wykrywanie włamań Microsoft 365 po lokalizacji
Kto jest teraz w Twoim Microsoft 365, udając Twojego pracownika?
Silne hasła i MFA zatrzymują wiele ataków, ale nie wszystkie. Gdy ktoś wchodzi na pożyczone logowanie, jednej rzeczy nie podrobi: miejsca, w którym jest. 1Security wie, skąd pracują Twoi ludzie, a w chwili, gdy prawdziwa aktywność przychodzi skądinąd, Ty też wiesz - kto, gdzie i jak długo. Standardowa licencja, dostęp tylko do odczytu.
Problem
Włamanie wygląda jak zwykły dzień pracy. Poza miejscem.
Napastnicy rzadko już wyważają drzwi. Wchodzą pożyczonym kluczem: przekonującą fałszywą stroną logowania, sesją przeglądarki skopiowaną z domowego laptopa, aplikacją, którą ktoś kiedyś zatwierdził i zapomniał. Każda z tych rzeczy daje im działające konto, z zaliczonym MFA. Od tej chwili wszystko, co robią, wygląda jak pracownik przy swojej pracy.
Jednej rzeczy nie da się pożyczyć: miejsca, w którym jest Twój pracownik. Firma pracuje z garstki krajów i miast; intruz siedzi gdzie indziej, zwykle na wynajętym serwerze. W surowym dzienniku logowań ta różnica ginie pod dziesiątkami tysięcy adresów miesięcznie. Na mapie to jedna czerwona kropka wśród dwunastu niebieskich.
Pułapka to to, co dzieje się potem. Połowa nieoczekiwanych miejsc w każdej firmie to prawdziwe podróże, a jeśli zamknięcie każdej oznacza dodanie kolejnego kraju do firmowej listy dozwolonych, lista obejmie pół świata w rok i alarm przestanie cokolwiek znaczyć. Kontrola, która przetrwa podróżujący dział sprzedaży, musi oceniać ludzi, nie kraje.
W praktyce
Od "zobaczylibyśmy to w logach" do incydentu w kilka minut.
Jak to działa w 1Security - obok ochrony tożsamości, którą już masz, bez instalowania czegokolwiek nowego.
- 01
Wskaż miejsca, z których pracują Twoi ludzie
Otwórz Lokalizacje, potem Przegląd, i zacznij od krajów, które już obserwujemy: typowa firma widzi ich 3-8, z liczbą użytkowników i zdarzeń przy każdym. Odznacz ten, który jest jednym kontraktorem, utwórz listę dozwolonych i od tej chwili każdy aktywny dostęp skądinąd jest flagowany. Organizacje globalne prowadzą zamiast tego listę blokowanych - miejsca, których nigdy się nie spodziewają - a obie listy przyjmują lokalizacje nazwane Entra i aglomeracje, nie tylko kraje.
- 02
Zobacz, kto gdzie był, w kilka minut
Karta Przegląd pokazuje jeden wiersz na osobę i miejsce, którego lista nie dopuszcza: osobę, miasto i kraj z siecią za nimi, kiedy tam była i jak długo oraz ile prawdziwych akcji wykonała. Wiersze pojawiają się w około dziesięć minut od zdarzenia. To samo zdarzenie otwiera incydent na ekranie Anomalie, trafia do porannego przeglądu i wychodzi mailem według Twoich reguł alertów. Nieudane logowania, przekaźniki Microsoftu i tożsamości maszynowe nigdy nie trafiają na listę.
- 03
Decyduj per osoba, nie per kraj
Podróżujący to jedno kliknięcie: "Podróż w porządku" zapisuje, że dotychczasowa obecność została przejrzana, i niczego nie dopuszcza na przyszłość - jeśli ta sama osoba pojawi się tam ponownie, wiersz wróci. "Zezwól na okres" obejmuje delegację na 30 lub 90 dni albo do daty. Na firmową listę trafia tylko prawdziwe nowe biuro. Incydent rozwiązuje się sam, gdy w tym miejscu nie zostaje nikt nieprzejrzany.
- 04
Działaj na tym, co nie jest podróżą
Nazwisko otwiera osobę: jej ślad podróży mówi "Warszawa 17:40, Singapur 03:12 - niemożliwe", urządzenia pokazują, czy sesja szła z zarządzanego laptopa czy z nieznanej przeglądarki, a ostatnie pliki - co zostało otwarte. Z tego samego ekranu przygotuj unieważnienie sesji albo wyłączenie konta, z oknem przeglądu, a incydent niesie dowody.
Co to napędza
Trzy części platformy, jeden incydent.
Wykrywanie po lokalizacji nie jest osobnym produktem. Działa na zlokalizowanym dzienniku audytu, modelu podróży per użytkownik i potoku incydentów, o których możesz przeczytać więcej.
Lokalizacje logowań
Każde logowanie i akcja na pliku jako miejsce: kraj, miasto i sieć, z rozróżnieniem VPN, Tor, hostingu i ruchu Microsoftu oraz Twoimi biurami jako punktem odniesienia.
Poznaj funkcję →Niemożliwa podróż
Ślady per użytkownik i urządzenie z werdyktami prawdopodobna, nieprawdopodobna i niemożliwa, trzy lata wstecz, więc oflagowane miejsce przychodzi z odcinkiem, który tam prowadził.
Poznaj funkcję →Anomalie i reakcja
Oflagowane miejsce to incydent z poziomem ważności, digestem i dobranymi akcjami powstrzymania, przygotowanymi z oknem przeglądu.
Poznaj funkcję →
FAQ
Częste pytania.
Czy każda podróż służbowa otworzy incydent?
Każda pierwsza obecność w nieoczekiwanym miejscu - raz. Decyzja jest per osoba: "Podróż w porządku" zamyka ją jednym kliknięciem i nie wpuszcza miejsca na firmową listę, a delegacja dostaje zezwolenie na okres. Nigdy nie dzieje się jedno: Lizbona nie staje się lokalizacją firmy, bo jedna osoba spędziła tam tydzień.
Mamy już Entra ID P2, Identity Protection i Conditional Access. Co to dodaje?
Sygnał po uwierzytelnieniu, któremu jest obojętne, jak zdobyto token. Polityki oparte na ryzyku działają przy logowaniu; to patrzy na dostęp, który dokonał się później - odczyty skrzynek, otwarcia plików, prompty Copilota - względem tego, skąd pracują Twoi ludzie, i trzyma każdy wyjątek per osoba, z oknem i datą wygaśnięcia. Zespoły z dojrzałym stosem tożsamości używają tego jako kontroli, która wciąż odpala po przechwyconym monicie MFA albo odtworzonym ciasteczku, i jako kolejki, którą ich SOC czyści każdego ranka. Nic tutaj nie wymaga licencji premium; działa na dzienniku audytu ze zgodą tylko do odczytu.
Co z użytkownikami VPN i centrami danych Microsoftu?
Ruch przekaźników Microsoftu jest rozpoznawany i nigdy nie liczy się jako miejsce, z którego ktoś pracuje, więc operacje po stronie serwera na skrzynkach i w SharePoint nie podnoszą alarmów. Wyjścia VPN, Tor i hostingowe są tak oznaczone w każdym wierszu; czy wyjście VPN należy do Twojej listy dozwolonych, decydujesz Ty, a karta Przegląd pokazuje stojące za nim osoby, zanim zdecydujesz.
Dlaczego nieudane logowanie nie jest incydentem?
Bo rozpylanie haseł z Lagos nie mówi nic o tym, gdzie są Twoi ludzie, i ma już własny detektor. Lista lokalizacji ocenia wyłącznie aktywny dostęp: ukończone logowanie, otwarty plik, przeczytaną skrzynkę, prompt Copilota. Dlatego karta Przegląd jest na tyle krótka, że da się ją wyczyścić każdego ranka.
Czy to zastępuje Conditional Access?
Nie, to patrzy na to, co Conditional Access przepuścił. Polityka blokuje po lokalizacji nazwanej przy logowaniu; to wykrywa dostęp, który mimo wszystko się dokonał, także z miejsc, o których Twoje lokalizacje nazwane nigdy nie wspominały, i pokazuje odsetek logowań, które przeszły bez żadnej zastosowanej polityki.
Zobacz, skąd naprawdę była dostępna Twoja firma w zeszłym tygodniu - i czy wszystko to byli Twoi ludzie.
Podłącz tylko do odczytu, a karta Przegląd wypełni się z aktywności, którą już generujesz, tego samego dnia. Pierwsza lista zajmuje około pięciu minut.
Albo dalej zakładaj, że każde logowanie to pracownik.