Quellenprüfung: 29. September 2026. Tenant-Validierung ausstehend.
Werkzeuge und Dokumentdetails
Beweise vor der Ereignisbewertung prüfen
Dieses lokale Tool fasst einen vorhandenen JSON-Anmeldeexport zusammen. Es hilft, fehlende Zeitstempel, wiederholte IDs und unvollständige Graph-Seiten zu finden. Es greift auf keinen Tenant zu und entscheidet nicht, ob ein Konto sicher ist.
Die richtige Datei erfassen
Ein autorisierter Reports Reader kann Entra ID → Monitoring & health → Sign-in logs → Download → JSON verwenden. Benötigte Protokolltypen separat auswählen. Für Benutzeruntersuchungen vollständige interaktive und nicht interaktive Exporte aufbewahren; reine Authentifizierungsdetails dienen einem anderen Zweck.
Der Portaldownload ist in den Entra-Editionen verfügbar. Graph-Downloads benötigen die passende Premiumlizenz und Rolle. Aufbewahrung und Filter begrenzen exportierbare Daten; das Tool stellt fehlende Historie nicht wieder her.
Ein vollständiges UTF-8-JSON-Array oder Graph-Objekt mit value-Array verwenden. Grenzen: 10 MiB und 100.000 Zeilen. Einen zu großen Export eingrenzen und den neuen Umfang dokumentieren. Bereits erfasste CSV-Originale aufbewahren und einen unterstützten JSON-Export für dieses Tool erstellen.
Einen lokalen Export prüfen
Das interaktive Tool benötigt JavaScript. Die manuellen Prüfungen unten funktionieren weiterhin.
Ein unterstütztes JSON-Beispiel und ein wiederholbarer Test
Dieses erfundene Array mit zwei Zeilen verwendet die vom Werkzeug gelesenen Felder. Als UTF-8-Datei mit Endung .json speichern und oben auswählen. Eine Graph-Antwort mit dem Array in {"value": [...]} ist ebenfalls möglich. Keine Browsertoken oder vollständigen HAR-Dateien einfügen.
[
{
"id": "example-1",
"createdDateTime": "2026-09-29T08:00:00Z",
"appDisplayName": "Example app",
"isInteractive": true,
"status": {
"errorCode": 50076
}
},
{
"id": "example-2",
"createdDateTime": "2026-09-29T08:05:00Z",
"appDisplayName": "Example app",
"isInteractive": true,
"status": {
"errorCode": 0
}
}
]Ohne Zeitfilter sind zwei Zeilen zu erwarten: ein Null-Ergebnis und ein Nichtnull-Ergebnis. Bei Start 2026-09-29T08:00:00Z und Ende 2026-09-29T08:05:00Z bleibt nur die 50076-Zeile. Der Start ist eingeschlossen, das Ende ausgeschlossen. Fehlende oder ungültige Zeiten lassen sich keinem ausgewählten Fenster zuordnen.
Das integrierte Beispiel des Werkzeugs ist separat und enthält drei Zeilen: ein Null-, ein Nichtnull- und ein unbekanntes Ergebnis. Nichtnull bedeutet nicht automatisch bösartig und Null beweist nicht, dass der Benutzer das Ereignis ausgelöst hat.
Eine Beweislücke bearbeiten
- Unvollständige Graph-Seite: den autorisierten Export über den eigenen Erfassungsprozess vervollständigen. Dieses Tool folgt keinen URLs zu Folgeseiten.
- Fehlende Zeitstempel oder Ergebnisse: prüfen, ob nur ausgewählte Felder oder Authentifizierungsdetails exportiert wurden. Wenn verfügbar, vollständige Ereignisse exportieren.
- Wiederholte IDs: Originalzeilen vergleichen. Sie können sich überschneiden oder unterschiedliche Details enthalten; nicht stillschweigend aus den Beweisen löschen.
- Keine passenden Zeilen: Filter, UTC-Offset, Quellregisterkarte und Aufbewahrung prüfen. Ist der benötigte Zeitraum nicht verfügbar, die offene Lücke dokumentieren.
Code 0 beschreibt eine erfolgreiche Anmeldung, auch wenn ein Angreifer sie ausgeführt hat. Ein anderer Code kann eine berechtigte MFA-Unterbrechung darstellen. Für eine erwartete 50076-Abfrage die MFA-Anleitung verwenden; unbekannte Aktivität mit Verdächtige Anmeldungen untersuchen.
Vom Download zur brauchbaren Übergabe
- Tenant, Benutzer, Logregister, Filter und Erfassungszeit vor dem Download dokumentieren. Portalexporte verwenden UTC und enthalten höchstens 100.000 Anmeldezeilen. Diese Anzahl zu erreichen verlangt eine Vollständigkeitsprüfung und beweist keine lückenlose Erfassung.
- Interaktive und nichtinteraktive Benutzerlogs getrennt sammeln. Hier eine lokale Datei auswählen, Abdeckungswarnungen prüfen und bei Bedarf einen expliziten UTC-Zeitraum setzen. Die Vorschau zeigt höchstens 50 Zeilen, die Summen beziehen sich auf die vollständige Auswahl.
@odata.nextLinkzeigt weitere Seiten an. Das Werkzeug lädt sie nicht ab. Die Sammlung mit einem autorisierten Werkzeug abschließen und Originalseiten erhalten. Die PowerShell-Übersicht in Suspicious Sign-ins flacht ausgewählte Felder ab und ist kein vollständiger JSON-Export für diesen Prüfer.- Bericht vor Kopieren oder Download prüfen. Die Analyse bleibt im Seitenspeicher, die Datei wird nicht hochgeladen. Die Zusammenfassung lässt Identitätsfelder weg, enthält jedoch Zeiträume und Dateihash. In genehmigtem Beweisspeicher ablegen und die Seite danach leeren.
Zusammenfassung mit der Quelle abgleichen
Das Tool wurde mit synthetischen Daten und im lokalen Browser getestet. Die Kompatibilität mit einem echten Tenant-Export ist noch zu validieren. Bei Widersprüchen zum Original beides behalten und die Zusammenfassung bis zur Prüfung nicht weiterverwenden.
Erfassungsumfang statt vermutetem Urteil übergeben
Die Zusammenfassung kopieren oder herunterladen. Sie lässt Identitätsfelder weg und behält Zeiten und Dateihash. Vor externer Weitergabe prüfen. Vor dem Versand von Originalprotokollen einen sicheren Beweiskanal vereinbaren.
Untersuchungsfrage: Exportquelle und Filterumfang (bereinigt): Erfassungszeit und UTC-Offset: Hash der Originaldatei: Beobachteter Zeitraum und Zählungen: Fehlende Erfassung oder widersprüchliche Zeilen: Ergebnis der manuellen Stichprobe: Nächster Erfassungsschritt und Owner:
Quellen und Einordnung
Der beobachtete Zeitraum bezeichnet den ersten und letzten gültigen Zeitstempel der Auswahl. Er garantiert keine kontinuierliche Erfassung. Das Tool beschreibt die Datei und führt weder Bereinigung noch Risikoklassifizierung durch.