Office 365 Bericht fehlgeschlagene Anmeldungen
Tausende fehlgeschlagene Anmeldungen am Tag. Drei davon sind ein Angriff.
Ein mittelgroßer Mandant erzeugt täglich Hunderte bis Tausende fehlgeschlagene Anmeldungen - fast alle von jemandem, der montags sein Passwort vertippt. Irgendwo in diesem Haufen arbeitet sich ein Password Spray von einem gemieteten Server durch Ihre Benutzerliste. In einem einfachen Export sehen beide identisch aus. 1Security zeigt, woher jeder Versuch kam, welches Gerät ihn trug, ob die Serie für dieses Konto ungewöhnlich ist - und schickt Ihnen einmal eine Mail, wenn eine Linie überschritten wird.
Das Problem
Angreifer brechen nicht mehr ein. Sie melden sich an - und vorher probieren sie.
Jeder Password Spray, jedes Credential Stuffing und jeder MFA-Fatigue-Versuch beginnt als Zeilen fehlgeschlagener und blockierter Anmeldungen, die einzeln nach nichts aussehen. Dann gelingt eine davon, und der Vorfall beginnt mit einem gültigen Anmeldedatensatz, auf den niemand geachtet hat.
Das Volumen ist das Problem. In einem Mandanten mit einigen Hundert Benutzern gibt es Hunderte fehlgeschlagene Anmeldungen am Tag, in einem großen Tausende. Wer sie als gleichförmige Zeilen sieht, hört innerhalb einer Woche auf hinzusehen. Und ein Muster, das erst über Monate sichtbar wird, braucht Monate an Historie - 1Security bewahrt bis zu drei Jahre auf, die Punkte sind also noch da, um sie zu verbinden.
Der Unterschied zwischen Tippfehler und Spray liegt nicht in der Anzahl. Er liegt im Ursprung (Heimanschluss oder Hosting-Rechenzentrum), im Gerät (registrierter Laptop oder ein Fingerabdruck, den Ihr Verzeichnis nie gesehen hat), in der Streuung (ein Konto oder neun gleichzeitig) und darin, wie weit der heutige Tag von der eigenen Norm dieses Kontos abweicht. 1Security hängt alle vier an jeden fehlgeschlagenen Versuch.
In der Praxis
Vom Haufen Fehlversuche zum Urteil, in Minuten.
So wird eine Serie fehlgeschlagener Anmeldungen in 1Security triagiert.
- 01
Die Serie taucht von selbst auf
Die fehlgeschlagenen Anmeldungen jedes Kontos werden am Median seiner eigenen letzten 30 Tage gemessen. Zwölf Fehlversuche auf einem Konto, das nie scheitert, öffnen eine Anomalie-Episode unter Anomalien; zwölf über das ganze Unternehmen verteilte an einem Montagmorgen nicht. Sie setzen keinen Schwellenwert - die eigene Historie des Kontos ist der Schwellenwert.
- 02
Lesen, woher die Versuche kamen
Öffnen Sie die Episode, und jeder Versuch trägt seinen aufgelösten Standort und Netztyp - Heimanbieter, Mobilfunk, VPN, Tor, Hosting-Rechenzentrum - plus eine Erstmals-gesehen-Markierung, wenn der Ort für dieses Konto neu ist. Vierzig Fehlversuche aus einem Hosting-Netz auf neun Konten sind ein Spray. Vierzig vom gewohnten Heimanschluss des Benutzers sind eine klemmende Tastatur.
- 03
Gerät prüfen und sehen, was Conditional Access gestoppt hat
Das Gerät steht in derselben Zeile: ein bekannter registrierter Laptop oder ein nicht registrierter Fingerabdruck. Blockierte Anmeldungen sind ein eigener Protokolltyp, sodass das, was eine Conditional-Access-Richtlinie abgewiesen hat, neben dem steht, was an den Anmeldedaten scheiterte - und die Abdeckungsansicht zeigt, welche Anmeldungen keine Richtlinie erfasst hat.
- 04
Eine Warnung bekommen, nicht vierhundert
Eine Sofortwarnung geht in dem Moment per Mail hinaus, in dem die Abweichungs- oder Schwellenlinie überschritten wird, mit einer Abklingzeit pro Episode - ein Angriff ist eine Nachricht. Alles unter der Linie bleibt in den Aktivitätsprotokollen bis zu drei Jahre gespeichert und filterbar, damit die Nachbetrachtung einen Monat später noch die Zeilen hat.
Was dahinter steckt
Drei Teile der Plattform, ein Bericht fehlgeschlagener Anmeldungen.
Der Bericht liest dasselbe Aktivitätsprotokoll wie jeder andere Bildschirm in 1Security - mit bereits erledigter Anreicherung.
Standorte
Land, Stadt und Netz für jeden Versuch, VPN / Tor / Rechenzentrum benannt, Erstmals-gesehen pro Konto - und Cloud-Relay-Verkehr als solcher gekennzeichnet, statt die Prüfung zu verunreinigen.
Funktion ansehen →Warnungen mit Baseline
Die Standardregel braucht keine Zahl von Ihnen: Abweichung von der eigenen 30-Tage-Baseline des Kontos öffnet eine Episode, der Sofortkanal mailt einmal, und der Empfindlichkeitsregler bewertet die Warteschlange gegen Ihre echte Historie neu, sobald Sie ihn bewegen.
Funktion ansehen →Das Gerät hinter dem Versuch
Registriert, nicht registriert oder Schatten - das Gerät ist Teil der Zeile, denn ein gültiger Anmeldedatensatz vom falschen Gerät ist die Geschichte, die fehlgeschlagene Anmeldungen erzählen wollen.
Funktion ansehen →
FAQ
Häufige Fragen.
Warnt das bei jeder fehlgeschlagenen Anmeldung?
Nein - das ist der Punkt. Warnungen lösen an Schwellen- oder Abweichungslinien aus, pro Konto gegen seine eigene Baseline bewertet, mit einer Abklingzeit pro Episode. Die einzelnen Fehlversuche bleiben gespeichert und filterbar, ohne dass jemand eine Mail bekommt.
Was unterscheidet das von einem einfachen Anmelde-Export?
Ein Export liefert Zeilen mit einer IP-Adresse. 1Security liefert dieselben Zeilen mit Ort, Netztyp, Gerät und Konto-Baseline, bewahrt sie bis zu drei Jahre auf und macht aus Serien von selbst Warnungen. Es erkennt außerdem Anmeldungen, die über Cloud-Relay-Adressen ankommen, und kennzeichnet sie - Ihr Bericht behauptet nie, das halbe Unternehmen melde sich aus einem Rechenzentrum an.
Sieht es, was Conditional Access bereits blockiert hat?
Ja. Blockierte Anmeldungen sind ein eigener Aktivitätstyp, sodass eine Prüfung sowohl das abdeckt, was an den Anmeldedaten scheiterte, als auch das, was eine Richtlinie abgewiesen hat - und die Conditional-Access-Abdeckungsansicht zeigt, welche Anmeldungen keine Richtlinie erfasst hat.
Wie lange dauert es, bis die Baselines etwas bedeuten?
Die Anomalieerkennung bleibt die ersten 14 Tage absichtlich still, damit die ersten Warnungen auf einer echten Norm beruhen statt auf dem Rauschen der ersten Woche. Schwellenwerte, Filter und der angereicherte Bericht selbst funktionieren ab der ersten Synchronisierung. Für nichts davon sind Entra P2 oder E5 nötig.
Sehen Sie den Spray vor der erfolgreichen Anmeldung.
Verbinden Sie schreibgeschützt und erhalten Sie noch am selben Tag fehlgeschlagene und blockierte Anmeldungen mit Ursprung, Netz, Gerät und Baseline - und eine Warnung, wenn es zählt.
Oder scrollen Sie weiter durch einen Export, in dem jede Zeile gleich aussieht.