Lokalizacje (Locations)Copy Anchor Link

Ekran Lokalizacji odpowiada na dwa pytania, które należą do siebie nawzajem: „Skąd tak naprawdę ktoś sięga po nasze dane - i czy reguły, które zadeklarowaliśmy, zgadzają się z tą rzeczywistością?” Każde logowanie i każda akcja na pliku w Twoim tenancie dzieje się gdzieś; ten ekran zbiera te „gdzieś” w stabilne, nazwane miejsca, porządkuje je według aktywności i nakłada na nie Twoją konfigurację dostępu warunkowego (Conditional Access), tak aby luki nie miały się gdzie schować.

Lokalizacja nie jest tutaj adresem IP. To rozwiązana tożsamość złożona z kraju, miasta i sieci, do której należy połączenie - dzięki temu dwieście ulotnych adresów z jednego gospodarstwa domowego czyta się jako jeden wiersz „Warszawa, Polska - domowy dostawca internetu”. Jak działa to rozwiązywanie, łącznie z rozpoznawaniem i neutralizowaniem ruchu przekaźników samego Microsoftu, opisuje Analiza lokalizacji.

Co Możesz OsiągnąćCopy Anchor Link

Cztery Karty, Jedno PytanieCopy Anchor Link

• Lokalizacje - każde miejsce, z którego zaobserwowano aktywność, jako filtrowalna, sortowalna lista.
• Lokalizacje firmowe - miejsca oznaczone jako biura, plus rekomendowani kandydaci.
• Mapa - te same dane na mapie świata, z warstwami biur, lokalizacji użytkowników, centrów danych Microsoftu, podejrzanych sieci i luk dostępu warunkowego.
• Dostęp warunkowy - Twoje zadeklarowane zasady nałożone na zaobserwowaną rzeczywistość. Pełną mechanikę opisuje Dostęp warunkowy.
• Do przeglądu - lokalizacje z aktywnym dostępem, na który Twoja lista dozwolonych lub blokowanych lokalizacji nie pozwala; każda z nich to także otwarty incydent. Zobacz Do przeglądu - lista lokalizacji.

Jak Czytać ListęCopy Anchor Link

Jedno miejsce to jeden wiersz z samej konstrukcji: jakkolwiek rekord nazwie lokalizację - tu dzielnica, tam inna pisownia - trafia do jednego wiersza miejsca, którym naprawdę jest, z zachowaną dokładną etykietą („Łódź · Widzew”), a niezależne miasteczka zachowują własną tożsamość. Ponadto lista domyślnie grupuje lokalizacje według miast - jeden wiersz na metropolię, a kliknięcie w niego rozwija pojedyncze lokalizacje, które za nim stoją. Przełącznik Wszystkie lokalizacje pokazuje widok surowy.

Każdy wiersz niesie tożsamość lokalizacji - kraj, miasto i sieć (ASN: domowy dostawca internetu, operator komórkowy, sieć firmowa, dostawca chmury) - obok typu infrastruktury, werdyktu pokrycia CA, odległości do najbliższego biura, liczby zaobserwowanych zdarzeń, użytkowników i urządzeń, wykresu aktywności oraz dat, kiedy miejsce było widziane po raz pierwszy i ostatni.

Nad listą szybkie filtry dają jednym kliknięciem dostęp do cięć o najwyższym sygnale, każde z licznikiem na żywo: Tor, VPN, Centrum danych i Microsoft. Pełny panel filtrów idzie dalej - po kraju, mieście, sieci, typie infrastruktury, stanie pokrycia dostępu warunkowego, konkretnym ustaleniu CA lub konkretnej lokalizacji nazwanej.

Na pierwsze zaobserwowanie warto zwracać uwagę na całym ekranie: 1Security oznacza pierwszy raz, gdy dany użytkownik pojawia się w danej lokalizacji, więc „nowe miejsce, prawdziwa aktywność” jest filtrowalnym faktem, a nie przeczuciem.

Aktywny Dostęp, Próby Logowania i PrzetwarzanieCopy Anchor Link

Nie każde zdarzenie przypisane do lokalizacji oznacza, że ktoś tam był. 1Security sortuje każde zdarzenie do jednego z czterech rodzajów, a każdy licznik na tym ekranie - listy, filtry, szuflady, mapa - jest według nich rozdzielony:

• Aktywny dostęp - istniejąca sesja coś zrobiła: podgląd lub pobranie pliku, odczyt wiadomości, prompt do Copilota, zmiana administracyjna, udane logowanie. Agent AI działający w imieniu osoby też tu trafia, bo to ta osoba weszła. To liczba, która odpowiada na pytanie „czy ktoś naprawdę stąd wszedł?”.
• Próby logowania - logowania odrzucone, zablokowane lub przerwane. Dowodzą tylko, że ktoś próbował z danego miejsca, a adres należy do zgadującego hasło. Każdy tenant wystawiony do internetu zbiera je z połowy świata.
• Automatyczne - aplikacja, jednostka usługi lub tożsamość agenta działająca samodzielnie, bez osoby za sesją: przebiegi Power Automate, tożsamości agentów Entra, autonomiczna praca Copilota.
• Przetwarzanie systemowe - własne centra danych Microsoftu pośredniczące w ruchu (adres to serwer, nie osoba), przekaźniki i boty spotkań oraz zapisy naprawcze samego 1Security.

Nagłówkowy rodzaj dostępu lokalizacji to najwyższy z tych, które posiada: cokolwiek z aktywnym dostępem czyta się jako aktywne; miejsce z samymi próbami - jako tylko próby logowania; i tak dalej. Filtry Aktywny dostęp i Tylko próby logowania nad listą stawiają dwa przeciwne ustalenia o jedno kliknięcie od siebie: jeśli firma pracuje z Polski, wiersz tylko próby logowania z Ghany to szum do przeoczenia, a wiersz aktywny z Ghany oznacza, że komuś się udało. Ten sam podział widać na karcie Lokalizacje każdego użytkownika i urządzenia („czy to konto coś stąd zrobiło?”), na kartach Użytkownicy i Urządzenia w szufladzie lokalizacji oraz w eksporcie CSV.

Lokalizacje FirmoweCopy Anchor Link

Biura są kotwicą całego ekranu: gdy 1Security wie, gdzie dzieje się normalna praca, całą resztę można mierzyć odległością od normalności.

Oznaczenie biura to jedno kliknięcie na wierszu lokalizacji i krótkie okno dialogowe - nazwij biuro i ustaw jego promień normalnego użycia w kilometrach. Od tej chwili każdy wiersz i każdy punkt na mapie pokazuje, jak daleko leży od najbliższego biura.

Karta otwiera się sekcją Rekomendowane działania - kandydatami wyprowadzonymi z tego, co obserwujemy, co deklaruje Entra i co już oznaczono. Sugestia w rodzaju „To wygląda na biuro” przychodzi z dowodami: dziesiątki użytkowników za garścią adresów, koncentracja w dni robocze i godziny pracy, zarządzane urządzenia, aktywność utrzymująca się przez wiele dni. Przyjęcie sugestii otwiera zwykłe okno oznaczania, więc nazwa i promień zostają w Twoich rękach. Działa też kierunek odwrotny: „To biuro ucichło” wskazuje oznaczone biura bez świeżej aktywności.

Zgłoś SiećCopy Anchor Link

Obok przycisku biura w panelu każdej lokalizacji jest Sklasyfikuj sieć - kanał korekt na rzadki przypadek, gdy klasyfikacja lub geolokalizacja 1Security nie zgadza się z tym, co wiesz. Przeklasyfikuj sieć (całą albo tylko tę lokalizację), popraw miejsce lub zapisz oznaczenie: Oznacz jako oczekiwaną wycisza sieć, której ufasz (węzeł Tor Twojego red teamu, VPN podwykonawcy), nie fałszując tego, czym jest, a Oznacz jako podejrzaną kieruje zwyczajnie wyglądającą sieć do warstwy podejrzanych i zasięgu polityk.

Zabezpieczenia chronią Cię przed własnym kliknięciem: sieci zweryfikowanych dostawców chmury oraz Tor nie dają się przeklasyfikować hurtowo, a zmiana całej sieci dotykająca wielu lokalizacji jest odrzucana z podaniem liczby. Korekty dotyczące sieci publicznych można opcjonalnie udostępnić, aby klasyfikacja poprawiała się u wszystkich - oznaczenia i cokolwiek o Twojej własnej infrastrukturze nigdy nie opuszczają tenanta. Pełne zasady: Inteligencja lokalizacji.

MapaCopy Anchor Link

Karta Mapa rysuje każde zlokalizowane miejsce na mapie świata - rozmiar punktu podąża za aktywnością, ciche lokalizacje bledną, a pobliskie punkty łączą się w klastry do czasu przybliżenia. Warstwy przełączają biura (wraz z promieniem), cztery opisane wyżej rodzaje dostępu, podejrzane sieci (ruch przez VPN, Tor i hosting) oraz luki CA - pierścień wokół każdej lokalizacji, której dostęp warunkowy nie obejmuje, obejmuje tylko częściowo albo nigdy w niej nie egzekwował zasad. Zakres czasu od 24 godzin po całą historię zamienia mapę w odpowiedź na pytanie „skąd sięgano po nasze dane w zeszłym tygodniu?”

Przybliżenie nie gubi podkładu: poniżej poziomu państw pojawiają się jednostki pierwszego rzędu - województwa, stany, prowincje, landy - jako jaśniejsza, przerywana linia pod granicami państw, a gdy region jest już dość szeroki, by pomieścić nazwę, pojawia się także jego nazwa. Ten sam poziom szczegółu mają małe mapy w szufladach, więc lokalizacja pokazana obok biura leży w rozpoznawalnym regionie, a nie na jednolitym konturze kraju.

Kolor na mapie to rodzaj dostępu lokalizacji: niebieski dla miejsc z aktywnym dostępem, żółty dla miejsc, które widziały wyłącznie próby logowania, zielony dla tożsamości automatycznych działających samodzielnie i szary dla czystego przetwarzania - przekaźników Microsoftu, botów spotkań. Każdy z nich to warstwa, którą można wyłączyć, z liczbą miejsc, które zawiera; warstwy prób logowania i przetwarzania warto ukryć, gdy pytanie brzmi „skąd naprawdę pracują nasi ludzie?”, a samą niebieską warstwę studiować, gdy pytanie brzmi „czy ktoś wszedł skądś, skąd nie powinien?”. Podejrzane sieci (VPN, Tor, ruch z hostingu) zachowują czerwoną obwódkę niezależnie od koloru, więc niebieski punkt z czerwoną obwódką - prawdziwy dostęp przez anonimizator - rzuca się w oczy. Nieudana próba nigdy nie dopisuje miejsca do lokalizacji atakowanego użytkownika.

Gdy lista lokalizacji jest skonfigurowana, mapa ma też przełącznik Do przeglądu z licznikiem: każde miejsce z aktywnym dostępem, na który lista nie pozwala, dostaje przerywaną czerwoną obwódkę, a podpowiedź takiego punktu pokazuje znacznik Do przeglądu. Tylko do przeglądu wygasza całą resztę, żeby te miejsca niosły mapę - biura zostają jako punkt odniesienia - i to najszybszy sposób, by zobaczyć, czy trzy oflagowane miejsca to trzy podróże, czy jedna kampania.

Jedna zasada uczciwości utrzymuje wiarygodność mapy: dostawcy chmury przenoszą zakresy IP między centrami danych szybciej, niż nadąża jakakolwiek baza geolokalizacji, więc punkt centrum danych lub Microsoftu jest przypinany wyłącznie tam, gdzie umieszczają go publikowane przez samego dostawcę dane o regionach - Azure, AWS i Google Cloud publikują swoje. Ruch z hostingu, którego lokalizacji nikt nie publikuje, nadal pojawia się na liście z najlepiej znanym krajem, ale nigdy jako pinezka, która mogłaby być oddalona o setki kilometrów.

Karta Dostęp WarunkowyCopy Anchor Link

Ta karta to porównanie „zaobserwowane kontra zadeklarowane” w jednym miejscu. Nagłówek podsumowuje konfigurację - zasady egzekwujące, zasady w trybie tylko raport, lokalizacje nazwane i ile z nich jest zaufanych - obok liczby, która znaczy najwięcej: odsetka logowań, które przeszły bez zastosowania żadnej zasady.

Każda zaobserwowana lokalizacja dostaje jeden werdykt pokrycia - Nieobjęta, Objęta częściowo, Nazwana, Zaufana albo Nieustalona - obliczony z adresów źródłowych faktycznie tam widzianych, a nie z deklarowanego zakresu zasady. Ustalenia mówią, dlaczego wiersz zasługuje na działanie: logowania bez egzekwowania, miejsca niezadeklarowane, a aktywne, biuro poza zaufanymi zakresami, zaufany zakres wskazujący na ryzykowną infrastrukturę, zakres, z którego ruch już wyrósł, pokrycie wyłącznie regułą kraju i inne - każde z licznikiem lokalizacji, które je niosą.

Widok Lokalizacje nazwane odwraca porównanie i zaczyna od tego, co zadeklarowano: zakresy, z których nigdy nikt się nie zalogował, lokalizacje nazwane, do których nie odwołuje się żadna włączona zasada, oraz zakresy zwrócone przez Microsoft w formie, której nie dało się sparsować - pokazane, a nie po cichu przemilczane.

Podłączenie karty to jedna dodatkowa zgoda tylko do odczytu (Policy.Read.All); werdykty per logowanie już są w logach, które 1Security pobiera. Sam dostęp warunkowy wymaga po stronie Microsoftu licencji Microsoft Entra ID P1 - jeśli Twój tenant jej nie ma, 1Security mówi to wprost, a cała reszta ekranu działa dalej.

Do przeglądu - Lista LokalizacjiCopy Anchor Link

Karta Do przeglądu zamienia monitorowanie lokalizacji w decyzję, którą podejmujesz raz. Prowadź listę dozwolonych krajów, miast i lokalizacji nazwanych Entra, z których ludzie mają pracować, albo listę blokowanych miejsc, z których nikt nie powinien się logować - jedną albo drugą, nigdy obie. Od tej chwili każda lokalizacja z aktywnym dostępem, na który lista nie pozwala, trafia tutaj do przeglądu, a to samo zdarzenie otwiera incydent na ekranie Anomalii („Aktywny dostęp z lokalizacji spoza listy”), więc działają już posiadane alerty, podsumowania i triage. Link Reguły alertów w nagłówku strony otwiera te reguły - kanały, podsumowania, odbiorców - już odfiltrowane do lokalizacji.

Liczy się tylko aktywny dostęp. Password spray z kraju spoza listy nie mówi nic o tym, gdzie pracuje firma, przekaźniki Microsoft nie są miejscem, a sieć prywatna nie ma kraju - żadne z nich nigdy nie trafia na listę do przeglądu.

Konfiguracja to jedno kliknięcie, nie formularz: zacznij od krajów, które już obserwujemy, od obserwowanych miast, od lokalizacji nazwanych Conditional Access (listy krajów stają się krajami, zakresy IP dopasowują się przez znacznik pokrycia) albo - dla listy blokowanych - od wszystkich krajów nigdy nie widzianych. Każde źródło jest przygotowane z zaznaczonymi wszystkimi pozycjami; odznacz wyjątki i zatwierdź. Do tego zatwierdzenia nic nie istnieje - wybór listy dozwolonych lub blokowanych tylko otwiera przygotowaną listę, więc możesz otworzyć obie, porównać je i zamknąć bez pozostawiania listy. Wysyłane są Twoje wykluczenia, więc źródło z większą liczbą kandydatów niż jeden ekran i tak zostaje dodane w całości. Pojedyncze wpisy dodajesz z wiersza lub szuflady lokalizacji w wybranej szczegółowości - cały kraj, aglomeracja albo lokalizacja nazwana - albo wybierasz po nazwie w oknie listy - dowolny kraj albo dowolne miasto na świecie, a miejsca, które już obserwujemy, są na górze - gdzie każdy wpis ma też własny przycisk Usuń.

Lista przeglądu jest wg osób: jeden wiersz na podróżującego i miejsce, którego lista nie dopuszcza, z informacją kiedy i jak długo tam był. Osoba i miejsce to te same klikalne znaczniki, co wszędzie indziej w 1Security, a sam wiersz otwiera miejsce (widok Wg lokalizacji grupuje wiersze po miejscu). Podróż w porządku w wierszu jednym kliknięciem potwierdza obecność tej osoby w kraju do teraz. Zezwól… otwiera okno decyzji dla tej osoby, a w widoku lokalizacji pierwszą akcją jest Zezwól osobom…: pokazuje osoby z aktywnym dostępem w tym miejscu, których nic jeszcze nie dopuszcza, wszystkie zaznaczone, i zapisuje decyzję dla osoby o wybranym zasięgu (to miasto, cały kraj albo lokalizacja nazwana). Domyślna to Tylko ta podróż: potwierdza, że dotychczasowy dostęp był w porządku, i niczego nie dopuszcza na przyszłość, więc przegląd zrobiony tygodnie po podróży nie zostawia otwartych drzwi - jeśli ta sama osoba pojawi się tam ponownie, miejsce zostanie oflagowane znów. Pozostałe opcje to zezwolenia na okres (30 lub 90 dni, data albo bezterminowo), z opcjonalną notatką. Miejsce nie trafia na listę firmową; incydent rozwiązuje się, bo nie zostaje tam nikt niepotwierdzony, a wiersz pokazuje „Dopuszczone dla wskazanych osób”. Duża organizacja nie kończy więc z listą dozwolonych obejmującą pół świata, a lista blokowanych nadal coś znaczy. Wpis dla całej firmy to drugi przycisk („Wszyscy…”) i link w oknie - na rzadki przypadek, gdy miejsce naprawdę jest nowym biurem. Zezwolenia działają tak samo na liście blokowanych (dopuszczają wskazane osoby mimo blokady), przeżywają zmianę trybu, wygasają w swojej dacie i są wypisane w oknie listy pod Zezwolenia dla osób, każde z własnym przyciskiem Usuń.

Dwa kolejne widoki odpowiadają na pytania, które przychodzą po decyzji. Potwierdzone to każde zezwolenie i potwierdzenie dla osoby, jakie kiedykolwiek zapadło - osoba, miejsce, decyzja i do kiedy, kto zdecydował i kiedy - wygasłe są wyszarzone, a nie ukryte, więc pytanie „czy ktoś to w ogóle oglądał?” zawsze ma odpowiedź; każdy wiersz ma własny przycisk Usuń, który ponownie oflaguje miejsce dla tej osoby przy jej następnym aktywnym dostępie. Historia to kanał całego tenanta ze wszystkim, co dotknęło lokalizacji - dodane lub usunięte wpisy listy, lista włączona, wyłączona albo przełączona między trybami, nadane lub cofnięte zezwolenia, oznaczone biura, zgłoszone sieci, zlecone akcje reagowania i komentarze - od najnowszych, z informacją kto i kiedy.

Reaguj - ta sama reakcja, którą oferują anomalieCopy Anchor Link

Oflagowane miejsce bywa nie podróżą, lecz skradzioną sesją, a odpowiedzią nie jest wtedy zezwolenie, lecz blokada. Każdy wiersz Wg osób ma tarczę Reaguj, każdy wiersz Wg lokalizacji i szuflada lokalizacji - przycisk Reaguj, z tymi samymi wyselekcjonowanymi akcjami powstrzymania, które anomalia oferuje dla użytkownika: Wyłącz konto i Usuń wszystkie licencje. Na lokalizacji otwiera się okno z osobami, które miały stąd aktywny dostęp - na oflagowanym miejscu z tymi, których nie obejmuje żadne zezwolenie - wszystkie zaznaczone; odznacz te, którym ufasz, wybierz akcję, a wykona się dla wszystkich nadal zaznaczonych, trafi do Centrum akcji jak każda inna akcja i zostanie zapisana w historii lokalizacji. Tenanty demo wykonują ją w symulacji.

Zezwolenie na miejsce samo rozwiązuje jego otwarte incydenty; usunięcie wpisu otwiera je ponownie przy następnym aktywnym dostępie. Przełączenie między listą dozwolonych a blokowanych czyści wpisy, bo lista dozwolonych odczytana jako blokowana zablokowałaby dokładnie te miejsca, w których ludzie pracują - przełącznik najpierw pyta. Werdykt jest też kolumną, filtrem („Lista lokalizacji”) i polem polityki (access_list_verdict), więc trend może go obserwować jak każde inne znalezisko.

Historia i KomentarzeCopy Anchor Link

Każda szuflada lokalizacji ma kartę Historia i Komentarze: pełną historię tego miejsca, od najnowszych, z polem komentarza na górze (Enter wysyła, Shift+Enter dodaje wiersz). Zapisywane same, bez niczyjego pisania: dodane lub usunięte wpisy listy obejmujące to miejsce, lista włączona, wyłączona albo przełączona między trybami, dodane lub cofnięte zezwolenia i potwierdzenia dla osób, oznaczenie biura, zgłoszenia sieci - zaufana lub podejrzana, klasyfikacja albo korekta miejsca - oraz każda akcja reagowania zlecona stąd. Zezwolenie na cały kraj pokazuje się na każdej lokalizacji w tym kraju, więc szuflada zawsze tłumaczy, dlaczego jej wiersz przestał być oflagowany. Komentarze są od reszty: co sprawdziłeś, kogo zapytałeś, co postanowiłeś.

Odznaka na karcie i kolumna Aktualizacje na liście lokalizacji pokazują, ile wpisów ma dane miejsce. Wiele aktualizacji to samo w sobie sygnał - ktoś już wykonał tu prawdziwą pracę - a kolumna od razu oddziela miejsca „już obsłużone” od nietkniętych.

Podróże, Per Użytkownik i Per UrządzenieCopy Anchor Link

Lokalizacje podążają za tożsamościami, które je odwiedzają. W panelu każdego użytkownika i urządzenia ślad podróży odtwarza ruch tej tożsamości między miejscami - każdy odcinek z pokonanym dystansem, odstępem czasu, prędkością, jaką ten odstęp implikuje, i werdyktem: podróż prawdopodobna, mało prawdopodobna albo niemożliwa. Odcinek oznaczony jako niemożliwy („1 800 km w 40 minut”) to mocniejsze stwierdzenie niż jakikolwiek wskaźnik anomalii - i prowadzi wprost do konkretnych zdarzeń na obu końcach.

LicencjonowanieCopy Anchor Link

Wszystko na tym ekranie działa na standardowej licencji Microsoft 365. Rozwiązywanie lokalizacji odbywa się lokalnie - żaden zewnętrzny serwis wyszukiwania IP nigdy nie widzi Twoich danych - i nie wymaga Entra ID P2 ani płatnego dodatku do logów logowania. Jedynym wyjątkiem jest opisany wyżej wymóg po stronie Microsoftu dla karty Dostęp warunkowy - i to ograniczenie należy do samego dostępu warunkowego, nie do 1Security.