Обнаружение взломов Microsoft 365 по местоположению
Кто прямо сейчас в вашем Microsoft 365 выдаёт себя за вашего сотрудника?
Сильные пароли и MFA останавливают многие атаки, но не все. Когда кто-то входит по чужому логину, одного он подделать не может - места, где находится. 1Security знает, откуда работают ваши люди, и в момент, когда настоящая активность приходит откуда-то ещё, знаете и вы - кто, где и как долго. Стандартная лицензия, доступ только на чтение.
Проблема
Взлом выглядит как обычный рабочий день. Кроме места.
Злоумышленники уже редко ломают дверь. Они входят чужим ключом: убедительной поддельной страницей входа, сессией браузера, скопированной с домашнего ноутбука, приложением, которое кто-то однажды одобрил и забыл. Каждое из этого даёт им работающую учётную запись, с пройденной MFA. С этого момента всё, что они делают, выглядит как работа сотрудника.
Одного одолжить нельзя - место, где находится ваш сотрудник. Компания работает из горстки стран и городов; чужак сидит где-то ещё, обычно на арендованном сервере. В сыром журнале входов эта разница тонет под десятками тысяч адресов в месяц. На карте это одна красная точка среди двенадцати синих.
Ловушка - в том, что происходит дальше. Половина неожиданных мест в любой компании - настоящие поездки, и если закрыть каждую значит добавить ещё одну страну в общий список разрешённых, список за год накроет полмира и тревога перестанет что-либо значить. Контроль, который переживёт разъезжающий отдел продаж, должен судить людей, а не страны.
На практике
От "мы бы увидели это в логах" до инцидента за минуты.
Как это работает в 1Security - рядом с защитой идентификации, которая у вас уже есть, без установки чего-либо нового.
- 01
Назовите места, откуда работают ваши люди
Откройте Местоположения, затем Проверку, и начните со стран, которые мы уже видим: типичная компания показывает 3-8, с числом пользователей и событий рядом с каждой. Снимите отметку с той, где один подрядчик, создайте список разрешённых - и с этого момента любой активный доступ откуда-то ещё отмечается. Глобальные организации ведут вместо этого список блокировки - места, которых не ожидают никогда, - и оба списка принимают именованные расположения Entra и агломерации, не только страны.
- 02
Увидьте за минуты, кто где был
Вкладка Проверка показывает по строке на человека и место, которого список не разрешает: человека, город и страну с сетью за ними, когда он там был и как долго, и сколько настоящих действий выполнил. Строки появляются примерно через десять минут после события. То же событие открывает инцидент на экране Аномалии, попадает в утреннюю сводку и уходит письмом по вашим правилам оповещений. Неудачные входы, релеи Microsoft и машинные учётные записи в список не попадают никогда.
- 03
Решайте по человеку, а не по стране
Командированный - это один клик: "Поездка в порядке" фиксирует, что присутствие до сих пор проверено, и ничего не разрешает на будущее - если тот же человек снова появится там, строка вернётся. "Разрешить на период" покрывает командировку на 30 или 90 дней или до даты. В список компании попадает только настоящий новый офис. Инцидент закрывается сам, когда в этом месте не остаётся никого непроверенного.
- 04
Действуйте там, где это не поездка
Имя открывает человека: его след поездок говорит "Варшава 17:40, Сингапур 03:12 - невозможно", устройства показывают, шла ли сессия с управляемого ноутбука или из неизвестного браузера, а недавние файлы - что было открыто. С того же экрана подготовьте отзыв сессии или отключение учётной записи, за окном проверки, и инцидент несёт доказательства.
Что это обеспечивает
Три части платформы, один инцидент.
Обнаружение по местоположению - не отдельный продукт. Оно работает на привязанном к местам журнале аудита, модели поездок по пользователям и конвейере инцидентов, о которых можно прочитать подробнее.
Местоположения входов
Каждый вход и действие с файлом как место: страна, город и сеть, с различением VPN, Tor, хостинга и трафика Microsoft и вашими офисами как точкой отсчёта.
Подробнее о функции →Невозможные поездки
Следы по пользователям и устройствам с вердиктами правдоподобно, маловероятно и невозможно, за три года, так что отмеченное место приходит с отрезком, который туда привёл.
Подробнее о функции →Аномалии и реагирование
Отмеченное место - это инцидент с уровнем важности, дайджестом и подобранными действиями сдерживания, подготовленными за окном проверки.
Подробнее о функции →
FAQ
Частые вопросы.
Каждая командировка откроет инцидент?
Каждое первое присутствие в неожиданном месте - один раз. Решение принимается по человеку: "Поездка в порядке" закрывает его одним кликом и не пускает место в список компании, а командировка получает разрешение на период. Никогда не происходит одного: Лиссабон не становится местом компании из-за того, что один человек провёл там неделю.
У нас уже есть Entra ID P2, Identity Protection и условный доступ. Что это добавляет?
Сигнал после аутентификации, которому безразлично, как добыт токен. Политики на основе риска действуют при входе; это смотрит на доступ, состоявшийся потом - чтение почты, открытие файлов, запросы к Copilot - относительно того, откуда работают ваши люди, и хранит каждое исключение по человеку, с окном и сроком. Команды со зрелым стеком идентификации используют это как контроль, который всё ещё срабатывает после проксированного запроса MFA или воспроизведённого cookie, и как очередь, которую их SOC разбирает каждое утро. Ничего здесь не требует премиальной лицензии; это работает на журнале аудита с согласием только на чтение.
Что с пользователями VPN и дата-центрами Microsoft?
Трафик релеев Microsoft распознаётся и никогда не считается местом, откуда кто-то работает, поэтому серверные операции с почтой и SharePoint тревогу не поднимают. Выходы VPN, Tor и хостинга помечены в каждой строке; относится ли выход VPN к вашему списку разрешённых, решаете вы, а вкладка Проверка показывает людей за ним до того, как вы решите.
Почему неудачный вход - не инцидент?
Потому что перебор паролей из Лагоса ничего не говорит о том, где ваши люди, и у него уже есть собственный детектор. Список местоположений судит только активный доступ: завершённый вход, открытый файл, прочитанную почту, запрос к Copilot. Поэтому вкладка Проверка достаточно короткая, чтобы разбирать её каждое утро.
Заменяет ли это условный доступ?
Нет, это смотрит на то, что условный доступ пропустил. Политика блокирует по именованному расположению при входе; это обнаруживает доступ, который всё же состоялся, в том числе из мест, которых ваши именованные расположения никогда не упоминали, и показывает долю входов, прошедших вообще без применённой политики.
Узнайте, откуда на самом деле была доступна ваша компания на прошлой неделе - и все ли это были ваши люди.
Подключитесь только на чтение, и вкладка Проверка заполнится из активности, которую вы уже создаёте, в тот же день. Первый список занимает около пяти минут.
Или продолжайте считать, что каждый вход - это сотрудник.