Schrijf de regel één keer. Hij draait bij elke klant.
Condities over zeven onderwerpen, van apparaten en Microsoft 365 tot certificaten en firewalls, bepalen wanneer een risico wordt aangemaakt. Zeventien triggers op risico's, onderzoeken, patches, apparaten en Microsoft 365 sturen acties in vier niveaus aan. Drieëndertig startregels zijn direct te installeren, en alles wat u bouwt draait eerst alleen rapporterend, totdat u anders beslist.
- Startmodus
- Alleen rapporteren
- Rapporterende historie voor niveau 2
- 14 dagen
- Vlootplafond per regel
- 25%
Regels maken het risico aan. Automatiseringen handelen erop.
Beide lezen dezelfde condities en leveren hetzelfde bewijs, omdat de automatiseringsengine de regelevaluator hergebruikt in plaats van er een tweede naast te zetten. Het verschil zit in wat er gebeurt zodra de conditie klopt.
Eigen risicoregels
Evalueren inventaris en postuur volgens een schema. Zodra de condities kloppen wordt een risico aangemaakt, mét het bewijs waarop het rust. Een risico aanmaken is het enige wat een regel doet, en dat is een bewuste keuze: al het andere hoort thuis in de automatiseringsengine en niet in een tweede evaluator.
Automatiseringen
Wachten op een gebeurtenis in plaats van op een klok. Zodra er één binnenkomt draaien dezelfde condities tegen de bijbehorende entiteit, en kan alles volgen van een melding tot een isolatie. Vandaag zeventien triggers, over risico's, onderzoeken, patches, apparaten die zich aanmelden, offline gaan en terugkomen, en Microsoft 365-bevindingen, postuurdrift en accountovername.
Eén conditietaal
Zeven onderwerpen, eenentwintig operatoren, geneste EN- en OF-groepen, in beide gevallen dezelfde driewaardige logica. Wie de regelbouwer kent, kent de automatiseringsbouwer al.
Alles wat het platform ziet, kan een regel toetsen.
De check-engine begon apparaatgericht en is nu algemeen. Elk onderwerp biedt een gecatalogiseerde veldenlijst, zodat de bouwer alleen een veld kan aanbieden dat de evaluator daadwerkelijk kan lezen. Een pad dat niet oplost geeft onbepaalbaar terug, mét een toelichting, in plaats van stilletjes nergens op te matchen.
- Apparaatvelden beperkt tot wat de agent werkelijk meldt: geïnstalleerde software, open poorten, draaiende processen, lokale gebruikers en groepen, opstartitems, geplande taken, services, kernelstuurprogramma's, Defender-uitsluitingen, firewallregels, rootcertificaten, patchaantallen en blootstellingsniveau
- Eenentwintig operatoren met geneste EN- en OF-groepen, inclusief matches op elk, geen en alle items in een lijst. Meerdere controles kunnen op hetzelfde item moeten kloppen, zodat "een service die als SYSTEM draait vanuit een pad waar gebruikers kunnen schrijven" nooit op twee verschillende services matcht
- Overal driewaardige logica. Ontbrekende gegevens zijn geen geslaagde controle, en een regel onthoudt zich waar hij niets kan zien
- Een onderwerp waarvan de gegevens ouder zijn dan de versheidsgrens van de regel wordt overgeslagen als onbepaalbaar in plaats van op oude gegevens beoordeeld, en de gezondheid van een regel staat op verminderd zodra een conditie niet bepaald kon worden
- Elke evaluatie geeft terug welk predicaat draaide en welke waarde het werkelijk las, zodat een risico met zijn eigen bewijs binnenkomt
- Regels dragen een versie die bij elke wijziging ophoogt, en elke evaluatie legt vast onder welke versie hij draaide
- Bekijk de impact met een dry run voordat de regel live gaat, en beperk hem daarna tot één klant of tot de hele portfolio
- Escaleer naar een hogere ernst wanneer een door een regel aangemaakt risico langer openstaat dan de grens die u zelf stelt
- Koppel een regel aan frameworkcontrols en hij verschijnt als dekking op het compliancerapport
- Zestig presets om mee te beginnen: 41 voor apparaten, 6 voor de Microsoft 365-tenant, 5 voor Microsoft 365-gebruikers, 3 voor Microsoft 365-applicaties, 2 voor Microsoft 365-bevindingen en 3 voor certificaten. Elke preset begint rapporterend met aanpasbare drempels, en de Microsoft 365-presets dragen hun frameworkverwijzingen al mee
Trigger, conditie, actie.
Een automatisering wacht op iets dat gebeurt in plaats van op een schema. Alleen gebeurtenissen die een entiteit dragen die de engine kan laden worden als trigger aangeboden, want een conditie moet kunnen lezen waarover hij oordeelt.
- Condities worden geëvalueerd tegen de entiteit die op dat moment vers wordt opgehaald, nooit tegen de tekst die in de gebeurtenis meekwam. Een gebeurtenis wijst naar de waarheid, ze is de waarheid niet
- Elke trigger heeft zijn eigen veldencatalogus, zodat de bouwer alleen aanbiedt wat die entiteit werkelijk draagt
- Drieëndertig startregels installeren via hetzelfde pad als een regel die u zelf bouwt, zodat scope, audit en de rapporterende modus identiek gelden
- Een derde modus tussen kijken en handelen: in goedkeuringsmodus ("vraagt eerst") houdt een match zijn geplande acties vast en krijgen de beheerders van de klant een melding, waarna iemand hem met één tik uitvoert vanaf de pagina Goedkeuringen, de kopbalk of de banner op de zaak. De acties liggen vast op het moment van de match, verzoeken vervallen na vier uur, en goedkeuring haalt het wachten weg, nooit een grens: noodstoppen, een verse lezing van de entiteit en de tenantcontrole gelden nog steeds
- Een regel kan wachten voordat hij controleert, zodat "na 24 uur nog steeds niet getrieerd" één regel is. Regels op onderzoeken kunnen op het account van de zaak matchen, zodat een containmentregel noodaccounts met rust laat. Elke opgeslagen versie blijft bewaard en kan worden teruggezet
- De klantscope staat expliciet op elke regel, in plaats van te worden overgenomen van de pagina waarop u toevallig stond
- De regellijst leest als tabel of als stroomschema, en de bouwer toont de regel in gewone taal terug, met een dry run voordat u hem vastlegt
Elke actie, geordend naar wat hij kost als de regel fout zit.
Een actie uit een keuzelijst kiezen is nog geen toestemming om hem uit te voeren. Alles voorbij een melding vraagt om een expliciete opt-in op de regel, en de twee niveaus die moeilijk terug te draaien zijn vragen aanzienlijk meer dan dat.
Twee acties uit de oorspronkelijke specificatie zijn bewust niet gebouwd: een proces beëindigen en een bestand in quarantaine plaatsen. Beide zijn geparametriseerd op een procesnummer of een bestandspad, en geen enkele trigger-entiteit draagt er één van onder contract, dus die waarde zou uit vrij opgemaakt bewijs van uren oud moeten komen. Een hergebruikt procesnummer wijst naar een onschuldig proces. Waar ingrijpen op het moment van detectie wél zin heeft, gebeurt dat al: in de lokale regel-engine van de agent zelf, in milliseconden in plaats van minuten.
Gebouwd op de aanname dat een regel ooit fout zal zitten.
Elke grens hieronder bestaat om te begrenzen wat een verkeerde regel kost. Ze staan allemaal standaard aan.
Rapporterend is de standaard, en niet over te slaan
Een nieuwe regel begint in de rapporterende modus en kan niet anders worden aangemaakt. Naar goedkeuren of afdwingen gaan is een aparte, expliciete en vastgelegde handeling, en een inhoudelijke wijziging zet een afdwingende regel terug. Het rapporterende logboek is precies wat het argument vormt om een regel te promoveren.
Elke evaluatie wordt vastgelegd
Match of geen match, afdwingend of rapporterend, met de modus van dat moment, de predicaten die draaiden, de gelezen waarden, de status van elke actie en elke grens die hem onderdrukte. Een automatisering die stilletjes gestopt is ziet er precies zo uit als één die niets te doen heeft, tenzij ook de niet-matches worden vastgelegd.
Plafonds op bereik
Vijfentwintig entiteiten per run, standaard twintig runs per uur, hoogstens vijf acties per regel, en nooit meer dan een kwart van de vloot: daarboven stopt de regel en slaat hij alarm. Een gedragsgebaseerde containmentregel stopt bij vijf procent. Een regel kan niet sneller door een omgeving heen werken dan een mens kan opmerken dat het misgaat.
Verouderde gegevens handelen niet
Gebeurtenissen ouder dan achtenveertig uur worden genegeerd, en condities lezen de entiteit vers op het moment dat de regel draait. Handelen op een meting van vorige week is precies hoe een automatisering een machine isoleert die dinsdag al gerepareerd is. Onderhoudsvensters gelden alleen voor patchen: containment wacht er niet op.
Een noodstop, globaal en per klant
Zet alle automatiseringen op het platform stil, of alleen die van één klant, zonder ook maar één regel te wijzigen of te verwijderen. De regels blijven exact zoals ze waren, voor wanneer u ze weer aanzet.
Hij kan niet lussen
Gebeurtenissen die een automatiseringsactie veroorzaakt dragen hun oorzaak mee, zodat een regel die door zijn eigen actie wordt aangestuurd als lus wordt vastgelegd en gestopt, en een oorzaakketen eindigt na drie stappen. Regels op niveau 2 en 3 kunnen geen afkoelperiode gebruiken, zodat een tweede containment nooit wordt overgeslagen.
Drieëndertig regels die u vandaag kunt installeren.
De bibliotheek wordt geleverd als inhoud, niet als een functie die daarnaast apart onderhouden moet worden.
De identiteitsregels maken een ticket voor elke externe doorstuurregel, melden een gebruiker af die Identity Protection als risicovol markeert, maken een ticket voor elke kritieke Microsoft 365-bevinding, melden wijzigingen in bevoorrechte toegang en maken een ticket zodra de bescherming van de tenant wordt verzwakt. Twee reageren op een bevestigde accountovername: de ene damt het account in en maakt een kritiek ticket, en installeert in goedkeuringsmodus; de andere meldt de gebruiker af en schakelt externe doorsturing uit, en installeert rapporterend, zodat hij afdwingen moet verdienen zoals elke regel op niveau 2. Een bibliotheekregel installeren volgt hetzelfde aanmaakpad als een regel die u zelf bouwt, zodat de rapporterende modus, audit en klantscope identiek gelden. Sjablonen die de hogere niveaus raken komen met hun opt-in ingesteld en hun promotiegrenzen onaangetast. Elke regel wordt bij het bouwen van de software getoetst aan dezelfde validatie als een handgebouwde regel, zodat een verouderd sjabloon de build laat falen in plaats van uw omgeving.
Wat u als eerste wilt weten.
Wat is het verschil tussen een eigen risicoregel en een automatisering?
Een regel draait volgens een schema en heeft als enige uitkomst het aanmaken van een risico, mét het bewijs eronder. Een automatisering wacht op een gebeurtenis, evalueert hetzelfde soort condities tegen de entiteit, en kan vervolgens melden, een ticket aanmaken, toewijzen, taggen, aan een watchlist toevoegen, een onderzoek of incident openen, een ernst aanpassen, een patch goedkeuren of inplannen, een apparaat synchroniseren, een YARA-scan uitvoeren, een apparaat isoleren of in laterale quarantaine plaatsen en beide weer opheffen, binnen het venster herstarten, de sessies van een Microsoft 365-gebruiker intrekken of het account uitschakelen of indammen, of een risico accepteren, sluiten of laten sluimeren. Ze delen één evaluator, dus een conditie betekent in beide hetzelfde.
Kan een automatisering handelen zonder dat wij het weten?
Nee. Een regel kan niet in afdwingende modus worden aangemaakt. Hij begint rapporterend, waarin hij evalueert en vastlegt maar niets verandert, en promoveren is een aparte, vastgelegde handeling met een persoon erachter. In goedkeuringsmodus draait er niets totdat iemand op goedkeuren tikt. Ook daarna wordt elke uitvoering nog steeds vastgelegd, inclusief de uitvoeringen die nergens op matchten, zodat u het verschil ziet tussen een regel die niets te doen heeft en een regel die stuk is.
Kan een automatisering een proces beëindigen of een bestand in quarantaine plaatsen?
Nee, en dat is een keuze en geen hiaat. Beide acties hebben een procesnummer of een bestandspad nodig, en geen enkele trigger-entiteit draagt er één van onder contract, dus die waarde zou uit vrij opgemaakt bewijs komen dat uren oud kan zijn. Een hergebruikt procesnummer wijst naar een onschuldig proces, en het verkeerde bestand op de server van een klant in quarantaine zetten draait u niet terug met een excuus. Ingrijpen op het moment van detectie bestaat al waar de reactietijd het zinvol maakt: in de lokale regel-engine van de agent, in milliseconden.
Hoe werkt dit over een portfolio van klanten?
Elke regel geeft zijn scope expliciet aan, hetzij één klant, hetzij de hele portfolio, zodat een regel die u één keer schrijft elke omgeving dekt die u beheert, zonder per tenant gekopieerd te worden. De noodstop werkt op beide niveaus: u kunt de automatisering stilzetten voor één klant die midden in een migratie zit, zonder verder iets aan te raken.
Wat gebeurt er als een regel toch fout blijkt te zitten?
De plafonds bepalen wat het kost. Hoogstens vijfentwintig entiteiten per run, twintig runs per uur, en nooit meer dan een kwart van de vloot, zodat de schade begrensd is voordat iemand het opmerkt. Zet de noodstop om en alles stopt, zonder één regel te verwijderen. Het uitvoeringslogboek vertelt u daarna precies welke entiteiten zijn geraakt, welk predicaat matchte, en welke waarde het op dat moment las.
Breng ons een regel die u telkens met de hand toepast.
De snelste manier om een automatiseringsengine te beoordelen is hem rapporterend te zien draaien op iets echts. Wij bouwen de regel samen met u en lezen het uitvoeringslogboek samen door.