Pregled prijav in njihovega izvora

Področje Anmeldungen (Prijave) iz dnevnika prijav prehoda prikaže, koliko prijav uspe in koliko jih je zavrnjenih, ob katerih urah ter iz katerih omrežij in držav prihajajo, in javi vzorce, kot so poskusi ugibanja ključev ali prijave z nenavadnega mesta. Z ukazom Herkunft sperren (Blokiraj izvor) sumljivo omrežje takoj blokirate.

Pregled rešitve

Prehod vsako odločitev o prijavi zapiše skupaj z izvorom: način prijave, izid, pri zavrnitvi razlog, naslov klicatelja ter prek geolokacijske zbirke državo, kraj in upravljavca omrežja tega naslova. Iz teh zapisov izračuna števila po urah in po izvoru ter prepozna nenavadne vzorce. Poleg tega za vsako novo prijavo uporabi pravila za prepoznavanje vzorcev in vse, kar ta pravila zaznajo, shrani kot ugotovitev: vzorec napada ali nekaj, kar je za osebo novo.

Področje Anmeldungen (pod Überwachen, Nadzor) ima osem zavihkov:

Zavihek	Vsebina
Verlauf (Potek)	izbira obdobja (24 ur, 7 dni, 30 dni, 1 leto), pet ključnih kazalnikov in stolpčni graf odločitev o prijavah po izidu
Wochenmuster (Tedenski vzorec)	odločitve o prijavah po dnevih v tednu in urah, prikazane z barvno lestvico od svetle (nič) do modre (največ)
Herkunft (Izvor)	vsako lastno omrežje in vsako tuje podomrežje z državo, krajem, upravljavcem omrežja, številom uspešnih, zavrnjenih in dodatno preverjenih prijav, številom oseb ter prvim in zadnjim pojavom
Karte (Zemljevid)	izvori na zemljevidu: en krog za vsako omrežje z znano lokacijo, velikost kroga ustreza številu prijav, barva pa deležu zavrnitev (modra nobene, rdeča vse). Zemljevid se odpre s pogledom na ves svet; kolesce miške ali Ctrl+Plus/Minus ga povečata ali pomanjšata, z vlečenjem ga premaknete, tipka Home ga vrne na pogled na ves svet. Klik na krog prikaže njegovo vrstico na zavihku Herkunft. Lastna in zasebna omrežja nimajo lokacije, naslov navede njihovo število. Krog tam, kjer nimate nobene lokacije podjetja, je razlog za podrobnejši pregled
Befunde (Ugotovitve)	shranjene ugotovitve s stopnjo, pravilom, časom, osebo, ugotovljeno in običajno vrednostjo, opisom in nasvetom
Hinweise (Namigi)	nenavadni vzorci zadnjih sedmih dni z izvorom, opisom in nasvetom
Ereignisse (Dogodki)	vsaka posamezna odločitev o prijavi z naslovom in osebo, s pravili, po katerih je bilo odločeno, in s signali (država, upravljavec omrežja, program, drugi faktor (2FA)); vidna samo s pravico `sign-in-events`
Geodatenbank (Geolokacijska zbirka)	datoteki za državo in kraj ter za upravljavca omrežja z njuno starostjo in navedbo vira, pod njima nastavitev vira

Ključni kazalniki na zavihku Verlauf; klik na kazalnik pokaže, kaj šteje:

Kazalnik	Pomen
Anmeldungen (Prijave)	uspešne prijave v obdobju. S pravico `sign-in-events` klik odpre zavihek Ereignisse (Dogodki), ki prikaže samo te prijave; brez nje zavihek Herkunft (Izvor)
Abgewiesen (Zavrnjene)	zavrnjene prijave in napačne kode 2FA; rdeče, kadar jih je več kot uspešnih. S pravico `sign-in-events` klik odpre zavihek Ereignisse, ki prikaže samo te zavrnitve; brez nje zavihek Herkunft
Länder (Države)	število držav, iz katerih so prišle prijave; klik: zavihek Herkunft (Izvor)
Befunde (Ugotovitve)	število ugotovitev v obdobju; rdeče, kadar je med njimi vsaj ena, ki zahteva ukrepanje, rumeno, kadar so med njimi ugotovitve, ki zahtevajo preverjanje. Klik: zavihek Befunde
Geodatenbank (Geolokacijska zbirka)	starost datotek v dneh; rumeno, kadar sta datoteki zastareli, rdeče, kadar zadnja posodobitev ni uspela, sivo, kadar datotek ni. Klik: zavihek Geodatenbank

Graf prikazuje izide Gelungen (Uspešno), Abgewiesen (Zavrnjeno), Rückfrage (Dodatno preverjanje: zahteva brez prijavnih podatkov, vmesni korak prijave z računom Windows ali poziv za vnos kode 2FA), Code richtig (Koda pravilna) in Code falsch (Koda napačna), naložene drug na drugega.

Postopek

Pregled prijav v obdobju

Odprite področje Anmeldungen.
Na vrhu zavihka Verlauf izberite obdobje.

Rezultat: Kazalniki in graf prikazujejo izbrano obdobje z enim stolpcem na uro (24 ur), na dan (7 in 30 dni) ali na teden (1 leto). Nenaden porast kazalnika Abgewiesen ali veliko prijav ob nenavadni uri na zavihku Wochenmuster je razlog, da pregledate Befunde, Hinweise in Herkunft.

Obravnava ugotovitev

Izberite zavihek Befunde. Stolpec Stufe (Stopnja) pove, kaj je treba narediti:

Stopnja	Pomen	Pravila
Handeln (Ukrepajte)	vzorec napada ali ključ, ki ga je nekdo predal drugemu	Welle von Fehlversuchen (Val neuspešnih poskusov), Viele Namen von einer Adresse (Veliko imen z enega naslova), Ein Name von vielen Adressen (Eno ime z veliko naslovov), Unmögliche Reise (Nemogoče potovanje), Schlüssel aus vielen Netzen (Ključ iz veliko omrežij)
Nachfragen (Preverite)	nekaj je za osebo novo ali nenavadno	Neues Land (Nova država), Neues Programm (Nov program), Neuer Netzbetreiber (Nov upravljavec omrežja), Neues Verfahren (Nov način prijave), Ungewöhnliche Stunde (Nenavadna ura)

Primerjajte vrednost v stolpcu Beobachtet (Ugotovljeno), na primer državo, z vrednostmi v stolpcu Üblich (Običajno), torej s tistimi, s katerimi se je oseba prijavljala v obdobju Vergleichszeitraum (Primerjalno obdobje). Nato preberite Rat (Nasvet). Podrobnosti prikažeta ukaza pod Weitere (Več):
- Ereignisse des Befunds zeigen (Pokaži dogodke ugotovitve) preklopi na zavihek Ereignisse, filtriran na prijave, na katerih ugotovitev temelji. Če želite znova videti vse prijave, odstranite filter Befund … (Ugotovitev …) nad seznamom.
- Anmeldeprofil der Person … (Profil prijav osebe …) ob seznamu v področju Personen und Schlüssel (Osebe in ključi) odpre profil prijav osebe: za vsako državo, omrežje, upravljavca omrežja, program, način prijave in uro je navedeno, kolikokrat se je oseba tako prijavila, s kolikšnim deležem ter kdaj prvič in zadnjič. Zeitraum (Obdobje, od 30 dni do 3 let) izberete na vrhu. Isti profil v področju Personen und Schlüssel odpre ukaz Rechte (Pravice) > Anmeldeprofil ….
Pri stopnji Nachfragen osebo vprašajte, ali je prijavo opravila sama. Pri stopnji Handeln blokirajte izvor (glejte spodaj) ali v področju Personen und Schlüssel prekličite ključ osebe.

Rezultat: Ugotovitev ostane takšna, kot je nastala; prehod je pozneje ne oceni znova. Stolpec Regelversion (Različica pravila) navaja različico pravila, po kateri je nastala. Kartica Auffällige Anmeldungen (Sumljive prijave) v Übersicht (Pregled) šteje ugotovitve, ki so nastale po vašem zadnjem ogledu tega zavihka; čas ogleda si aplikacija zapomni za vsako delovno postajo in vsakega uporabnika Windows.

Šele ko ima oseba ustaljene navade: Pravila, ki prepoznavajo novosti, se odzovejo šele, ko je imela oseba v primerjalnem obdobju vsaj 5 uspešnih prijav, pravilo Ungewöhnliche Stunde pa šele od 20 prijav naprej. Prej bi bilo za osebo novo vse.

Iskanje in blokiranje sumljivega izvora

Izberite zavihek Hinweise ali Herkunft. Zavihek Herkunft razvrstite po stolpcu Abgewiesen s klikom na glavo stolpca.
Izberite vrstico omrežja.
Izberite Herkunft sperren … in potrdite.

Rezultat: Nastane pravilo za prijavo Herkunft gesperrt: <omrežje>, ki zavrne dostop do podatkov. Velja od naslednje zahteve iz tega omrežja in je navedeno v področju Anmelderichtlinie (Pravilnik za prijavo), kjer ga lahko spremenite ali izbrišete.

Samo dostop do podatkov: Pravilo blokira dostop do podatkov, ne pa upravljanja, ker bi vam blokada upravljanja lahko onemogočila dostop. Lastnih omrežij (stolpec Eigenes Netz (Lastno omrežje) je izpolnjen) Herkunft sperren ne blokira; za ta omrežja uporabite pravilnik za prijavo (glejte Določanje pravilnika za prijavo).

Preverjanje podlage odločitve

Izberite zavihek Ereignisse (Dogodki) in označite vrstico prijave, ki jo poiščete na primer s filtrom po stolpcih Person (Oseba) in Zeitpunkt (UTC) (Čas (UTC)).
Preberite Grundlage der Entscheidung (Podlaga odločitve): pravila, po katerih je bilo odločeno, in njihov učinek. “nur Probe” (samo preizkus) označuje pravilo v preizkusu, ki ni vplivalo na odločitev, “aufgehoben durch Ausnahme” (razveljavljeno z izjemo) pa pravilo, pri katerem je izjema prijavo izvzela. Signale (Signali) navaja, na podlagi česa je bilo odločeno in kako zanesljivi so ti podatki: država in upravljavec omrežja sta beobachtet (ugotovljeno, izpeljano iz naslova), program je behauptet (navedeno, ime sporoči program sam).
Izberite Weitere > Grundlage der Entscheidung prüfen … (Preveri podlago odločitve …).

Rezultat: Aplikacija vpraša prehod, katera pravila danes veljajo za isto osebo in isti izvor, in za vsako pravilo navede, ali je še enako kot ob prijavi ali se je medtem spremenilo. Kdo je pravilo spremenil, kdaj in kako, prikaže področje Protokoll (Dnevnik) na zavihku Änderungsprotokoll (Dnevnik sprememb).

Nastavitev geolokacijske zbirke

Brez geolokacijske zbirke dnevnik prikazuje naslove in omrežja, ne pa države, kraja in upravljavca omrežja. Prehod lahko datoteki prenese sam, lahko pa ju predate vi.

Izberite Weitere > Quelle der Geodatenbank … (Vir geolokacijske zbirke …).

Izberite Quelle (Vir):

Vir	Pridobitev	Licenca in navedba vira
DB-IP Lite	brez računa, nova različica vsak mesec	CC BY 4.0; obvezna navedba “IP Geolocation by DB-IP (https://db-ip.com)”
MaxMind GeoLite2	s številko računa in licenčnim ključem brezplačnega računa MaxMind	licenca GeoLite2; obvezno obvestilo “This product includes GeoLite2 data created by MaxMind”
Keine (nur Dateien übernehmen) (Brez, samo prevzem datotek)	prehod ne prenaša ničesar; datoteke predate vi	po pogojih vira datotek

Samo pri viru MaxMind vnesite Kontonummer (Številka računa) in Lizenzschlüssel (Licenčni ključ).
V polje Automatisch laden alle … Tage (Samodejno prenesi vsakih … dni) vnesite, po koliko dneh naj prehod datoteki sam znova prenese (od 0 do 90; 0 pomeni samo na ukaz).
Izberite Speichern (Shrani) in nato Weitere > Geodatenbank jetzt aktualisieren (Posodobi geolokacijsko zbirko zdaj).

Rezultat: Sporočilo pove, ali je bila geolokacijska zbirka posodobljena ali je že najnovejša, in za vsako datoteko navede njeno stanje: Orte (City) za državo in kraj, Netzbetreiber (ASN) za upravljavca omrežja, vsakič z oznako “neu übernommen” (na novo prevzeto) ali “bereits aktuell” (že najnovejše). Nove datoteke prehod uporablja brez ponovnega zagona; na zavihku Geodatenbank sta prikazani njuna starost in navedba vira.

Strežnik brez dostopa do interneta: Datoteko prenesite na drugem računalniku (.mmdb, .mmdb.gz ali MaxMindov .tar.gz) in izberite Weitere > Datei der Geodatenbank übernehmen … (Prevzemi datoteko geolokacijske zbirke …). Odgovor na vprašanje, ali gre za datoteko MaxMind, določi navedbo vira. Prehod po vsebini prepozna, ali je datoteka za državo in kraj ali za upravljavce omrežij; prevzemite obe.

Napotki

Zamik do ene minute. Prehod števila zapiše enkrat na minuto. Aktualisieren (Osveži) podatke prebere znova.
Čas. Graf in seznami prikazujejo čas v UTC. Wochenmuster šteje po uri strežnika, ker se delovni dan ravna po krajevnem času.
Kako natančen je izvor? Država in upravljavec omrežja sta običajno pravilna, kraj pogosto le približno. Pri storitvi VPN ali mobilnem omrežju je prikazana država izhodne točke, ne pa država, v kateri je oseba. Izvor je zato namig, ne dokaz; dostop varujejo pravila za omrežja, ključi z datumom poteka in 2FA.
Zastarele datoteke. V starih datotekah manjkajo novi razponi naslovov; država je tedaj prazna ali napačna. Kazalnik Geodatenbank postane rumen, ko prehod sporoči, da sta datoteki zastareli. Neuspešna posodobitev je navedena pod Letzter Fehler (Zadnja napaka) pri viru; prehod jo poskusi znova čez šest ur.
Varstvo podatkov. Navzven prehod samo prenaša datoteki; naslov klicatelja nikoli ne zapusti strežnika. Licenčni ključ MaxMind prehod hrani v zapečateni obliki in ga nikoli ne vrne; aplikacija prikaže samo, ali je shranjen. Če polje pustite prazno, ostane shranjeni ključ; Gespeicherten Schlüssel entfernen (Odstrani shranjeni ključ) ga izbriše.
Navedba vira. Če države ali kraje iz geolokacijske zbirke prikazujete v lastnih poročilih, navedite vir, kot je opisano zgoraj.
Posamezni dogodki. Naslov in oseba vsake prijave so osebni podatki. Prehod zato zahteva pravico sign-in-events, ki jo mora pravilo izrecno navajati; pravica admin sama ne zadošča. Brez nje zavihka Ereignisse ni, Befunde in Hinweise ne navajajo oseb, ključev in običajnih vrednosti, ukaza Ereignisse des Befunds zeigen in Anmeldeprofil … pa se končata s sporočilom, ki navede manjkajočo pravico. Števila, izvor, vzorce in same ugotovitve vidite tudi brez te pravice.
Soodločanje zaposlenih. Ugotovitve, ki zahtevajo preverjanje, primerjajo prijave osebe z njenimi običajnimi prijavami. V Nemčiji je takšno vrednotenje lahko predmet soodločanja predstavnikov zaposlenih; uporabo najprej uskladite s pristojnimi v svoji organizaciji (glejte napotek “Soodločanje” na strani Preverjanje vzorcev prijav in njihovega izvora, razdelek “Opombe” (dokumentacija podatkovnega prehoda)).

Sorodne teme

Določanje pravilnika za prijavo
Kaj obremenjuje prehod in podatkovno zbirko
Branje dnevnika in sej
Preverjanje vzorcev prijav in njihovega izvora (dokumentacija podatkovnega prehoda)
Referenčni priročnik: HTTP: skrbništvo, razdelek “Dnevnik prijav in geolokacijska zbirka” (dokumentacija podatkovnega prehoda)