Training / Detection
Finde die Spur im Rauschen.
Du trennst ein auffälliges Signal von einem bewiesenen Angriff.
← Alle sechs Übungen6 Min. · Beispieldaten · Lokal im Browser
DETECTION · SYNTHETISCHER DATENSATZ
6 Min. zum AusprobierenWelcher Login verdient deinen Blick?
Acht Ereignisse, drei priorisierte Spuren. Markiere die drei Einträge, die du zuerst genauer prüfen würdest. Ein Signal allein ist selten die ganze Geschichte.
Dein Kontext: Amsterdam ist ein bekannter VPN-Ausgang. Alice erwartet keinen Device-Code-Login. Für Carla gibt es noch keine Erklärung für den neuen Client. Alle Ereignisse gehören zu einem erfundenen Vormittag.
| Prüfen | Zeit / Konto | Kontext | Ereignis | Details |
|---|---|---|---|---|
| 09:02alice | FrankfurtEdge · verwaltet | ErfolgreichMicrosoft 365 | ||
| 09:04bob | AmsterdamEdge · verwaltet | ErfolgreichMicrosoft 365 | ||
| 09:05carla | FrankfurtBrowser · unbekannt | 18 Fehler, dann ErfolgMicrosoft 365 | ||
| 09:07david | HamburgTeams · verwaltet | Ein Fehler, dann ErfolgTeams | ||
| 09:09alice | FrankfurtDevice Code · neue App | Erfolgreich · MFA erfülltUnbekannter CLI-Client | ||
| 09:11backup-svc | FrankfurtService Principal | ErfolgreichGeplanter Backup-Job | ||
| 09:13carla | FrankfurtNeue App-Berechtigung | Consent nach AnmeldungMail.ReadWrite + offline_access | ||
| 09:16bob | FrankfurtEdge · verwaltet | MFA-Anfrage abgebrochenMicrosoft 365 |
Aus dem Einzelereignis wird eine Kette.
Fehlerfolge, Erfolg, neuer Client und anschließende App-Berechtigung können zusammen relevant sein. Ein fremder Standort oder ein einzelner Fehlversuch braucht dagegen zusätzlichen Kontext. IP-Geolokalisierung ist eine Näherung; VPNs können das Bild verändern.
Vertiefen: Microsoft · Anmeldeaktivitäten im Detail ↗