Office 365 Bericht fehlgeschlagene Anmeldungen
Tausende fehlgeschlagene Anmeldungen am Tag. Welche drei sind ein Angriff?
Ein mittelgroßer Mandant erzeugt täglich Hunderte bis Tausende fehlgeschlagene Anmeldungen - fast alle von jemandem, der montags sein Passwort vertippt. Irgendwo in diesem Haufen arbeitet sich ein Password Spray von einem gemieteten Server durch Ihre Benutzerliste. In einem einfachen Export sehen beide identisch aus. 1Security zeigt, woher jeder Versuch kam, welches Gerät ihn trug, ob die Serie für dieses Konto ungewöhnlich ist - und schickt Ihnen einmal eine Mail, wenn eine Linie überschritten wird.
Das Problem
Angreifer brechen nicht mehr ein. Sie melden sich an - und vorher probieren sie.
Jeder Password Spray, jedes Credential Stuffing und jeder MFA-Fatigue-Versuch beginnt als Zeilen fehlgeschlagener und blockierter Anmeldungen, die einzeln nach nichts aussehen. Dann gelingt eine davon, und der Vorfall beginnt mit einem gültigen Anmeldedatensatz, auf den niemand geachtet hat.
Das Volumen ist das Problem. In einem Mandanten mit einigen Hundert Benutzern gibt es Hunderte fehlgeschlagene Anmeldungen am Tag, in einem großen Tausende. Wer sie als gleichförmige Zeilen sieht, hört innerhalb einer Woche auf hinzusehen. Und ein Muster, das erst über Monate sichtbar wird, braucht Monate an Historie - 1Security bewahrt bis zu drei Jahre auf, die Punkte sind also noch da, um sie zu verbinden.
Der Unterschied zwischen Tippfehler und Spray liegt nicht in der Anzahl. Er liegt im Ursprung (Heimanschluss oder Hosting-Rechenzentrum), im Gerät (registrierter Laptop oder ein Fingerabdruck, den Ihr Verzeichnis nie gesehen hat), in der Streuung (ein Konto oder neun gleichzeitig) und darin, wie weit der heutige Tag von der eigenen Norm dieses Kontos abweicht. 1Security hängt alle vier an jeden fehlgeschlagenen Versuch.
In der Praxis
Vom Haufen Fehlversuche zum Urteil, in Minuten.
So wird eine Serie fehlgeschlagener Anmeldungen in 1Security triagiert.
- 01
Die Serie taucht von selbst auf
Die fehlgeschlagenen Anmeldungen jedes Kontos werden am Median seiner eigenen letzten 30 Tage gemessen. Zwölf Fehlversuche auf einem Konto, das nie scheitert, öffnen eine Anomalie-Episode unter Anomalien; zwölf über das ganze Unternehmen verteilte an einem Montagmorgen nicht. Sie setzen keinen Schwellenwert - die eigene Historie des Kontos ist der Schwellenwert.
- 02
Lesen, woher die Versuche kamen
Öffnen Sie die Episode, und jeder Versuch trägt seinen aufgelösten Standort und Netztyp - Heimanbieter, Mobilfunk, VPN, Tor, Hosting-Rechenzentrum - plus eine Erstmals-gesehen-Markierung, wenn der Ort für dieses Konto neu ist. Vierzig Fehlversuche aus einem Hosting-Netz auf neun Konten sind ein Spray. Vierzig vom gewohnten Heimanschluss des Benutzers sind eine klemmende Tastatur.
- 03
Gerät prüfen und sehen, was Conditional Access gestoppt hat
Das Gerät steht in derselben Zeile: ein bekannter registrierter Laptop oder ein nicht registrierter Fingerabdruck. Blockierte Anmeldungen sind ein eigener Protokolltyp, sodass das, was eine Conditional-Access-Richtlinie abgewiesen hat, neben dem steht, was an den Anmeldedaten scheiterte - und die Abdeckungsansicht zeigt, welche Anmeldungen keine Richtlinie erfasst hat.
- 04
Eine Warnung bekommen, nicht vierhundert
Eine Sofortwarnung geht in dem Moment per Mail hinaus, in dem die Abweichungs- oder Schwellenlinie überschritten wird, mit einer Abklingzeit pro Episode - ein Angriff ist eine Nachricht. Alles unter der Linie bleibt in den Aktivitätsprotokollen bis zu drei Jahre gespeichert und filterbar, damit die Nachbetrachtung einen Monat später noch die Zeilen hat.
Was dahinter steckt
Drei Teile der Plattform, ein Bericht fehlgeschlagener Anmeldungen.
Der Bericht liest dasselbe Aktivitätsprotokoll wie jeder andere Bildschirm in 1Security - mit bereits erledigter Anreicherung.
Standorte
Land, Stadt und Netz für jeden Versuch, VPN / Tor / Rechenzentrum benannt, Erstmals-gesehen pro Konto - und Cloud-Relay-Verkehr als solcher gekennzeichnet, statt die Prüfung zu verunreinigen.
Funktion ansehen →Warnungen mit Baseline
Die Standardregel braucht keine Zahl von Ihnen: Abweichung von der eigenen 30-Tage-Baseline des Kontos öffnet eine Episode, der Sofortkanal mailt einmal, und der Empfindlichkeitsregler bewertet die Warteschlange gegen Ihre echte Historie neu, sobald Sie ihn bewegen.
Funktion ansehen →Das Gerät hinter dem Versuch
Registriert, nicht registriert oder Schatten - das Gerät ist Teil der Zeile, denn ein gültiger Anmeldedatensatz vom falschen Gerät ist die Geschichte, die fehlgeschlagene Anmeldungen erzählen wollen.
Funktion ansehen →
FAQ
Häufige Fragen.
Warnt das bei jeder fehlgeschlagenen Anmeldung?
Nein - das ist der Punkt. Warnungen lösen an Schwellen- oder Abweichungslinien aus, pro Konto gegen seine eigene Baseline bewertet, mit einer Abklingzeit pro Episode. Die einzelnen Fehlversuche bleiben gespeichert und filterbar, ohne dass jemand eine Mail bekommt.
Was unterscheidet das von einem einfachen Anmelde-Export?
Ein Export liefert Zeilen mit einer IP-Adresse. 1Security liefert dieselben Zeilen mit Ort, Netztyp, Gerät und Konto-Baseline, bewahrt sie bis zu drei Jahre auf und macht aus Serien von selbst Warnungen. Es erkennt außerdem Anmeldungen, die über Cloud-Relay-Adressen ankommen, und kennzeichnet sie - Ihr Bericht behauptet nie, das halbe Unternehmen melde sich aus einem Rechenzentrum an.
Sieht es, was Conditional Access bereits blockiert hat?
Ja. Blockierte Anmeldungen sind ein eigener Aktivitätstyp, sodass eine Prüfung sowohl das abdeckt, was an den Anmeldedaten scheiterte, als auch das, was eine Richtlinie abgewiesen hat - und die Conditional-Access-Abdeckungsansicht zeigt, welche Anmeldungen keine Richtlinie erfasst hat.
Wie lange dauert es, bis die Baselines etwas bedeuten?
Die Anomalieerkennung bleibt die ersten 14 Tage absichtlich still, damit die ersten Warnungen auf einer echten Norm beruhen statt auf dem Rauschen der ersten Woche. Schwellenwerte, Filter und der angereicherte Bericht selbst funktionieren ab der ersten Synchronisierung. Für nichts davon sind Entra P2 oder E5 nötig.
Die 1Security-Plattform
Fehlgeschlagene Anmeldeversuche ist erst der Anfang
Fehlgeschlagene Anmeldeversuche ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Aktivitätsprotokolle und ForensikBis zu drei Jahre durchsuchbare Aktivität auf einer Standardlizenz. Was geöffnet, heruntergeladen, freigegeben wurde, von wem, von wo, auf welchem Gerät.
- Anomalien und ErkennungenAusschläge bei Freigaben, Downloads, Anmeldungen, Einwilligungen und Agentenaktivität, bewertet gegen das eigene Muster jedes Mandanten, mit passenden Reaktionsaktionen.
- Berechtigungen und FreigabenWer worauf zugreifen kann, über welche Gruppe, welchen Link oder welchen Gast, und ob das jemand so wollte. Die Freigabekarte, nach der jedes Audit fragt.
- Sensible DatenPersonenbezogene Daten, Zugangsdaten, Finanz- und Gesundheitsdaten, gefunden von unseren eigenen Klassifikatoren, mit der Microsoft-Zweitmeinung, wo der Kunde sie hat.
- VertraulichkeitsbezeichnungenAbdeckung und Lücken der Bezeichnungen über Websites und Dateien, damit der Schutz, den der Kunde bezahlt hat, auch wirklich angewendet ist.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Sehen Sie den Spray vor der erfolgreichen Anmeldung.
Verbinden Sie schreibgeschützt und erhalten Sie noch am selben Tag fehlgeschlagene und blockierte Anmeldungen mit Ursprung, Netz, Gerät und Baseline - und eine Warnung, wenn es zählt.
Oder scrollen Sie weiter durch einen Export, in dem jede Zeile gleich aussieht.