Виявлення зламів Microsoft 365 за локацією
Хто просто зараз у вашому Microsoft 365 видає себе за вашого працівника?
Сильні паролі та MFA зупиняють багато атак, але не всі. Коли хтось входить за чужим логіном, одного він підробити не може - місця, де перебуває. 1Security знає, звідки працюють ваші люди, і тієї миті, коли справжня активність приходить звідкись іще, знаєте й ви - хто, де і як довго. Стандартна ліцензія, доступ лише на читання.
Проблема
Злам виглядає як звичайний робочий день. Окрім місця.
Зловмисники вже рідко ламають двері. Вони заходять чужим ключем: переконливою підробленою сторінкою входу, сесією браузера, скопійованою з домашнього ноутбука, застосунком, який хтось колись схвалив і забув. Кожне з цього дає їм робочий обліковий запис, із пройденою MFA. Відтоді все, що вони роблять, виглядає як робота працівника.
Одного позичити не можна - місця, де перебуває ваш працівник. Компанія працює з жменьки країн і міст; чужинець сидить деінде, зазвичай на орендованому сервері. У сирому журналі входів ця різниця тоне під десятками тисяч адрес на місяць. На мапі це одна червона точка серед дванадцяти синіх.
Пастка - у тому, що стається далі. Половина неочікуваних місць у будь-якій компанії - справжні поїздки, і якщо закрити кожну означає додати ще одну країну до загального списку дозволених, список за рік накриє півсвіту й тривога перестане щось означати. Контроль, який переживе відділ продажів у відрядженнях, має судити людей, а не країни.
На практиці
Від "ми б побачили це в логах" до інциденту за хвилини.
Як це працює в 1Security - поруч із захистом ідентифікації, який у вас уже є, без встановлення чогось нового.
- 01
Назвіть місця, звідки працюють ваші люди
Відкрийте Локації, потім Перевірку, і почніть із країн, які ми вже бачимо: типова компанія показує 3-8, з кількістю користувачів і подій поруч із кожною. Зніміть позначку з тієї, де один підрядник, створіть список дозволених - і з цієї миті будь-який активний доступ звідкись іще позначається. Глобальні організації ведуть натомість список блокування - місця, яких не очікують ніколи, - і обидва списки приймають іменовані розташування Entra та агломерації, не лише країни.
- 02
Побачте за хвилини, хто де був
Вкладка Перевірка показує по рядку на особу й місце, якого список не дозволяє: особу, місто й країну з мережею за ними, коли вона там була і як довго, і скільки справжніх дій виконала. Рядки з'являються приблизно за десять хвилин після події. Та сама подія відкриває інцидент на екрані Аномалії, потрапляє в ранковий звіт і йде листом за вашими правилами сповіщень. Невдалі входи, релеї Microsoft і машинні облікові записи до списку не потрапляють ніколи.
- 03
Вирішуйте за особою, а не за країною
Відряджений - це один клік: "Поїздка гаразд" фіксує, що присутність дотепер перевірено, і нічого не дозволяє на майбутнє - якщо та сама особа знову з'явиться там, рядок повернеться. "Дозволити на період" покриває відрядження на 30 чи 90 днів або до дати. До списку компанії потрапляє лише справжній новий офіс. Інцидент закривається сам, коли в цьому місці не лишається нікого неперевіреного.
- 04
Дійте там, де це не поїздка
Ім'я відкриває особу: її слід поїздок каже "Варшава 17:40, Сінгапур 03:12 - неможливо", пристрої показують, чи йшла сесія з керованого ноутбука чи з невідомого браузера, а недавні файли - що було відкрито. З того самого екрана підготуйте відкликання сесії або вимкнення облікового запису, за вікном перевірки, і інцидент несе докази.
Що це забезпечує
Три частини платформи, один інцидент.
Виявлення за локацією - не окремий продукт. Воно працює на прив'язаному до місць журналі аудиту, моделі поїздок за користувачами та конвеєрі інцидентів, про які можна прочитати докладніше.
Локації входів
Кожен вхід і дія з файлом як місце: країна, місто й мережа, з розрізненням VPN, Tor, хостингу й трафіку Microsoft і вашими офісами як точкою відліку.
Докладніше про функцію →Неможливі поїздки
Сліди за користувачами та пристроями з вердиктами правдоподібно, малоймовірно та неможливо, за три роки, тож позначене місце приходить із відрізком, який туди привів.
Докладніше про функцію →Аномалії та реагування
Позначене місце - це інцидент із рівнем важливості, дайджестом і дібраними діями стримування, підготовленими за вікном перевірки.
Докладніше про функцію →
FAQ
Часті запитання.
Чи кожне відрядження відкриє інцидент?
Кожна перша присутність у неочікуваному місці - один раз. Рішення ухвалюється за особою: "Поїздка гаразд" закриває його одним кліком і не пускає місце до списку компанії, а відрядження отримує дозвіл на період. Ніколи не стається одного: Лісабон не стає місцем компанії через те, що одна особа провела там тиждень.
У нас уже є Entra ID P2, Identity Protection і умовний доступ. Що це додає?
Сигнал після автентифікації, якому байдуже, як здобуто токен. Політики на основі ризику діють під час входу; це дивиться на доступ, що відбувся потім - читання пошти, відкриття файлів, запити до Copilot - відносно того, звідки працюють ваші люди, і тримає кожен виняток за особою, з вікном і терміном. Команди зі зрілим стеком ідентифікації використовують це як контроль, який усе ще спрацьовує після проксійованого запиту MFA чи відтвореного cookie, і як чергу, яку їхній SOC розбирає щоранку. Ніщо тут не потребує преміальної ліцензії; це працює на журналі аудиту зі згодою лише на читання.
Що з користувачами VPN і дата-центрами Microsoft?
Трафік релеїв Microsoft розпізнається й ніколи не вважається місцем, звідки хтось працює, тому серверні операції з поштою та SharePoint тривоги не здіймають. Виходи VPN, Tor і хостингу позначені в кожному рядку; чи належить вихід VPN до вашого списку дозволених, вирішуєте ви, а вкладка Перевірка показує людей за ним до того, як ви вирішите.
Чому невдалий вхід - не інцидент?
Бо перебір паролів із Лагоса нічого не каже про те, де ваші люди, і має власний детектор. Список локацій судить лише активний доступ: завершений вхід, відкритий файл, прочитану пошту, запит до Copilot. Тому вкладка Перевірка достатньо коротка, щоб розбирати її щоранку.
Чи замінює це умовний доступ?
Ні, це дивиться на те, що умовний доступ пропустив. Політика блокує за іменованим розташуванням під час входу; це виявляє доступ, який усе ж відбувся, зокрема з місць, яких ваші іменовані розташування ніколи не згадували, і показує частку входів, що пройшли взагалі без застосованої політики.
Дізнайтеся, звідки насправді була доступна ваша компанія минулого тижня - і чи всі це були ваші люди.
Підключіться лише на читання, і вкладка Перевірка заповниться з активності, яку ви вже створюєте, того самого дня. Перший список займає близько п'яти хвилин.
Або й далі вважайте, що кожен вхід - це працівник.