Veertien bevindingen. Eén zaak, met een oordeel.
De agent bewaakt credential-diefstal, persistence, defence evasion, laterale beweging en pre-ransomware-gedrag in realtime. Wat een analist bereikt is niet die stroom. Het is één zaak die de enige vraag stelt die eerst telt: is dit echt?
- Tijd tot bevestiging
- 12m
- SLA-overschrijding
- 3u 17m
- Gecorreleerde signalen
- 3
Alerts zijn niet het moeilijke deel. Beslissen wel.
Een onderzoek staat bewust los van een risico, omdat het een andere vraag beantwoordt. Een risico vraagt wat er hersteld moet worden. Een onderzoek vraagt of het gedrag überhaupt echt is, voordat iemand er een ochtend aan besteedt.
Eén dossier, niet één per detectie
Verwante signalen correleren tot één werkdossier. Een signaal dat opnieuw afgaat nadat een zaak is gesloten opent een nieuwe zaak in plaats van het oude dossier stilletjes te heropenen, zodat de tijdlijn nooit verkeerd meldt wanneer de activiteit begon.
Duren, geen tijdstempels
Zaakduur, tijd tot bevestiging, tijd tot containment en SLA-overschrijding worden als duur getoond. Dat is de vorm waarin een SLA is geschreven en waarover een MSP rapporteert. Tijd tot bevestiging meet het eerste menselijke contact, niet de detectie die de zaak opende.
De volgende responder ziet wat er is gedaan
Playbook-stappen dragen hun afrondingsstatus en een notitie over wat er werkelijk is uitgevoerd, in plaats van een alleen-lezen lijst. Afwijzingsredenen zijn voorgedefinieerd, omdat een vrij tekstveld alleen "fp", "test" en lege regels oplevert, wat waardeloos is als tuning-input.
Een keten leest als een keten, niet als veertien alerts.
Per apparaat worden eenenveertig aanvalsketens gecontroleerd binnen een venster van 30 minuten. Tweeëntwintig daarvan koppelen een realtime detectie aan een configuratiewijziging, zodat een gewist beveiligingslogboek gevolgd door een uitgeschakelde virusscanner één keten is, en geen twee losse zaken.
- Vier ketens openen als Mogelijk in plaats van Vermoed, zodat de twijfel op de zaak staat en niet in een opmerking.
- Bevindingen en wijzigingen vormen één reeks, gelabeld met de techniek die de agent werkelijk meldde.
- Het zaakvenster is vast, nooit meeschuivend. Traag en laag houdt het niet open.
- Een signaal dat blijft afgaan, wordt een dag lang opgenomen in de onaangeroerde open zaak, in plaats van elk half uur een nieuwe te openen.
Drie gecorreleerde batches, één venster, één zaak.
Vier alerts zijn één aanval. De zaak moet dat ook zeggen.
Bij elke heartbeat groepeert Secuno per apparaat wat de agent meldde op procesafstamming en een venster van tien minuten, inclusief configuratiewijzigingen en gedragsafwijkingen, en legt het cluster naast zestien bekende aanvalspatronen. Het resultaat is één verhaal met een oordeel (geblokkeerd, actief of ingedamd), een betrouwbaarheid, een samenvatting in gewone taal, de MITRE-keten en een tijdlijn met één regel per stap. Bij een herkend patroon komt daar de zin bij die het meest telt: wat de technicus nu moet doen, niet alleen wat er gebeurde.
Het onderzoek is het leidende dossier
Een verhaal met 70% betrouwbaarheid of een sterke score opent een onderzoek, en het verhaal staat daarin. De beslissingen van de analist in de zaak bepalen het oordeel over het verhaal, en een automatische sluiting telt nooit als vals-positief. Drie keer vals-positief op hetzelfde patroon dempt het voor die klant negentig dagen, en nooit voor een andere klant.
Eén aanval over apparaten heen, één zaak
Als laterale beweging, DCSync of roasting op een tweede apparaat dezelfde gebruiker noemt, smelten beide verhalen samen tot één incident over meerdere apparaten, altijd kritiek, met de tijdlijn per apparaat gelabeld. De volgende stap van de aanvaller is geen tweede ticket.
Gedragsbewijs, eerlijk afgebakend
Elk apparaat houdt een baseline bij van het verdachte gedrag dat het al eerder liet zien, en een afwijking binnen het venster van een verhaal wordt bewijs in dat verhaal. Het leert wat nieuw verdacht is op een apparaat, niet alles wat normaal is, en de vergelijkingen worden na veertien dagen observatie actief.
Vandaag ontdekt. Sinds wanneer binnen?
Zodra een analist een verhaal als actief of ingedamd bevestigt, leest Secuno de laatste negentig dagen van dat apparaat opnieuw, met de kennis welke signaaltypen en tactieken de bevestigde aanval gebruikte. Gebeurtenissen die destijds onder de alertdrempel bleven, worden in dat licht opnieuw gescoord.
- Een waarschijnlijke datum van eerste toegang met een vermelde betrouwbaarheid van hoog, middel of laag, de verblijfsduur, en een terugblikkende tijdlijn van waarschijnlijke binnenkomst tot detectie
- Een omschrijving van de reikwijdte in gewone taal, op basis van wat het apparaat kon bereiken: sessies, shares, luisterende services en lokale beheerders
- De klokken van NIS2 artikel 23, de vroegtijdige waarschuwing binnen 24 uur en de melding binnen 72 uur, gerekend vanaf de waarschijnlijke eerste toegang en daarnaast vanaf de detectie
- Als niets in het venster opnieuw boven de drempel uitkomt, zegt de analyse dat, in plaats van een datum te gokken
Containment zonder de zaak te verlaten.
Containment leefde vroeger alleen op de apparaatpagina, achter een ruwe opdrachtkeuzelijst. Een analist die bestanden zag versleutelen moest het onderzoek verlaten om het te stoppen. De zaak biedt nu tien acties, zeven op het apparaat en drie op het Microsoft 365-account, en elke actie wordt in het activiteitenspoor vastgelegd.
- Isoleer of herstel de host, beëindig een proces of de hele procesboom, plaats een bestand in quarantaine, stop of schakel een service uit, uitsluitend op het apparaat van dit onderzoek
- Trek sessies in, schakel het account van de zaak uit of weer in, op Microsoft 365-tenants die daarvoor kozen. Een zaak die alerts over meer dan één account bundelt, weigert dat en zegt waarom
- Elke actie wordt vastgelegd in het activiteitenspoor van de zaak, naast notities, statuswijzigingen, toewijzingen en escalaties
- Bevestigde onderzoeken escaleren naar een formeel incident of een risico, met getroffen apparaten, responders, gekoppelde risico's en tickets. Een incident doorloopt open, ingedamd, uitgeroeid, hersteld, gesloten, met een post-incidentrapport
Wat de agent doet, en wat hij weigert.
De backend valideert elke opdracht in de wachtrij tegen een toegestane lijst, in plaats van elke tekenreeks aan te nemen en de agent te laten weigeren. Van de tien opdrachttypen kan een zaak deze zeven versturen. De weigeringen zijn het interessante deel: elke weigering bestaat omdat het alternatief een supportgesprek om drie uur 's nachts is.
Isolatie draagt een lokale geldigheidsduur die door elke geslaagde heartbeat wordt verlengd. Een apparaat dat u nog kunt bereiken blijft geïsoleerd zolang u wilt. Een apparaat dat u niet kunt bereiken keert terug op het netwerk in plaats van afgesloten te blijven zonder weg terug. Elke heartbeat controleert opnieuw of elk verwacht filter nog in het actieve kernelbeleid staat, en meldt een herstel als sabotagesignaal.
Wat u als eerste wilt weten.
Wat is het verschil tussen een onderzoek en een risico?
Een risico vraagt wat er hersteld moet worden en draagt een eigenaar, een deadline en herstelstappen. Een onderzoek vraagt of een gedragssignaal überhaupt echt is. Het loopt van nieuw naar triage en dan naar bevestigd of afgewezen, en een bevestigde zaak escaleert naar een formeel incident of een risico zodra herstel daadwerkelijk nodig is.
Wat gebeurt er als hetzelfde signaal opnieuw afgaat na sluiting?
Er opent een nieuwe zaak. De correlatiesleutel bevat het moment waarop de zaak werd geopend, zodat een herhaling een gesloten dossier niet stilletjes kan heropenen. Zonder dat zou de tijdlijn van een heropende zaak verkeerd melden wanneer de activiteit begon, en dat is juist wat een incidentrapport goed moet hebben.
Kan een trage aanvaller het correlatievenster openhouden?
Nee. Het venster heeft een vaste lengte en schuift bewust niet mee. Een meeschuivend venster kan onbeperkt open worden gehouden door een traag, laag signaal, en dat is precies het geval waarin een juiste starttijd het zwaarst weegt.
Als we een apparaat isoleren, kunnen we het dan kwijtraken?
De isolatiefilters worden in één transactie geplaatst die altijd de uitzondering voor de agent zelf bevat, zodat de host nooit wordt geblokkeerd zonder dat de agent kan terugpraten, en de opdracht wordt volledig geweigerd als de agent zijn eigen pad niet kan bepalen. Isolatie draagt daarna een lokale geldigheidsduur die elke geslaagde heartbeat verlengt, zodat een onbereikbaar apparaat terugkeert op het netwerk in plaats van afgesloten te blijven.
Kan een verhulde opdrachtregel langs de agent glippen?
Opdrachtregels worden gelezen zoals de shell ze leest. Carets, aanhalingstekens en trucs met variabelen worden teruggedraaid en gecodeerde PowerShell wordt gedecodeerd voordat er iets wordt geclassificeerd, en elke regel draait over de ruwe, genormaliseerde en gedecodeerde vorm. Dezelfde classificatie draait of de agent een proces nu via zijn kerneltrace of via het Security-logboek ziet, zodat zwakkere telemetrie geen zwakkere detectie betekent. Een proces dat over zijn ouder liegt, wordt gemeld als parent PID spoofing met de echte maker erbij, en het stoppen van de tracesessie van de agent is zelf een detectie.
Hoeveel van de wachtrij is ruis?
Een review in september van elke open zaak herleidde het grootste deel van de ruis tot fouten in detecties, niet tot inschattingen: het eigen databaseonderhoud van Windows dat als diefstal van inloggegevens werd gelezen, builds en installers die als ransomware werden gelezen, JavaScript-engines die als implantaat werden gelezen. Zes van zulke bronnen zijn bij de detectie zelf gedicht, en een zaak met één echte bevinding tussen de ruis blijft open. Een signaal dat blijft afgaan, wordt nu opgenomen in de onaangeroerde open zaak in plaats van elk half uur een nieuwe te openen.
Wat krijgt een auditor achteraf?
Het activiteitenspoor van de zaak legt elke statuswijziging, toewijzing, escalatie, analistennotitie en verstuurde responsactie vast. Incidenten voegen getroffen apparaten en gebruikers toe, responder-toewijzing, gekoppelde risico's en tickets, en een post-incidentrapport met pdf-export. Onderzoeken meten over negentig dagen de detectievertraging en de tijd tot het eerste oordeel. Zaakrapporten printen zonder dat kaarten midden in het bewijs over een paginagrens breken.
Breng ons een luidruchtig endpoint.
De snelste manier om een detectieverhaal te beoordelen is het iets echts zien triëren. Wij lopen een live zaak van begin tot eind door, van de signalen die haar openden tot de actie die haar sloot.