audyt i dochodzenie Microsoft 365
"Czego dotknęło to konto?" Odpowiedź w minuty, nie w weekendy.
Większość dochodzeń w Microsoft 365 nadal polega na ręcznym sklejaniu logowań, zdarzeń plikowych i śladów skrzynek w jedną oś czasu - dzień pracy na konto, i tylko dopóki zdarzenia mieszczą się w oknie retencji. 1Security trzyma do trzech lat historii za każdym kontem, już przypisanej do pliku, urządzenia i lokalizacji, więc odpowiedź na "czego dotknęli, skąd i jak daleko mogli sięgnąć" to filtr, nie projekt.
Problem
Sygnał przychodzi późno. Log zdążył pójść dalej.
Odchodzący pracownik pobrał "dużo" w ostatnich dwóch tygodniach. Konto kontraktora zachowywało się dziwnie tuż przed końcem umowy. Kliknięcie w phishing z wtorku dotarło do SOC w piątek. Każde prawdziwe dochodzenie zaczyna się od tropu sprzed dni albo miesięcy - dlatego 1Security przenosi Cię ze 180 dni historii audytu na standardowych licencjach do trzech lat, włączonych w dniu podłączenia, a nie dzień po tym, jak były potrzebne.
Nawet wewnątrz okna jedno konto to rekordy logowań, plików, skrzynek i urządzeń, z których każdy opowiada część historii. Ręczne skorelowanie jednego popołudnia jednego użytkownika przez te źródła to Twoje własne popołudnie - i wciąż nie mówi, po co konto mogło sięgnąć, a czego nie dotknęło, czyli o liczbę, o którą zarząd pyta pierwszą.
W typowej dzierżawie zwykłe konto sięga do setek tysięcy plików przez grupy, linki udostępniania i dziedziczone uprawnienia witryn - i nikt nigdy nie widział tej liczby zapisanej. Więc sekcja o skutkach w raporcie staje się szacunkiem, a oś czasu ma dziury dokładnie tam, gdzie był ciekawy tydzień.
W praktyce
Jedno konto, rozebrane w czterech krokach.
Jak biegnie dochodzenie w 1Security - odchodzący pracownik, podejrzany insider albo przejęte logowanie, ścieżka jest ta sama.
- 01
Otwórz konto i odczytaj jego zasięg
Otwórz użytkownika w Użytkownikach. Szuflada pokazuje, po co konto sięga w tej chwili - witryny, pliki, grupy, skrzynki, linki - rozwiązane przez każdą zagnieżdżoną grupę i dziedziczenie, plus jego urządzenia, lokalizacje logowań i trend aktywności na tle własnej linii bazowej. Promień rażenia, który kiedyś zajmował dzień skryptów, to jedna szuflada - zwykle liczona w dziesiątkach lub setkach tysięcy plików.
- 02
Odtwórz okno, które ma znaczenie
Przejdź do Dziennika aktywności i przefiltruj do konta i zakresu dat - zeszły tydzień albo zeszły rok, do trzech lat wstecz. Każde zdarzenie nazywa plik, akcję, aplikację, urządzenie (zarządzane czy nie) oraz kraj i miasto, z którego przyszło, z surowym rekordem audytu jedno kliknięcie dalej. Posortuj po wadze, żeby zobaczyć 40 pobrań i regułę skrzynki przed 4000 otwarć plików.
- 03
Odczytaj to, co siedziało poniżej Twojej linii alertu
Anomalie zachowują każde odchylenie od dwóch sigm powyżej własnej 30-dniowej linii bazowej konta jako epizod informacyjny - nigdy nie wysłany mailem, nigdy nie wyrzucony. Obniż suwak czułości, a cichy wtorek, o którym nikt nie alarmował, pokaże się jako "pobrania 8x powyżej normy", bez ponownego skanu i okresu strojenia.
- 04
Sprawdź pochodzenie, potem zamknij pętlę
Ślad podróży mówi, czy konto pojawiło się kiedyś tam, gdzie jego właściciel być nie mógł - dwa kraje 900 km od siebie w ciągu godziny, centrum danych albo węzeł Tor - i na jakim urządzeniu. Ustalenia stają się etapowanymi akcjami: wygaś linki, unieważnij sesje, wyłącz konto, każda zapisana w Akcjach z tym, kto zatwierdził i kiedy.
Co za tym stoi
Pamięć, atrybucja i linia bazowa.
Trzy części platformy zamieniają eksport audytu w dochodzenie, które da się skończyć przed lunchem.
Trzy lata historii audytu
Przeszukiwalna, przypisana aktywność - ze 180 dni do trzech lat retencji na standardowej licencji, z osobnymi znacznikami czasu wystąpienia i wykrycia.
Poznaj narzędzie audytu →Lokalizacje z werdyktami
Każde zdarzenie rozwiązane do kraju, miasta i typu sieci. Kraje widziane po raz pierwszy oznaczone, wyjścia z centrów danych rozpoznane jako to, czym są, niemożliwa podróż wskazana na osi czasu.
Poznaj wykrywanie podróży →Alerty, które trzymają paragony
Epizody zamiast spamu zdarzeń, suwak czułości, który ustawiasz sam, i poziom informacyjny, który zachowuje wszystko od dwóch sigm na dzień, w którym potrzebujesz spojrzenia wstecz.
Poznaj narzędzie alertów →
FAQ
Częste pytania.
Jak daleko wstecz może sięgnąć dochodzenie?
Do trzech lat aktywności, na standardowej licencji Microsoft 365 - trzy lata subskrypcji budują trzy lata historii i przenoszą Cię ze 180 dni standardowej retencji audytu do trzech lat bez dodatku premium. Historia audytu dostępna w momencie podłączenia jest dociągana wstecz; od tej chwili nic nie wygasa.
Czy potrzebujemy licencji premium albo agenta na maszynach?
Nie. Retencja, atrybucja, lokalizacje i anomalie działają na standardowych licencjach z połączeniem tylko do odczytu. Na końcówkach nie ma nic do instalacji; atrybucja urządzeń pochodzi z samych rekordów logowań i audytu.
Czy możemy prowadzić dochodzenie po cichu?
Tak. Dochodzenie to przeglądanie tylko do odczytu danych, które 1Security już ma - filtry, szuflady i osie czasu. Nic nie jest wysyłane, zmieniane ani ogłaszane, dopóki nie zainicjujesz akcji, a zainicjowane akcje czekają w swoim oknie przeglądu.
A jeśli podejrzana aktywność nigdy nie wywołała alertu?
Po to jest poziom informacyjny. Wszystko od dwóch sigm powyżej własnej linii bazowej konta jest zapisane i filtrowalne, mimo że nikt nie dostał maila. Obniżenie linii alertu przeklasyfikowuje historię w momencie odczytu, więc spojrzenie wstecz to zmiana filtra, nie robota śledcza.
Następne "czy coś nam umknęło?" zasługuje na odpowiedź.
Podłącz w trybie tylko do odczytu, a historia zaczyna się budować tego samego dnia - żeby następny odchodzący pracownik, dziwny kontraktor albo spóźnione zgłoszenie phishingu były dziesięciominutowym sprawdzeniem, nie straconym weekendem.
Albo dalej sklejaj oś czasu ręcznie.