Secuno
ENNL
Boek demo
Alle release notes
Windows-agent

Gedragssignalen en aanvalsketencorrelatie

v1.4Groot

Nieuwe generatie van de Secuno-agent. De verzamel- en detectie-engine is herbouwd rond gestructureerde gedragssignalen, met classificatie van procesanomalieën, bemonstering van het Windows-beveiligingsgebeurtenissenlog, analyse van actieve verbindingen, diepere inspectie van persistentie en geplande taken, vlootbrede basislijnvorming, en nieuwe nalevingscontroles op endpoints voor wachtwoordleeftijd en schermvergrendeling. De agent rapporteert daarnaast de status van Windows-updates en kan goedgekeurde patches installeren.

Nieuw

  • Procesverzameling met anomalieclassificatie op het apparaat: elk proces wordt vastgelegd met imagepad, opdrachtregel, eigenaar, integriteitsniveau en ondertekeningsstatus, en alleen afwijkende processen worden gerapporteerd. Controles omvatten systeembinaries die vanaf het verkeerde pad draaien (maskering), uitvoering vanaf voor gebruikers beschrijfbare locaties, gevaarlijke ouder-kindketens zoals Office of een browser die een scripthost start, en verdachte of gecodeerde opdrachtregels.
  • Bemonstering van het Windows-beveiligingsgebeurtenissenlog: per heartbeat leest de agent mislukte en expliciete aanmeldgebeurtenissen met inloggegevens, gebeurtenissen waarbij het beveiligingslog is gewist en installaties van nieuwe services, waarbij aantallen en begrensde waardelijsten worden geaggregeerd. Deze voeden de onderzoeken naar aanmeldaanvallen, misbruik van inloggegevens, manipulatie van bewijs en verdachte services op het platform.
  • Analyse van actieve verbindingen: tot stand gekomen uitgaande TCP-verbindingen worden geïnventariseerd en verdacht verkeer wordt geclassificeerd (laterale beweging via SMB, RDP en WinRM, living-off-the-land-bakens en bekende command-and-controlpoorten), wat echt bewijs van apparaat-naar-apparaat oplevert voor onderzoeken naar laterale beweging.
  • Inhoud van geplande taken: taken worden nu vastgelegd met hun actiebinary en argumenten, triggertype, uitvoeringsaccount en ondertekeningsstatus, niet alleen naam en status.
  • Uitgebreide persistentieverzameling: debuggers voor image file execution options, AppInit-DLL's, Winlogon, LSA-pakketten en printmonitors worden verzameld naast Run-sleutels, en persistentie via WMI-gebeurtenisabonnementen wordt vastgelegd om de blinde vlek voor fileless persistentie te sluiten.
  • Postuur voor wachtwoordleeftijd en schermvergrendeling: de status laatste-wachtwoordwijziging en nooit-verlopen van lokale accounts en de inactiviteits- of schermbeveiligingsvergrendelingstime-out van de machine worden verzameld en voeden nieuwe nalevingscontroles op apparaten (een wachtwoord ouder dan 90 dagen of dat nooit verloopt, en een inactiviteitsvergrendeling boven de basislijn van 15 minuten).

Verbeterd

  • Vlootbrede basislijnvorming: de status van een endpoint wordt vergeleken met wat normaal is binnen de vloot van de klant zodat eerste-keer- of ongebruikelijke configuraties kunnen worden gemarkeerd.
  • Rapportage en installatie van Windows-updates: de agent rapporteert ontbrekende en geïnstalleerde updates zodat de patchcatalogus zichzelf vult, en installeert goedgekeurde patches met echte terugkoppeling over de implementatiestatus.