dziennik bezpieczeństwa Microsoft 365
Jeden dziennik bezpieczeństwa, trzy lata wstecz, na licencjach, które już masz.
Pytanie zwykle przychodzi w siódmym miesiącu: aktywność odchodzącego pracownika z zeszłego kwartału, kompromitacja znaleziona miesiące po pierwszym logowaniu, audytor losujący zeszły rok. 1Security pobiera strumień audytu na bieżąco i trzyma go jako jeden przeszukiwalny dziennik do trzech lat - pliki, poczta, Teams, logowania, agenci AI i aplikacje zewnętrzne na jednej osi czasu, każde zdarzenie od razu powiązane z użytkownikiem, plikiem, aplikacją, urządzeniem i krajem, z którego przyszło. Na standardowych licencjach, bez rachunku za SIEM i bez forwardera logów.
Problem
Pytanie przychodzi w siódmym miesiącu. Zadbaj, żeby dziennik wciąż tam był.
Aktywność odchodzącego pracownika z zeszłego kwartału. Kompromitacja znaleziona cztery miesiące po pierwszym logowaniu. Audytor losujący zakres dat z zeszłego roku. Pytania o bezpieczeństwo nie szanują okien retencji. Z 1Security przechodzisz ze 180 dni historii audytu na standardowych licencjach do trzech lat - retencji, która zaczyna się w dniu podłączenia, a nie dzień po incydencie.
Nawet wewnątrz okna pytanie "co to konto robiło tamtego popołudnia" rozciąga się na rekordy logowań, plików, skrzynek i urządzeń, z których każdy mówi własnym językiem, a ręczne ich korelowanie to Twoje własne popołudnie. Jedna oś czasu, na której każde zdarzenie jest już powiązane z użytkownikiem, plikiem, urządzeniem i lokalizacją, zamienia to pytanie w filtr.
A surowe zdarzenia niczego nie nazywają. Typowa dzierżawa produkuje setki tysięcy rekordów audytu tygodniowo, opisanych GUID-ami i adresami witryn, a żądania często przychodzą przez wyjście z centrum danych zamiast z prawdziwej sieci użytkownika. Wysyłanie tego wszystkiego do SIEM czyni to przeszukiwalnym i drogim - większość zespołów kończy na 30 dniach i nadziei.
W praktyce
Od mglistego pytania do dokładnej listy zdarzeń.
Jak biegnie typowe wyszukiwanie w Dzienniku aktywności - jeden ekran, jedno zapytanie, dowolny zakres dat do trzech lat.
- 01
Filtruj po czymkolwiek, co ma znaczenie
Otwórz Dziennik aktywności i zawęź po użytkowniku, pliku, witrynie, aplikacji, agencie AI, urządzeniu, kraju, typie sieci lub grupie akcji - te same filtry działają na zdarzeniach plikowych, pocztowych, Teams, logowań i agentów. "Wszystko, co ten kontraktor pobrał z witryny finansów w marcu" to trzy chipy, a odpowiedź to lista - zwykle kilkadziesiąt wierszy z milionów.
- 02
Czytaj zdarzenia jak zdania, nie GUID-y
Każdy wiersz to opis prostym językiem z osobą, zasobem, aplikacją, urządzeniem (zarządzanym lub nie), lokalizacją i wagą. Wyjścia z centrów danych są oznaczone jako to, czym są, zamiast podnosić fałszywy alarm o "obcym centrum danych"; VPN, Tor i wyjścia z hostingu są flagowane. Surowy rekord Microsoftu zostaje jedno kliknięcie dalej dla niedowiarków.
- 03
Sięgnij trzy lata wstecz, nie sześć miesięcy
Do trzech lat historii oznacza, że zeszłoroczny zakres dat to filtr, nie stracona sprawa. Pytania o 7, 30 i 90 dni są obsługiwane z gotowych zestawień i odpowiadają natychmiast nawet w dzierżawach z dziesiątkami milionów plików; długie okna nad setkami milionów zdarzeń wciąż wracają w sekundy.
- 04
Zapisz, zaplanuj albo nakarm SOC
Zapisz filtr jako widok, zaplanuj go jako podsumowanie, wyeksportuj albo pozwól Sentinelowi, Splunkowi, QRadarowi lub Elasticowi pobierać ten sam znormalizowany dziennik przez REST API tylko do odczytu - z odpytywaniem po znaczniku wykrycia, żeby spóźnione zdarzenia nigdy nie przepadły. SIEM zostaje do korelacji, a przestajesz płacić mu za przechowywanie.
Co za tym stoi
Dziennik jest tyle wart, ile niesie każda jego linia.
Trzy części platformy zamieniają surowe zdarzenia audytu w dziennik bezpieczeństwa, który naprawdę da się przeszukać.
Trzy lata historii audytu
Ze 180 dni do trzech lat retencji, przeszukiwalnej na miejscu, z jawnym koszykiem niesklasyfikowanych zamiast po cichu porzuconych zdarzeń.
Poznaj narzędzie audytu →Pobieranie niemal w czasie rzeczywistym
Nowa aktywność jest widoczna po około dziesięciu minutach przy dowolnej wielkości dzierżawy, więc dziennik to żywa powierzchnia, którą da się obserwować w trakcie incydentu, nie nocna paczka.
Poznaj monitorowanie →Odpowiedzi i eksporty
Zapisane widoki, zaplanowane podsumowania i pełne eksporty na tych samych danych - plus REST API, gdy dziennik ma trafić do Twojego SIEM.
Poznaj raportowanie →
FAQ
Częste pytania.
Czy to zastępuje ujednolicony dziennik audytu Microsoftu?
Buduje na nim. 1Security czyta ten sam strumień audytu, normalizuje go, dokleja do każdego zdarzenia użytkownika, urządzenie i lokalizację i trzyma go do trzech lat. Surowy rekord Microsoftu zostaje przy każdym zdarzeniu, więc nic nie ginie w tłumaczeniu - a Search-UnifiedAuditLog nadal możesz uruchomić, kiedy chcesz drugiej opinii.
Czy potrzebujemy licencji premium albo dodatku?
Nie. Trzyletnia retencja, wzbogacanie i wyszukiwanie działają na standardowych licencjach Microsoft 365 - od Business Basic wzwyż - z połączeniem tylko do odczytu i bez niczego do instalacji. Historia audytu dostępna w chwili podłączenia jest dociągana wstecz; od tego momentu narasta.
Jak dziennik trafia do naszego SIEM?
W trybie pull, przez REST API tylko do odczytu: klucze per dzierżawa, 600 żądań na minutę, paginacja kursorem i udokumentowane podłączenie do Sentinela, Splunka, QRadara i Elastica. Odpytywanie po znaczniku wykrycia utrzymuje pobieranie deterministyczne, nawet gdy zdarzenia pojawiają się z wielogodzinnym opóźnieniem.
Jak szybko pojawia się nowa aktywność?
Około dziesięciu minut od akcji do przeszukiwalnego wiersza, przy dowolnej wielkości dzierżawy. W trakcie żywego incydentu możesz przefiltrować do konta i patrzeć, jak dziennik się wypełnia.
Zachowaj odpowiedź po 180. dniu.
Podłącz w trybie tylko do odczytu, a dziennik zaczyna narastać już dziś - przeszukiwalny, przypisany i Twój przez trzy lata. Dociąganie wstecz obejmuje historię audytu dostępną w chwili podłączenia.
Albo licz na to, że następne pytanie będzie o coś niedawnego.