Microsoft 365 Sicherheitsprotokoll
Ein Sicherheitsprotokoll, drei Jahre tief, mit den Lizenzen, die Sie schon haben.
Die Frage kommt meist im siebten Monat: die Aktivität eines Ausscheidenden aus dem letzten Quartal, eine Kompromittierung, Monate nach der ersten Anmeldung entdeckt, ein Auditor, der das letzte Jahr stichprobt. 1Security liest den Audit-Stream laufend ein und hält ihn bis zu drei Jahre als ein durchsuchbares Protokoll - Dateien, E-Mail, Teams, Anmeldungen, KI-Agenten und Drittanbieter-Apps auf einer Zeitleiste, jedes Ereignis bereits mit Benutzer, Datei, App, Gerät und Herkunftsland verknüpft. Mit Standardlizenzen, ohne SIEM-Rechnung und ohne Log-Forwarder.
Das Problem
Die Frage kommt im siebten Monat. Sorgen Sie dafür, dass das Protokoll noch da ist.
Die Aktivität eines ausscheidenden Mitarbeiters aus dem letzten Quartal. Eine Kompromittierung, vier Monate nach der ersten Anmeldung entdeckt. Ein Auditor, der einen Zeitraum aus dem letzten Jahr stichprobt. Sicherheitsfragen halten sich nicht an Aufbewahrungsfenster. Mit 1Security gehen Sie von 180 Tagen Audithistorie auf Standardlizenzen zu drei Jahren - eine Aufbewahrung, die am Tag der Verbindung beginnt, nicht am Tag nach dem Vorfall.
Selbst innerhalb des Fensters erstreckt sich "was hat dieses Konto an jenem Nachmittag getan" über Anmelde-, Datei-, Postfach- und Gerätedatensätze, die jeweils ihre eigene Sprache sprechen, und sie von Hand zu korrelieren kostet Sie einen eigenen Nachmittag. Eine Zeitleiste, auf der jedes Ereignis bereits mit Benutzer, Datei, Gerät und Standort verknüpft ist, macht aus dieser Frage einen Filter.
Und die Rohereignisse benennen nichts. Ein typischer Mandant erzeugt Hunderttausende Auditdatensätze pro Woche, beschrieben mit GUIDs und Website-URLs, und Anfragen kommen oft über einen Rechenzentrumsausgang statt aus dem echten Netz des Benutzers. All das in ein SIEM zu schicken macht es durchsuchbar und teuer - die meisten Teams behalten am Ende 30 Tage und hoffen.
In der Praxis
Von einer vagen Frage zu einer exakten Ereignisliste.
So läuft eine typische Suche in Aktivitätsprotokolle - ein Bildschirm, eine Abfrage, jeder Zeitraum bis zu drei Jahre.
- 01
Nach allem filtern, was zählt
Öffnen Sie Aktivitätsprotokolle und grenzen Sie nach Benutzer, Datei, Website, App, KI-Agent, Gerät, Land, Netzwerktyp oder Aktionsgruppe ein - dieselben Filter gelten für Datei-, E-Mail-, Teams-, Anmelde- und Agentenereignisse. "Alles, was dieser Auftragnehmer im März von der Finanz-Website heruntergeladen hat" sind drei Chips, und die Antwort ist eine Liste - typischerweise ein paar Dutzend Zeilen aus Millionen.
- 02
Ereignisse als Sätze lesen, nicht als GUIDs
Jede Zeile ist eine Klartextbeschreibung mit Akteur, Ressource, App, Gerät (verwaltet oder nicht), Standort und Schweregrad. Rechenzentrumsausgänge werden als das gekennzeichnet, was sie sind, statt einen falschen "fremdes Rechenzentrum"-Alarm auszulösen; VPN, Tor und Hosting-Ausgänge werden markiert. Der Microsoft-Rohdatensatz bleibt für Skeptiker einen Klick entfernt.
- 03
Drei Jahre zurückgehen, nicht sechs Monate
Bis zu drei Jahre Historie heißt: Der Zeitraum vom letzten Jahr ist ein Filter, kein verlorener Fall. Fragen über 7, 30 und 90 Tage werden aus vorberechneten Rollups beantwortet und liefern sofort, auch bei Mandanten mit zig Millionen Dateien; lange Fenster über Hunderte Millionen Ereignisse kommen weiterhin in Sekunden zurück.
- 04
Speichern, planen oder das SOC versorgen
Speichern Sie den Filter als Ansicht, planen Sie ihn als Digest, exportieren Sie ihn oder lassen Sie Sentinel, Splunk, QRadar oder Elastic dasselbe normalisierte Protokoll über die schreibgeschützte REST-API abholen - abgefragt über den Entdeckungszeitstempel, damit verspätete Ereignisse nie verloren gehen. Das SIEM bleibt für die Korrelation, und Sie zahlen ihm nicht mehr für Speicher.
Was dahinter steckt
Ein Protokoll ist nur so gut wie das, was jede Zeile trägt.
Drei Teile der Plattform machen aus rohen Auditereignissen ein Sicherheitsprotokoll, das Sie wirklich durchsuchen können.
Drei Jahre Audithistorie
Von 180 Tagen zu drei Jahren Aufbewahrung, direkt durchsuchbar, mit einem expliziten Sammelbereich für Unklassifiziertes statt stillschweigend verworfener Ereignisse.
Audit-Tool erkunden →Erfassung nahezu in Echtzeit
Neue Aktivität ist bei jeder Mandantengröße in etwa zehn Minuten sichtbar - das Protokoll ist eine Live-Oberfläche, die Sie während eines Vorfalls beobachten können, kein nächtlicher Batch.
Überwachung erkunden →Antworten und Exporte
Gespeicherte Ansichten, geplante Digests und vollständige Exporte auf denselben Daten - plus REST-API, wenn das Protokoll in Ihr SIEM gehört.
Reporting erkunden →
FAQ
Häufige Fragen.
Ersetzt das Microsofts einheitliches Überwachungsprotokoll?
Es baut darauf auf. 1Security liest denselben Audit-Stream, normalisiert ihn, hängt jedem Ereignis Benutzer, Gerät und Standort an und bewahrt ihn bis zu drei Jahre auf. Der Microsoft-Rohdatensatz bleibt an jedem Ereignis, sodass nichts in der Übersetzung verloren geht - und Search-UnifiedAuditLog können Sie weiterhin ausführen, wann immer Sie eine zweite Meinung wollen.
Brauchen wir dafür eine Premium-Lizenz oder ein Add-on?
Nein. Dreijährige Aufbewahrung, Anreicherung und Suche laufen mit Standardlizenzen für Microsoft 365 - ab Business Basic - mit schreibgeschützter Verbindung und ohne Installation. Die beim Verbinden verfügbare Audithistorie wird rückwirkend geladen; ab dort wächst die Historie.
Wie kommt das Protokoll in unser SIEM?
Pull-basiert über die schreibgeschützte REST-API: Schlüssel pro Mandant, 600 Anfragen pro Minute, Cursor-Paginierung und dokumentierte Anbindung für Sentinel, Splunk, QRadar und Elastic. Die Abfrage über den Entdeckungszeitstempel hält den Abzug deterministisch, selbst wenn Ereignisse Stunden später eintreffen.
Wie schnell taucht neue Aktivität auf?
Etwa zehn Minuten von der Aktion bis zur durchsuchbaren Zeile, bei jeder Mandantengröße. Während eines laufenden Vorfalls können Sie auf das Konto filtern und zusehen, wie sich das Protokoll füllt.
Behalten Sie die Antwort über Tag 180 hinaus.
Verbinden Sie schreibgeschützt, und das Protokoll beginnt heute zu wachsen - durchsuchbar, zugeordnet und drei Jahre lang Ihres. Der Rückimport deckt die beim Verbinden verfügbare Audithistorie ab.
Oder hoffen Sie, dass die nächste Frage etwas Aktuelles betrifft.