Microsoft 365 Audit und Untersuchung
"Was hat dieses Konto berührt?" In Minuten beantwortet, nicht an Wochenenden.
Die meisten Untersuchungen in Microsoft 365 bedeuten noch immer, Anmeldungen, Dateiereignisse und Postfachspuren von Hand zu einer Zeitleiste zusammenzusetzen - ein Arbeitstag pro Konto, und nur, solange die Ereignisse noch im Aufbewahrungsfenster liegen. 1Security hält bis zu drei Jahre Historie hinter jedem Konto, bereits der Datei, dem Gerät und dem Standort zugeordnet, sodass die Antwort auf "was haben sie berührt, von wo, und wie weit hätten sie kommen können" ein Filter ist, kein Projekt.
Das Problem
Der Hinweis kommt spät. Das Protokoll ist schon weitergezogen.
Ein ausscheidender Mitarbeiter hat in seinen letzten zwei Wochen "viel" heruntergeladen. Ein Auftragnehmerkonto verhielt sich kurz vor Vertragsende seltsam. Ein Phishing-Klick vom Dienstag erreichte das SOC am Freitag. Jede echte Untersuchung beginnt mit einer Spur, die Tage oder Monate alt ist - deshalb bringt 1Security Sie von 180 Tagen Audithistorie auf Standardlizenzen zu drei Jahren, aktiviert am Tag der Verbindung und nicht am Tag, nachdem Sie sie gebraucht hätten.
Selbst innerhalb des Fensters bedeutet ein Konto Anmelde-, Datei-, Postfach- und Gerätedatensätze, die jeweils einen Teil der Geschichte erzählen. Einen Nachmittag eines Benutzers von Hand darüber zu korrelieren, kostet Sie einen eigenen Nachmittag - und sagt immer noch nicht, worauf das Konto hätte zugreifen können, es aber nicht getan hat. Genau diese Zahl fragt die Geschäftsführung zuerst.
In einem typischen Mandanten erreicht ein gewöhnliches Konto Hunderttausende Dateien über Gruppen, Freigabelinks und vererbte Website-Berechtigungen, und niemand hat diese Zahl je aufgeschrieben gesehen. Also wird der Abschnitt zu den Auswirkungen im Bericht eine Schätzung, und die Zeitleiste hat Lücken genau dort, wo die interessante Woche war.
In der Praxis
Ein Konto, in vier Schritten zerlegt.
So läuft eine Untersuchung in 1Security - ausscheidender Mitarbeiter, vermuteter Insider oder kompromittierte Anmeldung, der Weg ist derselbe.
- 01
Konto öffnen und Reichweite ablesen
Öffnen Sie den Benutzer unter Benutzer. Die Detailansicht zeigt, worauf das Konto jetzt zugreifen kann - Websites, Dateien, Gruppen, Postfächer, Links - aufgelöst über jede verschachtelte Gruppe und Vererbung, dazu seine Geräte, seine Anmeldestandorte und seinen Aktivitätstrend gegen die eigene Baseline. Der Wirkungsradius, der früher einen Tag Skripting kostete, ist eine Ansicht - typischerweise in Zehn- oder Hunderttausenden Dateien gezählt.
- 02
Das entscheidende Fenster abspielen
Wechseln Sie zu Aktivitätsprotokolle und filtern Sie auf das Konto und den Zeitraum - letzte Woche oder letztes Jahr, bis zu drei Jahre zurück. Jedes Ereignis nennt Datei, Aktion, App, Gerät (verwaltet oder nicht) sowie Land und Stadt, aus denen es kam, mit dem Audit-Rohdatensatz einen Klick entfernt. Nach Schweregrad sortiert sehen Sie die 40 Downloads und die Postfachregel vor den 4.000 Dateiaufrufen.
- 03
Lesen, was unter Ihrer Warnlinie lag
Anomalien bewahrt jede Abweichung ab zwei Sigma über der eigenen 30-Tage-Baseline des Kontos als Info-Episode - nie gemailt, nie verworfen. Senken Sie den Empfindlichkeitsregler, und der stille Dienstag, vor dem niemand gewarnt hat, erscheint als "Downloads 8x über normal", ohne erneuten Scan und ohne Einlernphase.
- 04
Herkunft prüfen, dann den Kreis schließen
Die Reisespur zeigt, ob das Konto je dort auftauchte, wo sein Besitzer nicht sein konnte - zwei Länder 900 km auseinander innerhalb einer Stunde, ein Rechenzentrum oder ein Tor-Ausgang - und auf welchem Gerät. Befunde werden zu gestaffelten Aktionen: Links ablaufen lassen, Sitzungen widerrufen, Konto deaktivieren, jede in Aktionen protokolliert mit Freigebendem und Zeitpunkt.
Was dahinter steckt
Gedächtnis, Zuordnung und eine Baseline.
Drei Teile der Plattform machen aus einem Audit-Export eine Untersuchung, die Sie vor dem Mittagessen abschließen.
Drei Jahre Audithistorie
Durchsuchbare, zugeordnete Aktivität - von 180 Tagen zu drei Jahren Aufbewahrung mit Standardlizenz, mit getrennten Zeitstempeln für Auftreten und Entdeckung.
Audit-Tool erkunden →Standorte mit Urteil
Jedes Ereignis aufgelöst nach Land, Stadt und Netzwerktyp. Erstmals gesehene Länder markiert, Rechenzentrumsausgänge als solche erkannt, unmögliche Reisen auf der Zeitleiste benannt.
Reiseerkennung erkunden →Warnungen, die Belege behalten
Episoden statt Ereignisflut, ein Empfindlichkeitsregler, den Sie selbst setzen, und eine Info-Stufe, die alles ab zwei Sigma für den Tag aufbewahrt, an dem Sie den Rückblick brauchen.
Warnungs-Tool erkunden →
FAQ
Häufige Fragen.
Wie weit zurück reicht eine Untersuchung?
Bis zu drei Jahre Aktivität, mit einer Standardlizenz für Microsoft 365 - drei Jahre Abonnement bauen drei Jahre Historie auf und bringen Sie von 180 Tagen Standard-Auditaufbewahrung zu drei Jahren ohne Premium-Add-on. Die beim Verbinden verfügbare Audithistorie wird rückwirkend geladen; ab dann läuft nichts mehr ab.
Brauchen wir eine Premium-Lizenz oder einen Agenten auf den Geräten?
Nein. Aufbewahrung, Zuordnung, Standorte und Anomalien laufen mit Standardlizenzen und einer schreibgeschützten Verbindung. Auf Endgeräten wird nichts installiert; die Gerätezuordnung stammt aus den Anmelde- und Auditdatensätzen selbst.
Können wir unauffällig untersuchen?
Ja. Untersuchen ist schreibgeschütztes Durchsehen von Daten, die 1Security bereits hält - Filter, Detailansichten und Zeitleisten. Nichts wird gesendet, geändert oder angekündigt, solange Sie keine Aktion einstellen, und eingestellte Aktionen warten in ihrem eigenen Prüffenster.
Was, wenn die verdächtige Aktivität nie eine Warnung ausgelöst hat?
Dafür gibt es die Info-Stufe. Alles ab zwei Sigma über der eigenen Baseline des Kontos wird gespeichert und ist filterbar, auch wenn niemand eine Mail bekam. Das Senken der Warnlinie klassifiziert die Historie beim Lesen neu - Rückblick ist eine Filteränderung, keine Forensikarbeit.
Das nächste "haben wir etwas übersehen?" verdient eine Antwort.
Verbinden Sie schreibgeschützt, und die Historie beginnt sich noch am selben Tag aufzubauen - damit der nächste ausscheidende Mitarbeiter, der seltsame Auftragnehmer oder die späte Phishing-Meldung ein Zehn-Minuten-Blick ist statt ein verlorenes Wochenende.
Oder setzen Sie die Zeitleiste weiter von Hand zusammen.