Schattengerät-Erkennung
Jedes fünfte Gerät, das Ihre Daten berührt, hat sich nie registriert. Wir listen alle.
In einem typischen Mandanten steht jedes fünfte Gerät, das Unternehmensdaten berührt, gar nicht im Verzeichnis - private Handys, Heim-PCs und Maschinen, die Dateien lesen, ohne sich je anzumelden. 1Security rekonstruiert jedes Gerät aus den Anmeldungen und Aktivitäten, die Ihr Mandant ohnehin erzeugt, stuft es als registriert, nicht registriert oder Schatten ein und zeigt, worauf es zugegriffen hat. Auf keinem Endgerät wird etwas installiert.
- 3Geräteklassen - registriert, nicht registriert, Schatten - für jedes gesehene Gerät
- 0Agenten, Profile oder Zertifikate - Geräte werden allein aus Aktivität rekonstruiert
- Heute"zuletzt gesehen" pro Gerät, abgeleitet aus der Aktivität von heute statt aus einer periodischen Verzeichnisaktualisierung
Das Problem
Angreifer melden sich an. Das Konto wirkt normal. Nur das Gerät passt nicht.
Sobald jemand ein gültiges Token hat, ist jede Protokollzeile legitim, weil die Anmeldeinformation es ist. Die Maschine, die das Token benutzt, ist das Einzige, was ihn verrät.
Ein Finanzkonto, das plötzlich von einem Windows-PC arbeitet, den niemand registriert hat, in einem Browser, den Ihre Images nie ausliefern, ist eine Spur, die keine kontoseitige Telemetrie liefert. Deshalb wird die Mehrzahl der Identitätsangriffe zuerst am Gerät sichtbar - und deshalb ist die Geräteliste ein Sicherheitskontrollpunkt, keine IT-Hygiene.
Registrierungsbasierte Verwaltung beginnt konstruktionsbedingt bei der Registrierung. Ein Gerät, das sich nie registriert hat, hat nirgends einen Eintrag. In einem typischen Mandanten sind das 15-25 % der Geräte, die Daten berühren - private Handys und Heim-PCs - plus eine kleinere Gruppe, die sich nie authentifiziert hat.
Diese letzte Gruppe nennt 1Security Schattengeräte: Maschinen, die beim Öffnen oder Herunterladen von Daten gesehen wurden, ohne eine einzige beobachtete Anmeldung. Dieses Muster ist die Signatur eines gestohlenen oder wiederverwendeten Tokens, das dort benutzt wird, wo es nicht hingehört - und es ist aus Ihren Audit-Daten sichtbar, ohne irgendetwas auszurollen.
Funktionen
Ein Geräteinventar, gebaut aus dem, was wirklich passiert ist.
Jedes Gerät ist eine dauerhafte Identität mit Benutzern, Standorten, Aktivität und Intune-Status - aus Aktivität aktuell gehalten.
Schattengeräte mit einem Klick
Der Chip Schatten auf dem Bildschirm Geräte filtert auf Maschinen, die beim Datenzugriff ohne beobachtete Authentifizierung gesehen wurden, mit Live-Zähler. In den meisten Mandanten findet der erste Durchgang eine Handvoll - jedes ist entweder ein Token-Problem oder eine Lücke in Ihrer Protokollierung, und beides ist eine Stunde wert.
Nicht registrierte Geräte mit stabiler Identität
Geräte außerhalb des Verzeichnisses erhalten einen Fingerabdruck als Schlüssel, ihre Sitzungen werden daran geheftet. Aus "ein seltsames Ereignis letzten Dienstag" wird "diese Maschine, diese 40 Dokumente, diese zwei Konten, erstmals gesehen vor 3 Tagen".
- Benutzer, Apps, IPs
Zahlen, die kein Verzeichnis hat
Anmeldungen, verschiedene Benutzer, Anwendungen und IP-Adressen pro Gerät, dazu Hersteller, Modell und Browser. Ein Gerät, das 4 Benutzer über 9 IPs teilen, liest sich ganz anders als der Laptop einer Person.
Ein "zuletzt gesehen", das wirklich heute meint
1Security leitet "zuletzt gesehen" aus den Aktivitätsprotokollen ab - ein Gerät, das heute Morgen eine Datei geöffnet hat, zeigt heute Morgen, nicht das Datum seiner letzten Verzeichnisaktualisierung.
- Schatten, Nicht verwaltet, Privat
Neun Schnellfilter mit Live-Zählern
Schatten, Nicht registriert, Nicht verwaltet, Nicht konform, Gerootet, Konformität abgelaufen, Keine Aktivität seit einem Jahr, Privat, Deaktiviert. Sie lassen sich kombinieren: Nicht verwaltet + Privat ist die BYOD-Liste, die niemand kontrolliert - am ersten Tag meist Dutzende Geräte.
Wo jedes Gerät gewesen ist
Der Reiter Standorte in der Geräteansicht ist eine Reisezeitleiste: jedes Land, jede Stadt und jedes Netz, aus dem das Gerät aktiv war, neueste zuerst, mit Ereigniszahlen. "Verbindet sich dieser Laptop neuerdings über einen Hosting-Anbieter im Ausland?" dauert Sekunden.
Zusammenspiel mit Intune
Intune setzt durch. 1Security entdeckt.
Konformität, Verwaltungsstatus, Besitz und Vertrauenstyp werden nativ aus Entra ID und Intune gelesen, sodass der Status, den Sie sehen, immer mit Ihrem MDM übereinstimmt.
Auf dieser gemeinsamen Grundlage ergänzt 1Security die Entdeckungsschicht: die Geräte, die sich nie registriert haben, ein "zuletzt gesehen" aus echter Aktivität und die Datensicht - welche Dateien, Benutzer und Standorte ein Gerät berührt hat.
Nichts davon braucht zusätzliche Lizenzen. Ein Business-Basic-Mandant reicht für alles, was 1Security selbst erzeugt: Erkennung, Klassifizierung, Aktivitätsstatistiken, Standorte und die Verknüpfung mit Daten. Eine Intune-Lizenz reichert dieselben Zeilen um Intunes eigene Statusfelder an und schaltet die Behebung frei - wenn ein Gerät gelöscht, außer Betrieb genommen oder deaktiviert gehört, tun Sie das in Intune oder Entra, und 1Security sagt Ihnen genau, welche es verdienen.
In der Praxis
Eine vertrauliche Datei ging um 22:40 raus. Von welchem Gerät?
So sieht Gerätezuordnung an dem Tag aus, an dem es darauf ankommt.
- 01
Den Download in Aktivitätsprotokolle öffnen
Das Audit-Ereignis trägt eine Sitzungs-ID, aber keine Geräte-ID - genau hier hören die meisten Tools auf. In 1Security zeigt die Zeile bereits die Gerätespalte, weil die Sitzung schon beim Einlesen einem Gerät mit Fingerabdruck zugeordnet wurde.
- 02
Das Gerät öffnen
Eine nicht registrierte Windows-Maschine, ein Browser, den Ihre Images nie ausliefern, diesen Monat mit 2 verschiedenen Konten und 9 IP-Adressen gesehen, erstmals vor 3 Tagen. Nicht verwaltet, Privat, kein Intune-Eintrag.
- 03
Den Reiter Standorte lesen
Die Reisezeitleiste hat gerade ein Land hinzugefügt, aus dem Ihr Team nie gearbeitet hat, in einem Hosting-Netz. Unmögliche Reise ist gegen die letzte bekannte Stadt des Kontos markiert. Das ist keine Inventarzeile - das ist eine Spur.
- 04
In Minuten handeln
Konto deaktivieren und seine Sitzungen aus 1Security heraus beenden, im optionalen Schreibmodul hinter dem Prüffenster; das Gerät in Intune löschen oder außer Betrieb nehmen. Die Frage "von welchem Gerät?" war beantwortet, bevor der Anruf begann.
Der Unterschied
Was aktivitätsbasierte Entdeckung hinzufügt.
Das ergibt sich daraus, Geräte aus Aktivität zu rekonstruieren - nicht daraus, einem Verzeichnis Spalten anzuhängen.
- Geräte, die sich nirgends registriert haben, entdeckt aus Anmeldungen und Datenaktivität
- Schattengeräte: Datenzugriff ohne beobachtete Authentifizierung - so nah kommt passive Telemetrie an "dieses Token ist nicht bei seinem Besitzer"
- "Zuletzt gesehen" aus Aktivitätsprotokollen - ein Gerät, das heute Morgen eine Datei geöffnet hat, zeigt heute Morgen
- Zuordnung Sitzung zu Gerät - Audit-Ereignisse tragen eine Sitzungs-ID, und die Zuordnung zu einem Gerät mit Fingerabdruck macht den Verkehr zuordenbar
- Verschiedene Benutzer, Apps und IPs pro Gerät - eine geteilte Maschine liest sich anders als eine private
- Eine Reisezeitleiste pro Gerät mit Sprung per Klick zu den genauen Ereignissen von jedem Ort
- Nicht verwaltet + Privat mit einem Klick - die BYOD-Liste, die niemand kontrolliert, mit Live-Zähler
- Die verbliebenen Geräte eines ausgeschiedenen Mitarbeiters, noch mit Sitzung, gefunden, bevor sie zum Vorfall werden
Bereitstellung
Nichts zu installieren. Nirgends.
Verbinden Sie mit schreibgeschützter Zustimmung, und die Geräte setzen sich aus der Aktivität zusammen, die Ihr Mandant ohnehin erzeugt - die ersten Schatten- und nicht registrierten Geräte erscheinen am selben Tag. Kein Agent, kein Zertifikat-Rollout, keine Netzwerk-Appliance und keine Intune-Lizenz für irgendetwas, das 1Security selbst ableitet.
- 1 Tagvon der schreibgeschützten Zustimmung bis zu den ersten Schattengerät-Funden
- 0berührte Endgeräte - die Rekonstruktion läuft auf Audit- und Anmeldedaten
- 100 %der Intune-Statusfelder nativ von Microsoft gelesen, sodass beide Tools übereinstimmen
Anwendungsfälle
Drei Gerätefragen, in der ersten Woche beantwortet.
Das BYOD-Audit: filtern Sie Nicht verwaltet + Privat mit einem aktuellen "zuletzt gesehen"-Bereich, und Sie sehen genau die privaten Maschinen, die zuletzt Unternehmensdaten berührt haben - jede mit ihren Benutzern, Dateien und Orten. Die meisten Mandanten treffen in der ersten Stunde auf Dutzende Geräte, die sie nicht erklären können.
Der Offboarding-Durchgang: das Konto eines Ausgeschiedenen ist deaktiviert, seine Geräte bleiben. Filtern Sie Geräte nach Benutzer, prüfen Sie, worauf jede Maschine noch zugegriffen hat, und schließen Sie den Kreis - einschließlich des privaten Laptops, von dem niemand wusste.
Vorfallseingrenzung: steht ein Konto unter Kompromittierungsverdacht, trennt seine Geräteliste die Geschichte in "der übliche Laptop" und "ein Fremder mit Fingerabdruck, erstmals diese Woche gesehen". Kombiniert mit einem zuvor unbekannten Ursprung aus der Reisezeitleiste haben Sie das eindeutigste Token-Diebstahl-Signal, das passive Telemetrie liefern kann. 1Security findet und ordnet; Intune setzt durch.
Erkennung unmöglicher Reisen
Die Standort-Hälfte derselben Geschichte - von wo jedes Gerät und Konto wirklich arbeitet, mit Urteilen zu unmöglichen Reisen.
Standorte erkunden →Bedingter Zugriff Überwachung
Ob die Anmeldungen dieser Geräte überhaupt von einer Richtlinie erfasst werden - und welcher Anteil ungeregelt hereinkommt.
Abdeckung prüfen →1Security + Microsoft Intune
Wie sich die beiden Produkte das Geräteproblem teilen: Erkennung und Einordnung hier, Durchsetzung dort.
Kombination ansehen →
FAQ
Häufige Fragen.
Was genau ist ein Schattengerät?
Ein Gerät, das beim Zugriff auf Ihre Daten ohne jede beobachtete Authentifizierung gesehen wurde - zum Beispiel ein vertrauliches Dokument, das von einer Maschine geöffnet wurde, die sich nie auf normalem Weg angemeldet hat. Es ist die riskanteste Teilmenge der nicht registrierten Geräte, weil dieses Muster die Signatur eines legitimen Tokens ist, das dort benutzt wird, wo es nicht hingehört.
Brauche ich Intune, damit das funktioniert?
Nein. Alles, was 1Security selbst erzeugt - Erkennung, Klassifizierung, Aktivitätsstatistiken, Standorte, Datenverknüpfung - funktioniert in einem Business-Basic-Mandanten. Betreiben Sie Intune, reichern dessen Statusfelder (Konformität, Verwaltungsstatus, Besitz) dieselben Zeilen an, nativ von Microsoft gelesen, sodass sich beide Tools nie widersprechen.
Installiert 1Security etwas auf Geräten?
Nichts. Geräte werden serverseitig aus den Anmelde- und Aktivitätsdaten rekonstruiert, die Ihr Mandant ohnehin erzeugt. Es gibt keinen Agenten, kein Profil, kein Zertifikat - und genau deshalb sind nicht verwaltete und Schattengeräte überhaupt sichtbar.
Kann 1Security ein riskantes Gerät löschen oder deaktivieren?
Das Deaktivieren eines Gerätekontos ist über das optionale Schreibmodul verfügbar, hinter demselben Prüffenster wie jede andere Automatisierung. Löschen und Außerbetriebnahme bleiben bewusst Intune-Vorgänge - 1Security sagt Ihnen genau, welche Geräte es verdienen, und die Aktion landet in dem Tool, das dafür gebaut ist.
Wie viele unbekannte Geräte finden Mandanten üblicherweise?
Am ersten Tag sind 15-25 % der Geräte, die Daten berühren, außerhalb des Verzeichnisses üblich - vor allem private Handys und Heim-PCs - plus eine Handvoll Schattengeräte. Der Anteil zählt weniger als die Liste: hinter jeder Zeile stehen die Benutzer, Dateien und Standorte, sodass die Triage Minuten dauert, kein Projekt.
Sehen Sie jedes Gerät, das Ihre Daten berührt. Dann entscheiden Sie.
Verbinden Sie schreibgeschützt, und die Maschinen, die tatsächlich auf Ihre Daten zugreifen - auch die, von denen Ihr Inventar nie gehört hat - sind am selben Tag aufgelistet, jede mit dem, was sie geöffnet hat und von wo.
Oder entdecken Sie Geräte weiter einen Vorfall nach dem anderen.