Alle release notes
Platform
Patchen dat aankomt, en een echt detectiekanaal
Release gericht op patches die daadwerkelijk landen en op een echte detectieverbinding met de Windows-agent. Voegt landbeleid voor aanmeldingen en detectie van onmogelijke reizen toe voor Microsoft 365, haalt het installeren van patches en pakketten van derden uit PowerShell zodat het ook werkt op streng geharde endpoints, en begrenst het aantal installatiepogingen zodat een vastgelopen installatie zichtbaar is in plaats van eindeloos te herhalen.
Nieuw
- Landbeleid voor aanmeldingen per Microsoft 365-tenant: elke gekoppelde tenant geeft op vanuit welke landen zijn gebruikers verwacht worden aan te melden, en aanmeldingen van elders worden als postuurbevinding opgevoerd. Het is bewust per tenant en niet één platformbrede standaard, want een klant met een Nederlandse backoffice en een Indiaas ontwikkelteam stelt beide in in plaats van een standaard te erven die op geen van beide past. Een tenant zonder ingestelde lijst wordt helemaal niet begrensd: een lege lijst betekent niet ingesteld en nooit alles blokkeren. Elke bevinding draagt het waargenomen land, het aanmeldende account en de betrokken applicatie, zodat er niet eerst in de aanmeldlogboeken van Entra gedoken hoeft te worden.
- Detectie van onmogelijke reizen bij Microsoft 365-aanmeldingen: opeenvolgende interactieve aanmeldingen van hetzelfde account vanaf verschillende locaties worden getoetst aan de vraag of iemand die afstand fysiek had kunnen afleggen. De ondergrens houdt rekening met zowel korte verplaatsingen over de grond als met lange vluchten inclusief vaste tijd voor luchthavenafhandeling, zodat een paar aanmeldingen tussen Amsterdam en Singapore niet wordt gemarkeerd enkel omdat het snel ging. Aanmeldingen waarvan de locatie niet of te grof te bepalen is, worden overgeslagen in plaats van geraden.
- Detectieverbinding met de Windows-agent: de agent had tot nu toe alleen een inventarisatie-heartbeat en krijgt een volwaardig kanaal voor detectiewerk. Dringende bevindingen worden direct gemeld en wachten niet op de volgende cyclus van 30 minuten. Procesgebeurtenissen worden vastgelegd als afstammingsketen en niet als losse uitvoeringen, wat toeschrijving en correlatie verderop mogelijk maakt. Beleid wordt per klant uitgedeeld in plaats van in de binary gecompileerd, en lokale regelsets zijn cryptografisch ondertekend met een verificatie die faalt naar weigeren: een build zonder ingebouwde sleutel accepteert helemaal geen regelset, want een ongetekend regelpad zou neerkomen op een uitvoeringskanaal naar elke agent in de vloot.
- Rapportagemodus voor de agent: een apparaat kan tijdens onboarding draaien in een modus waarin de agent vastlegt wat hij zou hebben gedaan zonder het uit te voeren, zodat er zicht is op wat er geblokkeerd zou zijn voordat er daadwerkelijk wordt ingegrepen. Indicatoren kunnen klantoverstijgend worden geblokkeerd, en het opheffen van een blokkade is een expliciete, vastgelegde handeling in plaats van een stil gevolg van het verlopen van een indicator.
- Nieuwe Agent-pagina met per apparaat de gezondheid van de agent, de status van het beleid en openstaande beslissingen. Apparaatrecords dragen daarnaast de status van sabotagebescherming, isolatie, telemetriegezondheid, lokale regels en de aanwezigheid van de watchdog.
- Onderzoeken correleren signalen: verwante signalen worden samengebracht in één werkdossier in plaats van elke detectie apart te tonen. Een signaal dat terugkeert nadat een onderzoek was gesloten, opent een nieuw onderzoek in plaats van het oude stilletjes te heropenen, zodat de tijdlijn niet liegt over het moment waarop het begon. Het correlatievenster schuift bewust niet mee: een meeschuivend venster kan door een traag, laagfrequent signaal onbeperkt open worden gehouden, en dat is juist het geval waarin een accuraat begintijdstip het meest telt. Waarnemingen van een analist kunnen los van de openende signalen aan een onderzoek worden gehangen en overleven een herberekening van de score.
- Begrenzing en telemetrie voor het uitleveren van patches en pakketten: mislukte installaties worden nu begrensd en zichtbaar in plaats van eindeloos opnieuw geprobeerd. Voor pakketten van derden gelden twee gescheiden budgetten, omdat één vlakke bovengrens verkeerd zou zijn: een pakket dat per gebruiker is geïnstalleerd op een laptop die op het aanmeldscherm staat, faalt om een reden die verdwijnt zodra iemand aanmeldt. Zulke pogingen tellen mee als uitgesteld en niet als mislukt, maar zijn wel begrensd, want een profiel van een vertrokken medewerker stelt eindeloos uit en een regel die eindeloos uitstelt is niet te onderscheiden van een regel die het gewoon doet.
- Nieuw zijn verder een statistiek-endpoint voor apparaten en een actie om het afwijzen van een Defender-definitie-update ongedaan te maken. Een afwijzing was voorheen definitief en de update verdween simpelweg uit de wachtrij.
Verbeterd
- Het installeren van Windows-updates en pakketten van derden loopt niet langer via PowerShell. Beide paden riepen PowerShell aan met een omzeiling van het uitvoeringsbeleid, en dat is precies wat Constrained Language Mode, WDAC en AppLocker geacht worden te blokkeren. Het gevolg was dat patchen stil faalde op juist de zorgvuldigst geconfigureerde machines, en meldingen opleverde in de andere beveiligingssoftware van de klant. Windows-updates worden nu aangestuurd via de systeemeigen Windows Update-interface, in een apart proces zodat een vastlopende updatedienst nooit de agent zelf kan vastzetten. De controle achteraf blijft: Windows meldt een definitie-update als geslaagd voordat Defender de handtekeningen daadwerkelijk heeft toegepast, dus een hercontrole verlaagt geslaagd maar nog steeds ontbrekend terug naar mislukt.
- Winget wordt nu rechtstreeks opgezocht in plaats van via de zoekpaden van het systeem, waar het onder het serviceaccount principieel niet te vinden was, met voorkeur voor de juiste architectuur en de hoogste versie, en met hernieuwde opzoeking wanneer de Store het pakket naar een nieuwe map bijwerkt.
- Het uitlezen van beschikbare pakketupdates werkt nu op niet-Engelstalige Windows-installaties en op pakketnamen met niet-Latijnse tekens. De kolomherkenning zocht letterlijk naar de Engelse kopteksten, waardoor een niet-Engelstalige installatie stil nul beschikbare updates meldde, en de kolommen werden op bytes in plaats van op tekens gesneden, waardoor één bijzonder teken in een pakketnaam alle volgende kolommen verschoof.
- Windows-updates houden zich nu aan onderhoudsvensters. Die golden wel voor pakketten van derden maar niet voor Windows-updates, oftewel de meest verstorende van de twee was juist de ongereguleerde. Zie de sectie Gewijzigd.
- Alle actieve gebruikerssessies zijn nu zichtbaar. Voorheen werd alleen de consolesessie of de eerste actieve sessie bekeken, zodat op een terminalserver of een machine met snelle gebruikerswisseling stilzwijgend maar één gebruiker in beeld was. De scan voegt de resultaten van alle sessies samen en meldt het wanneer de dekking onvolledig was, met een tijdsbudget per pakket zodat een host met tien sessies de reguliere verzamelcyclus niet kan verdringen.
Opgelost
- Pakketten die per gebruiker zijn geïnstalleerd werden gemeld als bijgewerkt zonder te zijn bijgewerkt. De installatie liep eerst onder het serviceaccount, en voor een pakket in een gebruikersprofiel werkt dat de kopie van die gebruiker niet bij: er kon een tweede kopie onder het serviceaccount worden geïnstalleerd, met een succesmelding, terwijl de kwetsbare kopie bleef staan. De agent meldde succes, de volgende inventarisatie zag het pakket opnieuw, en zonder bovengrens herhaalde die cyclus zich elk kwartier eindeloos. Het bereik van een pakket wordt nu afgeleid door in beide beveiligingscontexten te kijken, en alleen toegekend wanneer beide bereikbaar waren. Was er één niet bereikbaar, dan meldt de agent onbekend in plaats van te gokken. De installatie volgt vervolgens het bereik.
- Eén probleem op apparaatniveau markeerde alle patches in de batch als mislukt: een ontbrekende hulpcomponent, een vastgelopen updatedienst of een agent zonder de benodigde rechten werd platgeslagen tot elke update in deze batch is mislukt. Omdat de pogingenteller bij het uitdelen ophoogt, parkeerde dat na drie keer patches permanent die nooit ook maar één keer waren geprobeerd. Zo'n fout wordt nu als zodanig gemeld, de cyclus stopt in plaats van uitspraken te verzinnen over losse updates, en de poging wordt teruggegeven.
- Een tijdelijke leesfout in het register veroorzaakte een stortvloed aan valse persistentiemeldingen: bij een mislukte eerste lezing werd een lege basislijn aangenomen, waarna de volgende wijzigingsmelding elke bestaande waarde als nieuw toevoegde, elk als kritiek en elk direct doorgemeld. Een mislukte lezing behoudt nu de vorige basislijn. Bovendien werden alleen tekstwaarden gelezen en viel al het andere terug op een lege string, waardoor een numerieke waarde die tussen 0 en 1 wisselde onzichtbaar was.
- De Microsoft 365-postuurmodule leverde stilzwijgend verkeerde resultaten. Een controle waarvan de gegevens niet opgehaald konden worden, meldt nu onbekend in plaats van geslaagd; voorheen zag een ontbrekende machtiging eruit als een schone tenant. Authenticatie met certificaat werkte niet doordat de vingerafdruk over het verkeerde onderdeel werd berekend. Daarnaast is een reeks onterechte bevindingen rond benoemde locaties, opsomming van geprivilegieerde rollen, standaardrechten van gebruikers en applicatietoewijzingen gecorrigeerd.
- Vlootbrede aanvulling van patchregels verwijderd: er werden patchregels aangemaakt voor apparaten die de betreffende patch nooit als ontbrekend hadden gemeld, en die regels kwamen vervolgens als echt werk in de installatiewachtrij terecht. De al aangemaakte regels worden opgeruimd.
- De nalevingsscore van een apparaat was niet begrensd en kon boven de 100 uitkomen.
Beveiliging
- Geheugenscanning van processen vertrouwt een proces niet langer op zijn naam. Vertrouwen vereist nu een ondertekend uitvoerbaar bestand dat buiten voor gebruikers beschrijfbare locaties staat. Alles wat daar niet aan voldoet wordt gescand, ongeacht hoe het zichzelf noemt, en de weigering om een uitzondering te maken wordt vastgelegd.
- De agent meldt zijn eigen onderhoudswerk niet langer als detectie. Toeschrijving gebeurt op basis van procesafstamming, en toegeschreven gebeurtenissen behouden hun volledige registratie op een lagere ernst in plaats van te worden onderdrukt. Er wordt niets weggelaten. Bevindingen rond diefstal van inloggegevens, het onbruikbaar maken van herstelmogelijkheden, het omzeilen van beveiliging en maskering worden nooit verlaagd, en dat geldt ook voor persistentie via de opstartmap.
- Het verbreken van de koppeling met een Microsoft 365-tenant verwijdert nu daadwerkelijk de opgeslagen inloggegevens. Door een fout in de opslaglaag bleven die bij het ontkoppelen staan. Heeft u eerder een tenant ontkoppeld, trek dan voor de zekerheid de betreffende applicatiegegevens in Entra in.
- Fouten bij het ophalen van tokens worden geschoond voordat ze worden gelogd; ze bevatten voorheen authenticatiemateriaal.
Gewijzigd
- Windows-updates worden voortaan beperkt tot de ingestelde onderhoudsvensters. Tenants met bestaande onderhoudsvensters zullen merken dat het installeren van Windows-updates daar nu ook aan gebonden is. Dat is de bedoelde uitkomst, maar het verandert wanneer er gepatcht wordt en niet alleen of het mag. Er is bewust geen uitzondering voor kritieke updates: als die gewenst is, hoort dat expliciet beleid te zijn.
- Het installeren van patches zet Systeemherstel niet langer aan. Het oude pad schakelde Systeemherstel stilzwijgend weer in op machines waar het bewust was uitgezet. Het nieuwe pad probeert alleen nog een herstelpunt te maken.