Microsoft 365 Einbruchserkennung nach Standort
Wer ist gerade in Ihrem Microsoft 365 und gibt sich als Ihr Mitarbeiter aus?
Starke Passwörter und MFA stoppen viele Angriffe, aber nicht alle. Wenn jemand mit geliehenen Zugangsdaten hereinkommt, kann er eines nicht fälschen: wo er ist. 1Security weiß, von wo Ihre Leute arbeiten, und sobald echte Aktivität von woanders kommt, wissen Sie es auch - wer, wo und wie lange. Standardlizenz, reiner Lesezugriff.
Das Problem
Ein Einbruch sieht aus wie ein normaler Arbeitstag. Bis auf den Ort.
Angreifer brechen kaum noch die Tür auf. Sie kommen mit einem geliehenen Schlüssel herein: einer überzeugenden gefälschten Anmeldeseite, einer vom Heim-Laptop kopierten Browsersitzung, einer App, die jemand einmal genehmigt und vergessen hat. Jedes davon gibt ihnen ein funktionierendes Konto, MFA inklusive. Von da an sieht alles, was sie tun, aus wie ein Mitarbeiter bei der Arbeit.
Das eine, was sie nicht leihen können, ist der Ort Ihres Mitarbeiters. Ein Unternehmen arbeitet aus einer Handvoll Länder und Städte; der Eindringling sitzt woanders, meist auf einem gemieteten Server. Im rohen Anmeldeprotokoll geht dieser Unterschied unter zehntausenden Adressen im Monat verloren. Auf einer Karte ist er ein roter Punkt unter zwölf blauen.
Die Falle ist, was danach kommt. Die Hälfte der unerwarteten Orte in jedem Unternehmen sind echte Reisen, und wenn das Abhaken jeder einzelnen heißt, ein weiteres Land auf eine unternehmensweite Zulassungsliste zu setzen, deckt die Liste in einem Jahr die halbe Welt ab und der Alarm bedeutet nichts mehr. Eine Kontrolle, die einen reisenden Vertrieb übersteht, muss Personen beurteilen, nicht Länder.
In der Praxis
Von "das würden wir in den Logs sehen" zum Vorfall in Minuten.
So funktioniert es in 1Security - neben dem Identitätsschutz, den Sie bereits haben, ohne etwas Neues zu installieren.
- 01
Benennen Sie die Orte, aus denen Ihre Leute arbeiten
Öffnen Sie Standorte, dann Prüfung, und beginnen Sie mit den Ländern, die wir bereits beobachten: ein typischer Mandant zeigt 3-8 davon, mit Benutzer- und Ereigniszahlen daneben. Wählen Sie das eine ab, das ein einzelner Auftragnehmer ist, erstellen Sie die Zulassungsliste, und ab diesem Moment wird jeder aktive Zugriff von anderswo markiert. Globale Organisationen führen stattdessen eine Sperrliste - die Orte, die sie nie erwarten - und beide Listen nehmen benannte Entra-Standorte und Metropolregionen, nicht nur Länder.
- 02
Sehen Sie in Minuten, wer wo war
Die Registerkarte Prüfung zeigt eine Zeile pro Person und Ort, den die Liste nicht zulässt: die Person, Stadt und Land mit dem Netz dahinter, wann sie dort war und wie lange, und wie viele echte Aktionen sie ausführte. Zeilen erscheinen etwa zehn Minuten nach dem Ereignis. Dasselbe Ereignis öffnet einen Vorfall auf der Anomalien-Seite, landet im Morgenbriefing und geht nach Ihren Benachrichtigungsregeln per E-Mail hinaus. Fehlgeschlagene Anmeldungen, Microsoft-Relays und Maschinenidentitäten kommen nie auf die Liste.
- 03
Entscheiden Sie pro Person, nicht pro Land
Ein Reisender ist ein Klick: "Reise war in Ordnung" hält fest, dass die bisherige Anwesenheit geprüft wurde, und erlaubt nichts für die Zukunft - taucht dieselbe Person dort wieder auf, kehrt die Zeile zurück. "Für einen Zeitraum zulassen" deckt eine Entsendung von 30 oder 90 Tagen oder bis zu einem Datum. Nur ein echtes neues Büro kommt auf die Unternehmensliste. Der Vorfall löst sich von selbst, wenn an diesem Ort niemand Ungeprüftes übrig ist.
- 04
Handeln Sie bei dem, was keine Reise ist
Der Name öffnet die Person: ihre Reisespur sagt "Warschau 17:40, Singapur 03:12 - unmöglich", ihre Geräte zeigen, ob die Sitzung von einem verwalteten Laptop oder einem unbekannten Browser kam, und ihre jüngsten Dateien zeigen, was geöffnet wurde. Bereiten Sie vom selben Bildschirm aus einen Sitzungswiderruf oder eine Kontosperre vor, hinter dem Prüffenster, und der Vorfall trägt die Beweise.
Was es möglich macht
Drei Teile der Plattform, ein Vorfall.
Standortbasierte Erkennung ist kein eigenes Produkt. Sie läuft auf dem verorteten Audit-Log, dem Reisemodell pro Benutzer und der Vorfall-Pipeline, über die Sie ausführlich lesen können.
Anmeldestandorte
Jede Anmeldung und Dateiaktion als Ort: Land, Stadt und Netz, mit VPN-, Tor-, Hosting- und Microsoft-Verkehr unterschieden und Ihren Büros als Anker.
Funktion ansehen →Unmögliche Reisen
Spuren pro Benutzer und Gerät mit den Urteilen plausibel, unwahrscheinlich und unmöglich, drei Jahre zurück, sodass ein markierter Ort mit der Etappe kommt, die dorthin führte.
Funktion ansehen →Anomalien und Reaktion
Der markierte Ort ist ein Vorfall mit Schweregrad, Digest und kuratierten Eindämmungsaktionen, hinter einem Prüffenster vorbereitet.
Funktion ansehen →
FAQ
Häufige Fragen.
Löst jede Geschäftsreise einen Vorfall aus?
Jede erste Anwesenheit an einem unerwarteten Ort, einmal. Die Entscheidung fällt pro Person: "Reise war in Ordnung" schließt sie mit einem Klick und hält den Ort von der Unternehmensliste fern, eine Entsendung bekommt eine Zulassung für einen Zeitraum. Was nie passiert: Lissabon wird zum Unternehmensstandort, weil eine Person eine Woche dort war.
Wir betreiben bereits Entra ID P2, Identity Protection und Conditional Access. Was kommt hinzu?
Ein Signal nach der Authentifizierung, dem egal ist, wie das Token beschafft wurde. Risikobasierte Richtlinien wirken bei der Anmeldung; dies beobachtet den Zugriff, der danach zustande kam - Postfachzugriffe, geöffnete Dateien, Copilot-Prompts - gegen die Orte, aus denen Ihre eigenen Leute arbeiten, und hält jede Ausnahme pro Person mit Fenster und Ablauf. Teams mit reifem Identitäts-Stack nutzen es als die Kontrolle, die nach einer durchgereichten MFA-Abfrage oder einem wiederverwendeten Cookie noch auslöst, und als die Warteschlange, die ihr SOC jeden Morgen abarbeitet. Nichts davon braucht eine Premium-Lizenz; es läuft auf dem Audit-Log mit Lesezugriff.
Was ist mit VPN-Nutzern und Microsoft-Rechenzentren?
Microsoft-Relay-Verkehr wird erkannt und zählt nie als Ort, von dem jemand arbeitet, also lösen serverseitige Postfach- und SharePoint-Operationen keine Alarme aus. VPN-, Tor- und Hosting-Ausgänge sind in jeder Zeile als solche gekennzeichnet; ob ein VPN-Ausgang auf Ihre Zulassungsliste gehört, entscheiden Sie, und die Registerkarte Prüfung zeigt Ihnen die Personen dahinter, bevor Sie es tun.
Warum ist eine fehlgeschlagene Anmeldung kein Vorfall?
Weil ein Password-Spray aus Lagos nichts darüber sagt, wo Ihre Leute sind, und bereits einen eigenen Detektor hat. Die Standortliste beurteilt nur aktiven Zugriff: eine abgeschlossene Anmeldung, eine geöffnete Datei, ein gelesenes Postfach, einen Copilot-Prompt. Deshalb ist die Registerkarte Prüfung kurz genug, um sie jeden Morgen abzuarbeiten.
Ersetzt das Conditional Access?
Nein, es beobachtet, was Conditional Access durchgelassen hat. Eine Richtlinie blockiert bei der Anmeldung nach benanntem Standort; dies erkennt den Zugriff, der trotzdem zustande kam, auch von Orten, die Ihre benannten Standorte nie erwähnt haben, und zeigt den Anteil der Anmeldungen, die ganz ohne angewandte Richtlinie durchgingen.
Sehen Sie, von wo Ihr Unternehmen letzte Woche wirklich erreicht wurde - und ob das alles Ihre Leute waren.
Verbinden Sie schreibgeschützt, und die Registerkarte Prüfung füllt sich noch am selben Tag aus Aktivität, die Sie bereits erzeugen. Die erste Liste dauert etwa fünf Minuten.
Oder nehmen Sie weiter an, jede Anmeldung sei ein Mitarbeiter gewesen.