Моніторинг Office 365 у реальному часі

Масове завантаження триває 20 хвилин. Нічний звіт знайде його завтра.

Момент, який важить у клієнті Microsoft 365, короткий: співробітник, що звільняється, витягує 3 000 файлів із фінансової бібліотеки, на теці з зарплатами створюється посилання «Усі, хто має посилання», правило поштової скриньки пересилає пошту назовні. 1Security безперервно читає активність аудиту Microsoft 365, переоцінює лише те, чого торкнулася кожна подія, і сповіщає протягом хвилин - щоб ви перервали завантаження, а не читали про нього.

Замовити демоЖиве демо

Проблема

«Реальний час» зазвичай означає інтервал оновлення.

Багато панелей кажуть «реальний час», а мають на увазі «перераховано сьогодні вночі». Цей розрив нічого не коштує 364 дні на рік і коштує всього того єдиного дня, коли співробітник, що звільняється, починає завантажувати цілу бібліотеку документів. Доки о 2-й ночі запуститься завдання, файли вже на флешці.

Переглядати пошук у журналі аудиту вручну не масштабується далі одного ресурсу, а фіксований поріг дає рядок, а не вердикт. Поруч із рядком потрібен контекст: що це за обліковий запис, до чого ще він дотягується і чи нормальні для нього 3 000 завантажень - і цього контексту немає в жодному окремому журналі.

У великому клієнті наївне рішення теж не працює: перераховувати 40 мільйонів файлів через те, що змінився один, - саме так продукти моніторингу й падають. Єдина робоча відповідь - обсяг: реагувати на подію, переоцінювати зріз, якого вона торкнулася, і доводити, що рушій живий, - щоб тиша означала «нічого не сталося», а не «нічого не перевірено».

На практиці

Масове завантаження, хвилина за хвилиною.

Що відбувається в 1Security між першим завантаженням і сповіщенням у вашій поштовій скриньці.

  1. 01

    Події надходять і отримують атрибуцію

    Активність із журналу аудиту стікається безперервно. Кожна подія прив'язана до користувача, файлу, сайту, застосунку, пристрою та розташування - тому завантаження ніколи не просто «FileDownloaded», а «цей обліковий запис, цей пристрій, це місто, цей файл». Коалесценція по клієнтах гарантує, що жодна подія не губиться, а нова активність з'являється в журналах активності приблизно через десять хвилин після події за будь-якого розміру клієнта.

  2. 02

    Переоцінюється лише зачеплений зріз

    Політики, яких торкається подія, повторно перевіряють лише змінені ресурси, протягом хвилин. Лічильники, тренди та власна норма аномалій облікового запису оновлюються у вас на очах - без нічної перебудови, без перерахунку всього клієнта.

  3. 03

    Спрацьовує годинний поріг

    Активності підтримують вікна в 1, 12 і 24 години, що читаються прямо з сирих журналів аудиту. «Понад 500 завантажень одним користувачем за годину» або «посилання „Усі, хто має посилання“, створене на сайті з конфіденційними даними» спрацьовує під час інциденту, а миттєве сповіщення надсилає лист у момент перетину межі - з періодами тиші, тож один інцидент - це один лист, а не п'ятдесят.

  4. 04

    Вердикт разом зі сповіщенням, а не після нього

    Сповіщення відкривається на сторінці облікового запису: сьогоднішня активність на тлі його норми, файли, до яких він дотягнувся, пристрій і розташування та три роки історії за один клік. Більшість сповіщень закриваються за хвилини як безневинні; те єдине, що таким не є, переривається, поки ще триває.

Що за цим стоїть

Точкова реакція, чесні вікна, ознака життя.

Три проєктні рішення відрізняють моніторинг у реальному часі від інтервалу оновлення.

  • Рушій моніторингу

    Вісім типів ресурсів, тринадцять типів дій, зіставлених зі справжніми подіями аудиту Microsoft 365, свіжість близько десяти хвилин за будь-якого розміру клієнта та миттєві відповіді у вікнах 7, 30 і 90 днів з агрегатів.

    Дослідити інструмент моніторингу →

  • Сповіщення на тому самому годиннику

    Миттєві сповіщення йдуть шляхом реального часу й надсилають лист у момент перетину порога або відхилення від норми облікового запису. Зведення збирають решту за вашим розкладом.

    Дослідити інструмент сповіщень →

  • Історія за кожним сплеском

    Коли поріг спрацьовує, до трьох років активності з атрибуцією - за один клік, тож переривання приходить разом із готовим розслідуванням.

    Дослідити інструмент аудиту →

FAQ

Поширені запитання.

Наскільки свіжий тут «реальний час», конкретно?

Нова активність видима приблизно через десять хвилин за будь-якого розміру клієнта Microsoft 365, а політики, яких торкається подія, переоцінюються протягом хвилин після неї. Вікна в 1, 12 і 24 години читають прямо з сирих журналів аудиту, а не з попередньо обчислених агрегатів. Ми кажемо «майже реальний час», бо подіям аудиту потрібно кілька хвилин на публікацію, перш ніж ми зможемо їх прочитати, - і ми воліємо чесність, а не округлення вниз.

Чи витримує це дуже великих клієнтів?

Так - саме тому конвеєр переоцінює лише зачеплений зріз. На ньому працюють робочі клієнти з понад 40 мільйонами файлів; запитання по довгих вікнах отримують миттєву відповідь з агрегатів, а короткі вікна залишаються сирими.

Звідки ми знаємо, що рушій справді працює?

Смуга життєздатності показує на екрані час останньої оцінки, а графік дій - що рушій зробив у будь-якому вікні від години до року. Тихий тиждень - перевірювано тихий, а не припущений.

Чи потрібні нам для цього E5, Defender або SIEM?

Ні. Моніторинг у реальному часі працює на стандартних ліцензіях Microsoft 365 через підключення лише для читання, без агента для встановлення. Він доповнює Defender, а не замінює його - сповіщення Defender з'являються на тій самій сторінці облікового запису з тим самим контекстом.

Поставте годинний поріг на те, чого ви боїтеся найбільше.

Підключіться в режимі лише для читання, і шаблон, який вас непокоїть, - масове завантаження, посилання «Усі, хто має посилання» на конфіденційних даних, правило пересилання, - буде зведено вже того самого дня, з листом у момент спрацювання.

Замовити демоЖиве демо
Або прочитайте про це в завтрашньому зведенні.