Microsoft 365 Sicherheitsprotokoll
Die Frage kommt im siebten Monat. Ist das Protokoll noch da?
Die Frage kommt meist im siebten Monat: die Aktivität eines Ausscheidenden aus dem letzten Quartal, eine Kompromittierung, Monate nach der ersten Anmeldung entdeckt, ein Auditor, der das letzte Jahr stichprobt. 1Security liest den Audit-Stream laufend ein und hält ihn bis zu drei Jahre als ein durchsuchbares Protokoll - Dateien, E-Mail, Teams, Anmeldungen, KI-Agenten und Drittanbieter-Apps auf einer Zeitleiste, jedes Ereignis bereits mit Benutzer, Datei, App, Gerät und Herkunftsland verknüpft. Mit Standardlizenzen, ohne SIEM-Rechnung und ohne Log-Forwarder.
Das Problem
Ein Abgang, ein spät entdeckter Einbruch, ein Auditor. Keiner fragt nach letzter Woche.
Die Aktivität eines ausscheidenden Mitarbeiters aus dem letzten Quartal. Eine Kompromittierung, vier Monate nach der ersten Anmeldung entdeckt. Ein Auditor, der einen Zeitraum aus dem letzten Jahr stichprobt. Sicherheitsfragen halten sich nicht an Aufbewahrungsfenster. Mit 1Security gehen Sie von 180 Tagen Audithistorie auf Standardlizenzen zu drei Jahren - eine Aufbewahrung, die am Tag der Verbindung beginnt, nicht am Tag nach dem Vorfall.
Selbst innerhalb des Fensters erstreckt sich "was hat dieses Konto an jenem Nachmittag getan" über Anmelde-, Datei-, Postfach- und Gerätedatensätze, die jeweils ihre eigene Sprache sprechen, und sie von Hand zu korrelieren kostet Sie einen eigenen Nachmittag. Eine Zeitleiste, auf der jedes Ereignis bereits mit Benutzer, Datei, Gerät und Standort verknüpft ist, macht aus dieser Frage einen Filter.
Und die Rohereignisse benennen nichts. Ein typischer Mandant erzeugt Hunderttausende Auditdatensätze pro Woche, beschrieben mit GUIDs und Website-URLs, und Anfragen kommen oft über einen Rechenzentrumsausgang statt aus dem echten Netz des Benutzers. All das in ein SIEM zu schicken macht es durchsuchbar und teuer - die meisten Teams behalten am Ende 30 Tage und hoffen.
In der Praxis
Von einer vagen Frage zu einer exakten Ereignisliste.
So läuft eine typische Suche in Aktivitätsprotokolle - ein Bildschirm, eine Abfrage, jeder Zeitraum bis zu drei Jahre.
- 01
Nach allem filtern, was zählt
Öffnen Sie Aktivitätsprotokolle und grenzen Sie nach Benutzer, Datei, Website, App, KI-Agent, Gerät, Land, Netzwerktyp oder Aktionsgruppe ein - dieselben Filter gelten für Datei-, E-Mail-, Teams-, Anmelde- und Agentenereignisse. "Alles, was dieser Auftragnehmer im März von der Finanz-Website heruntergeladen hat" sind drei Chips, und die Antwort ist eine Liste - typischerweise ein paar Dutzend Zeilen aus Millionen.
- 02
Ereignisse als Sätze lesen, nicht als GUIDs
Jede Zeile ist eine Klartextbeschreibung mit Akteur, Ressource, App, Gerät (verwaltet oder nicht), Standort und Schweregrad. Rechenzentrumsausgänge werden als das gekennzeichnet, was sie sind, statt einen falschen "fremdes Rechenzentrum"-Alarm auszulösen; VPN, Tor und Hosting-Ausgänge werden markiert. Der Microsoft-Rohdatensatz bleibt für Skeptiker einen Klick entfernt.
- 03
Drei Jahre zurückgehen, nicht sechs Monate
Bis zu drei Jahre Historie heißt: Der Zeitraum vom letzten Jahr ist ein Filter, kein verlorener Fall. Fragen über 7, 30 und 90 Tage werden aus vorberechneten Rollups beantwortet und liefern sofort, auch bei Mandanten mit zig Millionen Dateien; lange Fenster über Hunderte Millionen Ereignisse kommen weiterhin in Sekunden zurück.
- 04
Speichern, planen oder das SOC versorgen
Speichern Sie den Filter als Ansicht, planen Sie ihn als Digest, exportieren Sie ihn oder lassen Sie Sentinel, Splunk, QRadar oder Elastic dasselbe normalisierte Protokoll über die schreibgeschützte REST-API abholen - abgefragt über den Entdeckungszeitstempel, damit verspätete Ereignisse nie verloren gehen. Das SIEM bleibt für die Korrelation, und Sie zahlen ihm nicht mehr für Speicher.
Was dahinter steckt
Ein Protokoll ist nur so gut wie das, was jede Zeile trägt.
Drei Teile der Plattform machen aus rohen Auditereignissen ein Sicherheitsprotokoll, das Sie wirklich durchsuchen können.
Drei Jahre Audithistorie
Von 180 Tagen zu drei Jahren Aufbewahrung, direkt durchsuchbar, mit einem expliziten Sammelbereich für Unklassifiziertes statt stillschweigend verworfener Ereignisse.
Audit-Tool erkunden →Erfassung nahezu in Echtzeit
Neue Aktivität ist bei jeder Mandantengröße in etwa zehn Minuten sichtbar - das Protokoll ist eine Live-Oberfläche, die Sie während eines Vorfalls beobachten können, kein nächtlicher Batch.
Überwachung erkunden →Antworten und Exporte
Gespeicherte Ansichten, geplante Digests und vollständige Exporte auf denselben Daten - plus REST-API, wenn das Protokoll in Ihr SIEM gehört.
Reporting erkunden →
FAQ
Häufige Fragen.
Ersetzt das Microsofts einheitliches Überwachungsprotokoll?
Es baut darauf auf. 1Security liest denselben Audit-Stream, normalisiert ihn, hängt jedem Ereignis Benutzer, Gerät und Standort an und bewahrt ihn bis zu drei Jahre auf. Der Microsoft-Rohdatensatz bleibt an jedem Ereignis, sodass nichts in der Übersetzung verloren geht - und Search-UnifiedAuditLog können Sie weiterhin ausführen, wann immer Sie eine zweite Meinung wollen.
Brauchen wir dafür eine Premium-Lizenz oder ein Add-on?
Nein. Dreijährige Aufbewahrung, Anreicherung und Suche laufen mit Standardlizenzen für Microsoft 365 - ab Business Basic - mit schreibgeschützter Verbindung und ohne Installation. Die beim Verbinden verfügbare Audithistorie wird rückwirkend geladen; ab dort wächst die Historie.
Wie kommt das Protokoll in unser SIEM?
Pull-basiert über die schreibgeschützte REST-API: Schlüssel pro Mandant, 600 Anfragen pro Minute, Cursor-Paginierung und dokumentierte Anbindung für Sentinel, Splunk, QRadar und Elastic. Die Abfrage über den Entdeckungszeitstempel hält den Abzug deterministisch, selbst wenn Ereignisse Stunden später eintreffen.
Wie schnell taucht neue Aktivität auf?
Etwa zehn Minuten von der Aktion bis zur durchsuchbaren Zeile, bei jeder Mandantengröße. Während eines laufenden Vorfalls können Sie auf das Konto filtern und zusehen, wie sich das Protokoll füllt.
Die 1Security-Plattform
Microsoft 365 Sicherheitsprotokoll ist erst der Anfang
Microsoft 365 Sicherheitsprotokoll ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Benutzer, Gruppen und LebenszyklusRuhende Konten, Gäste, die nie gegangen sind, dreifach verschachtelte Gruppen, verwaiste Eigentümer, Admins ohne MFA. Die Prüfung, die überall sonst eine Tabelle ist.
- Externe DomänenJede fremde Organisation mit einem Fuß im Mandanten, ihre Vertrauenslage, ihre Drift und wer sie eingeladen hat.
- E-Mail und PostfächerWer wessen Postfach lesen kann, Weiterleitungsregeln, Threads mit sensiblem Inhalt, eingehende und ausgehende Exposition.
- LizenzenWas zugewiesen ist, was ungenutzt bleibt und welches Paket eine Aktion oder Funktion noch braucht, damit das Upgrade, das Sie verkaufen, das ist, das der Kunde braucht.
- SicherheitsbewertungDie Bewertung, ihre Historie, die Kontrollen dahinter und die Benchmarks, damit die Zahl im Vorstandsbericht etwas bedeutet.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Behalten Sie die Antwort über Tag 180 hinaus.
Verbinden Sie schreibgeschützt, und das Protokoll beginnt heute zu wachsen - durchsuchbar, zugeordnet und drei Jahre lang Ihres. Der Rückimport deckt die beim Verbinden verfügbare Audithistorie ab.
Oder hoffen Sie, dass die nächste Frage etwas Aktuelles betrifft.