die Zahl nennen, nach der der Auditor gefragt hat
Vertrauliche Informationen, nur Erkennungen mit hoher Konfidenz, gefiltert auf DSGVO. "4.120 Dateien mit personenbezogenen Daten, 310 davon über Jeder-Links erreichbar" ist auf Abruf reproduzierbar - keine Schätzung aus einem alten Export.
- 03
Anhängen, wer es berührt hat
Jede Zeile klappt auf: wer geöffnet, heruntergeladen oder geteilt hat, wann, von wo und auf welchem Gerät - bis zu drei Jahre zurück, auf einer Standardlizenz.
- 04
Übergeben
CSV für die Auditakte exportieren, die Ansichts-URL mit dem Compliance-Verantwortlichen teilen oder das SOC dieselben Zeilen fortlaufend über die API abrufen lassen. Eine Quelle, jeder Abnehmer, dieselben Zahlen.
Die Lücke
Zahlen, die es erst gibt, wenn das Modell verbunden ist.
Berichte je Dienst beschreiben jeden Dienst für sich. Diese Antworten existieren nur dort, wo das Modell verbunden ist.
- Wer eine bestimmte Datei öffnen kann, und über welche Berechtigung, welchen Link oder welche Gruppe - als exportierbare Liste von Benutzern, Gästen und Apps
- Zahlen sensibler Daten je Rahmenwerk, nach Konfidenz filterbar und einem Regulator vorlegbar, mit der Reichweite neben jedem Erkennungstyp
- Bezeichnungsabdeckung gemessen daran, wo sensible Daten liegen, je Website, im Trend Quartal für Quartal
- Drei Jahre "wer hat was getan" auf einer Standardlizenz - von 180 Tagen Historie zu drei Jahren
- Lizenzeinheiten gekauft vs. zugewiesen vs. ungenutzt, mit inaktiven Inhabern und Gästen je SKU ausgewiesen
- Eine teilbare URL, die der Bericht ist, beim Öffnen neu berechnet - kein PDF vom März
- Dieselben Zeilen, die über eine Pull-API nach Sentinel oder Splunk fließen, ohne Log-Speicherrechnung fürs Vorbereitetsein
Bereitstellung
Erste exportierbare Antworten noch am selben Nachmittag.
Eine schreibgeschützte Zustimmung, kein Agent, keine Appliance. Der erste Scan listet für die meisten Mandanten Benutzer, Websites, Dateien, Gruppen und Apps innerhalb von Stunden; gespeicherte Ansichten, Exporte und die API stehen bereit, sobald er durch ist. Die Aktivitätshistorie baut sich ab dem ersten Tag auf und wird bis zu drei Jahre aufbewahrt - alles auf Standard-Lizenzen für Microsoft 365.
- Am selben Tagvon der schreibgeschützten Zustimmung zu den ersten gefilterten, exportierbaren Antworten
- 0E5, Entra P2 oder Premium-Audit-Add-ons erforderlich - ab Business Basic
- 1×API-Geheimnisse werden einmal angezeigt und nur als Hash gespeichert; niemand, auch der Support nicht, kann sie wiederherstellen
Anwendungsfälle
Das Audit, der Vorstand, das SOC.
Drei Zielgruppen, drei Formate, ein Satz Zahlen, der sich nie widerspricht.
Audit-Vorbereitung: Die Nachweise stellen sich selbst zusammen. Wer hatte Zugriff, was hat sich geändert, wann und von wo - beantwortet aus dem aufgelösten Modell mit drei Jahren Gedächtnis, exportiert mit denselben Filtern, die der Auditor Sie hat setzen sehen. Eine Überprüfung, die Tage an Exporten kostete, passt in eine Sitzung.
Vorstandsberichte: Trend-Boards machen aus der Sicherheitslage Zahlen, die sich bewegen - extern freigegebene Dateien, Bezeichnungsabdeckung, Gäste mit Zugriff auf sensible Websites - jede mit Sparkline und Historie. Ein Board ist eine teilbare URL, sodass dasselbe Bild jedes Quartal die Führung erreicht, ohne eine Woche Folienbau.
Der SOC-Feed: manche Ereignisse treffen verspätet ein, deshalb trennt die API, wann etwas passiert ist, davon, wann es aufgenommen wurde; Ihr SIEM fragt nach Aufnahmezeit ab und verliert nie ein verspätetes Ereignis. Der Feed der Richtlinienerkennungen exportiert, was Ihre eigenen 1Security-Regeln gefunden haben - "Jeder-Link auf einer Datei mit Kartennummern erstellt" - und diese Daten gibt es nirgendwo sonst.
Weiter erkunden
Woher die Zahlen kommen.
Microsoft 365 Audit-Tool
Die dreijährige Aktivitätshistorie hinter jeder Berichtszeile: jede Aktion einem Benutzer, einer Datei, einem Gerät und Standort zugeordnet, in Sekunden durchsuchbar.
Audit-Tool ansehen →Zugriffsverwaltung
Der Berechtigungsgraph, der "wer kann das öffnen" von einem Tagesprojekt in einen Filter verwandelt - verschachtelte Gruppen, Links und Vererbung aufgelöst.
Zugriffsverwaltung ansehen →Microsoft 365 Warnungen
Wenn eine Zahl, über die Sie berichten, sich zu bewegen beginnt, kommt eine E-Mail vor der nächsten Quartalsprüfung.
Warnungstool ansehen →
FAQ
Reporting-Fragen, direkt beantwortet.
Können Berichte geplant oder mit dem Team geteilt werden?
Gespeicherte Ansichten sind benannt, bearbeitbar und mandantenweit teilbar, und jeder gefilterte Bildschirm ist eine teilbare URL. Für die Push-Zustellung schicken Zusammenfassungswarnungen stündlich, täglich oder wöchentlich E-Mails an die gewählten Empfänger - Top-Downloader dieser Woche, neue Jeder-Links auf sensiblen Dateien, Gäste, die sensiblen Websites hinzugefügt wurden.
Wie weit reichen die Daten zurück?
Die Aktivitätshistorie wird auf einer Standardlizenz bis zu drei Jahre aufbewahrt - Sie gehen also von 180 Tagen Audit-Historie auf drei Jahre. Ein historischer Audit-Backfill kann die Abdeckung weiter zurück erweitern, wo Ihre Microsoft-Lizenzierung es erlaubt. Berechtigungs- und Inventardaten sind immer der Live-Zustand.
Sind die Zahlen zu sensiblen Daten vor einem Auditor belastbar?
Erkennungen stammen aus über 300 deterministischen Detektoren plus OCR und Purview-SIT-Import, jede mit Konfidenzstufe, sodass Sie nur Treffer mit hoher Konfidenz zitieren können. Gespeichert werden Erkennungstyp, Anzahl und Konfidenz - nie die gefundenen Werte selbst - was in der Regel dieselben Auditoren zufriedenstellt, die nach den Zahlen gefragt haben.
Können nicht-technische Beteiligte es nutzen?
Ja. Zugriffspfade werden in Klartext erklärt ("kann öffnen über Finance-All > Finance-Managers"), gespeicherte Ansichten öffnen vorgefilterte Bildschirme, und niemand braucht ein Skript oder eine Abfragesprache. Die Leute, die die Fragen stellen, können die Antworten selbst lesen.
Wie holen wir die Daten in unser SIEM?
Über die schreibgeschützte REST-API: drei Feeds (Aktivitätsprotokolle, Richtlinienerkennungen, Sicherheitswarnungen), Schlüssel pro Mandant mit Berechtigungsumfängen, 600 Anfragen pro Minute, Cursor-Paginierung und dokumentierte Integrationen für Microsoft Sentinel, Splunk, QRadar und Elastic. Sie ist Pull-basiert, es ist also keine eingehende Verbindung in Ihr Netzwerk nötig, und eine Abfrage pro Feed und Minute bleibt bequem innerhalb des Limits.
Hören Sie auf, Berichte zusammenzubauen. Exportieren Sie Antworten.
Verbinden Sie morgens schreibgeschützt und geben Sie nachmittags jemandem eine live gefilterte, exportierbare Antwort in die Hand. Speichern Sie die Ansicht, und das nächste Quartal braucht einen Klick.
Oder führen Sie weiter jedes Quartal fünf Exporte zusammen.