Alle release notes
Platform
Onderzoeken, en detectie die gedrag leest
Introduceert Onderzoeken als een eersteklas productonderdeel voor het triëren van verdachte activiteit, en herwerkt endpointdetectie richting gedragsmatige bedreigingsdetectie: classificatie van procesanomalieën, monitoring van het beveiligingsgebeurtenissenlog en correlatie van meerstaps aanvalsketens, plus een reeks nauwkeurigheidscorrecties in de risicoscoring.
Nieuw
- Onderzoeken (nieuw): een toegewijde triagewerkruimte, los van Risico's. Waar een risico een verifieerbaar, oplosbaar probleem is, is een onderzoek verdachte activiteit die eerst getrieerd moet worden. Onderzoeken hebben een eigen levenscyclus, vertrouwensniveaus en signaaltype-taxonomie, SLA-niveaus, bewijsweergaven en een activiteitstijdlijn, met genummerde, deelbare referenties. Signalen uit het beveiligingsgebeurtenissenlog en gecorreleerde aanvalsketens openen automatisch een onderzoek, en een onderzoek kan ook handmatig worden aangemaakt. Een lijstweergave met statistiekkaarten en filters en een gedetailleerde bewijs- en activiteitsweergave zijn toegevoegd onder Beveiliging.
- Gedragsmatige aanvalsketendetectie: hoog-signaal endpointwijzigingen worden geclusterd over een voortschrijdend tijdvenster en getoetst aan een set aanvalsketendefinities (bijvoorbeeld het uitschakelen van antivirus gevolgd door persistentie, of een nieuw beheerdersaccount naast het uitschakelen van antivirus). Een overeenkomende keten genereert een samengesteld kritiek of hoog risico en opent een gekoppeld onderzoek. Elke definitie is afgestemd om het percentage onschuldige verklaringen laag te houden.
Verbeterd
- Nauwkeurigheid van risicoscoring: de internetblootstellingscontrole herkent nu remote-access- en databasediensten (RDP, VNC, SMB, WinRM, Telnet en gangbare databasepoorten) naast web en SSH, zodat een apparaat dat remote desktop blootstelt niet langer als niet-blootgesteld wordt behandeld. De firewall-compensatiereductie maakt nu onderscheid tussen alle profielen aan en slechts één, zodat een apparaat dat op publieke of privénetwerken onbeschermd is niet langer de volledige reductie krijgt. De AI-beoordeling van exploitrealisme en hersteldprioriteit past nu de risicoscore aan in plaats van alleen ter weergave te worden opgeslagen.
- Endpoints verzamelen nu procesimagepaden en opdrachtregels met anomalieclassificatie op het apparaat zelf, en bemonsteren belangrijke Windows-beveiligingsgebeurtenissen, zodat detectie wordt aangedreven door gestructureerde feiten in plaats van tekstpatroonherkenning. Zie de agent-release notes voor details.