So prüfen Sie Anmeldungen und ihre Herkunft

Der Bereich Anmeldungen zeigt aus dem Anmeldeprotokoll des Dienstes, wie viele Anmeldungen gelingen und wie viele abgewiesen werden, zu welchen Zeiten und aus welchen Netzen und Ländern sie kommen, und meldet Muster wie Rateversuche an Schlüsseln oder Anmeldungen von ungewohnter Stelle. Mit Herkunft sperren weisen Sie ein auffälliges Netz gleich ab.

Lösungsübersicht

Der Dienst hält jede Anmeldeentscheidung mit ihrer Herkunft fest: Anmeldeverfahren, Ergebnis, bei einer Abweisung der Grund, die Adresse des Aufrufers und, über eine Geodatenbank, Land, Ort und Netzbetreiber dieser Adresse. Daraus berechnet er Zählungen je Stunde und je Herkunft und erkennt auffällige Muster. Außerdem wendet er Anmelderegeln auf jede neue Anmeldung an und speichert, was eine Regel erkennt, als Befund: ein Angriffsmuster oder etwas, das für eine Person neu ist.

Der Bereich Anmeldungen (unter Überwachen) hat acht Register:

Register	Inhalt
Verlauf	Zeitraum (24 Stunden, 7 Tage, 30 Tage, 1 Jahr), fünf Kennzahlen und ein Säulendiagramm der Anmeldeentscheidungen nach Ergebnis
Wochenmuster	Anmeldeentscheidungen je Wochentag und Stunde, als Farbskala von hell (keine) bis blau (meiste)
Herkunft	je eigenem Netz und je fremdem Teilnetz: Land, Ort, Netzbetreiber, Zahl gelungener, abgewiesener und rückgefragter Anmeldungen, Zahl der Personen, erstes und letztes Auftreten
Karte	die Herkunft auf einer Karte: ein Kreis je Netz mit bekannter Lage, so groß wie seine Zahl der Anmeldungen und gefärbt nach dem Anteil der Abweisungen (blau keine, rot alle). Sie beginnt mit der ganzen Welt; Mausrad oder Strg+Plus/Minus zoomen, Ziehen verschiebt, Pos1 führt zurück zur Weltansicht. Ein Klick auf einen Kreis zeigt seine Zeile im Register Herkunft. Eigene und private Netze haben keine Lage, die Überschrift nennt ihre Zahl. Ein Kreis dort, wo Sie keinen Standort haben, ist Anlass für einen genaueren Blick
Befunde	die gespeicherten Befunde der Anmelderegeln mit Stufe, Regel, Zeitpunkt, Person, dem beobachteten und dem üblichen Wert, Beschreibung und Rat
Hinweise	auffällige Muster der letzten sieben Tage mit Herkunft, Beschreibung und Rat
Ereignisse	jede einzelne Anmeldeentscheidung mit Adresse und Person, dazu die Regeln, nach denen entschieden wurde, und die Signale (Land, Netzbetreiber, Programm, zweiter Faktor); nur sichtbar mit dem Recht `sign-in-events`
Geodatenbank	die Dateien für Land/Ort und Netzbetreiber mit Alter und Namensnennung, darunter ihre Quelle

Die Kennzahlen im Register Verlauf; ein Klick auf eine Kennzahl zeigt, was sie zählt:

Kennzahl	Bedeutung
Anmeldungen	gelungene Anmeldungen im Zeitraum. Klick mit dem Recht `sign-in-events`: Register Ereignisse, gefiltert auf diese Anmeldungen; ohne das Recht: Register Herkunft
Abgewiesen	abgewiesene Anmeldungen und falsche Codes des zweiten Faktors; rot, wenn es mehr sind als gelungene. Klick mit dem Recht `sign-in-events`: Register Ereignisse, gefiltert auf diese Abweisungen; ohne das Recht: Register Herkunft
Länder	Zahl der Länder, aus denen Anmeldungen kamen; Klick: Register Herkunft
Befunde	Zahl der Befunde im Zeitraum; rot, sobald einer zum Handeln dabei ist, gelb bei Befunden zum Nachfragen. Klick: Register Befunde
Geodatenbank	Alter der Dateien in Tagen; gelb, wenn sie veraltet sind, rot, wenn die letzte Aktualisierung scheiterte, grau, wenn keine Dateien da sind. Klick: Register Geodatenbank

Im Diagramm stehen die Ergebnisse Gelungen, Abgewiesen, Rückfrage (Anfrage ohne Anmeldedaten, Zwischenschritt einer Windows-Anmeldung oder Aufforderung zum zweiten Faktor), Code richtig und Code falsch übereinander.

Umsetzung

Anmeldungen im Zeitraum ansehen

Öffnen Sie den Bereich Anmeldungen.
Wählen Sie oben im Register Verlauf den Zeitraum.

Ergebnis: Kennzahlen und Diagramm zeigen den Zeitraum, eine Säule je Stunde (24 Stunden), je Tag (7 und 30 Tage) oder je Woche (1 Jahr). Ein plötzlicher Anstieg von Abgewiesen oder viele Anmeldungen zu ungewohnter Stunde im Wochenmuster sind ein Anlass, unter Befunde, Hinweise und Herkunft nachzusehen.

Befunde der Anmelderegeln bearbeiten

Wählen Sie das Register Befunde. Die Spalte Stufe sagt, was zu tun ist:

Stufe	Bedeutung	Regeln
Handeln	ein Angriffsmuster oder ein weitergegebener Schlüssel	Welle von Fehlversuchen, Viele Namen von einer Adresse, Ein Name von vielen Adressen, Unmögliche Reise, Schlüssel aus vielen Netzen
Nachfragen	etwas ist für die Person neu oder ungewöhnlich	Neues Land, Neues Programm, Neuer Netzbetreiber, Neues Verfahren, Ungewöhnliche Stunde

Vergleichen Sie Beobachtet (etwa ein Land) mit Üblich (die Werte, mit denen sich die Person in den Tagen des Vergleichszeitraums angemeldet hat), und lesen Sie Rat. Mehr zeigen zwei Befehle unter Weitere:
- Ereignisse des Befunds zeigen wechselt ins Register Ereignisse, gefiltert auf die Anmeldungen, auf denen der Befund beruht. Entfernen Sie den Filter Befund … über der Liste, um wieder alle zu sehen.
- Anmeldeprofil der Person … öffnet im Bereich Personen und Schlüssel neben der Person ihr Anmeldeprofil: je Land, Netz, Netzbetreiber, Programm, Verfahren und Stunde, wie oft sie sich so angemeldet hat, mit Anteil, erstem und letztem Tag. Den Zeitraum (30 Tage bis 3 Jahre) wählen Sie oben. Dasselbe Profil zeigt im Bereich Personen und Schlüssel Rechte > Anmeldeprofil ….
Bei Nachfragen fragen Sie die Person, ob die Anmeldung von ihr war. Bei Handeln sperren Sie die Herkunft (unten) oder den Schlüssel der Person im Bereich Personen und Schlüssel.

Ergebnis: Ein Befund bleibt stehen, wie er entstand; der Dienst bewertet ihn nicht neu. Die Spalte Regelversion nennt die Version der Regel, nach der er entstand. Die Karte Auffällige Anmeldungen der Übersicht zählt die Befunde, die seit Ihrem letzten Blick in dieses Register dazugekommen sind; gemerkt wird das je Arbeitsplatz und Windows-Benutzer.

Erst ab einer gewissen Gewohnheit: Regeln über Neues sprechen erst, wenn die Person im Vergleichszeitraum mindestens 5 erfolgreiche Anmeldungen hatte, Ungewöhnliche Stunde erst ab 20. Vorher wäre für sie alles neu.

Eine auffällige Herkunft finden und sperren

Wählen Sie das Register Hinweise oder Herkunft. Sortieren Sie Herkunft nach Abgewiesen, indem Sie auf den Spaltenkopf klicken.
Wählen Sie die Zeile des Netzes.
Wählen Sie Herkunft sperren … und bestätigen Sie.

Ergebnis: Eine Anmelderegel Herkunft gesperrt: <Netz> mit der Wirkung Abweisen für den Datenzugriff. Sie gilt ab der nächsten Anfrage aus diesem Netz und steht im Bereich Anmelderichtlinie, wo Sie sie ändern oder wieder löschen.

Nur Datenzugriff: Die Regel sperrt nur den Datenzugriff, nicht die Verwaltung: Eine Sperre der Verwaltung könnte Sie selbst aussperren. Eigene Netze (Spalte Eigenes Netz gefüllt) sperrt Herkunft sperren nicht; dafür ist die Anmelderichtlinie da (siehe So legen Sie die Anmelderichtlinie fest).

Die Grundlage einer Entscheidung nachvollziehen

Wählen Sie das Register Ereignisse und die Zeile der Anmeldung, etwa nach Person und Zeitpunkt (UTC) gefiltert.
Lesen Sie Grundlage der Entscheidung: die Regeln, nach denen entschieden wurde, mit ihrer Wirkung; „nur Probe“ kennzeichnet eine Regel, die erprobt wird und nichts entschieden hat, „aufgehoben durch Ausnahme“ eine Regel, von der eine Ausnahme die Anmeldung befreit hat. Signale nennt, wonach geurteilt wurde, mit der Verlässlichkeit: Land und Netzbetreiber beobachtet (aus der Adresse abgeleitet), Programm behauptet (vom Programm selbst angegeben).
Wählen Sie Weitere > Grundlage der Entscheidung prüfen … aus.

Ergebnis: Die Anwendung fragt den Dienst, welche Regeln heute für dieselbe Person und Herkunft gelten, und nennt je Regel, ob sie noch so steht wie bei der Anmeldung oder seither geändert wurde. Wer eine geänderte Regel wann wie geändert hat, zeigt der Bereich Protokoll, Register Änderungsprotokoll.

Die Geodatenbank einrichten

Ohne Geodatenbank zeigt das Protokoll Adressen und Netze, aber kein Land, keinen Ort und keinen Netzbetreiber. Der Dienst kann die Dateien selbst laden oder Sie übergeben sie.

Wählen Sie Weitere > Quelle der Geodatenbank ….

Wählen Sie die Quelle:

Quelle	Bezug	Lizenz und Namensnennung
DB-IP Lite	ohne Konto, monatlich neu	CC BY 4.0; Namensnennung „IP Geolocation by DB-IP (https://db-ip.com)“ Pflicht
MaxMind GeoLite2	mit Kontonummer und Lizenzschlüssel eines kostenlosen MaxMind-Kontos	GeoLite2-Lizenz; Hinweis „This product includes GeoLite2 data created by MaxMind“ Pflicht
Keine (nur Dateien übernehmen)	der Dienst lädt nichts; Sie übergeben die Dateien	wie die Quelle der Dateien

Nur bei MaxMind: Geben Sie Kontonummer und Lizenzschlüssel ein.
Geben Sie bei Automatisch laden alle … Tage ein, nach wie vielen Tagen der Dienst die Dateien selbst neu lädt (0 bis 90; 0 lädt nur auf Befehl).
Wählen Sie Speichern und danach Weitere > Geodatenbank jetzt aktualisieren.

Ergebnis: Eine Meldung sagt, ob die Geodatenbank aktualisiert wurde oder schon auf dem neuesten Stand ist, und nennt je Datei ihren Stand: Orte (City) für Land und Ort, Netzbetreiber (ASN) für den Netzbetreiber, jeweils mit „neu übernommen“ oder „bereits aktuell“. Neue Dateien verwendet der Dienst ohne Neustart; im Register Geodatenbank stehen Alter und Namensnennung.

Server ohne Internetzugang: Laden Sie die Datei auf einem anderen Rechner herunter (.mmdb, .mmdb.gz oder das .tar.gz von MaxMind) und wählen Sie Weitere > Datei der Geodatenbank übernehmen …. Die Frage nach MaxMind bestimmt die Namensnennung. Der Dienst erkennt am Inhalt, ob es die Datei für Land/Ort oder für Netzbetreiber ist; übernehmen Sie beide.

Hinweise

Bis zu einer Minute später. Der Dienst schreibt seine Zählungen einmal in der Minute. Aktualisieren liest neu.
Zeiten. Diagramm und Listen zeigen UTC. Das Wochenmuster zählt nach der Uhr des Servers, denn ein Arbeitstag richtet sich nach der Ortszeit.
Wie genau ist die Herkunft? Land und Netzbetreiber stimmen meist, der Ort oft nur ungefähr. Ein VPN-Dienst oder ein Mobilfunknetz zeigt das Land seines Ausgangs, nicht das der Person. Die Herkunft ist deshalb ein Anhaltspunkt, kein Beweis; den Zugang schützen Netzregeln, Schlüssel mit Ablaufdatum und der zweite Faktor.
Veraltete Dateien. Neue Adressbereiche fehlen in alten Dateien; dann bleibt das Land leer oder stimmt nicht. Die Kennzahl Geodatenbank wird gelb, sobald der Dienst die Dateien als veraltet meldet. Ein gescheiterter Versuch steht unter Letzter Fehler in der Quelle; der Dienst versucht es nach sechs Stunden erneut.
Datenschutz. Ausgehend lädt der Dienst nur die Dateien; eine Adresse eines Aufrufers verlässt den Server nie. Den Lizenzschlüssel von MaxMind speichert der Dienst versiegelt und gibt ihn nicht wieder aus; die Anwendung zeigt nur, ob einer gespeichert ist. Lassen Sie das Feld leer, bleibt der gespeicherte, Gespeicherten Schlüssel entfernen löscht ihn.
Namensnennung. Zeigen Sie Länder oder Orte aus der Geodatenbank in eigenen Auswertungen, nennen Sie die Quelle wie oben angegeben.
Einzelne Ereignisse. Adresse und Person je Anmeldung sind personenbezogene Daten. Der Dienst verlangt dafür das Recht sign-in-events, das eine Regel ausdrücklich nennen muss; admin allein genügt nicht. Ohne das Recht fehlt das Register Ereignisse, und Befunde und Hinweise nennen keine Person, keinen Schlüssel und keine üblichen Werte; Ereignisse des Befunds zeigen und Anmeldeprofil … lehnen mit einem Hinweis auf das Recht ab. Zählungen, Herkunft, Muster und die Befunde selbst sehen Sie auch ohne das Recht.
Mitbestimmung. Befunde zum Nachfragen vergleichen die Anmeldungen einer Person mit ihren üblichen. Eine solche Auswertung kann in Deutschland der Mitbestimmung unterliegen; klären Sie den Einsatz vorher in Ihrem Haus (Hinweis „Mitbestimmung“ in So prüfen Sie Anmeldemuster und Herkunft, Abschnitt „Hinweise“ (Dokumentation des Datendienstes)).