Secuno
ENNL
Boek demo
Alle release notes
Platform

Een check-engine, Defender-meldingen en een heartbeat die niet meer werd afgewezen

v0.0.54Groot

Een brede release, met als zwaarste post een fout die niemand kon zien: apparaten die een beheerdersaanmelding, een accountwijziging, een USB-apparaat of een DNS-afwijking rapporteerden kregen hun volledige heartbeat afgewezen en verloren daarmee die hele ronde aan inventaris, poorten en postuur. Verder wordt de evaluator van eigen regels een check-engine die het verschil kent tussen onwaar en onmeetbaar, gaat Microsoft 365 onderzoeken openen in plaats van postuurbevindingen op te stapelen, en komen er Defender-meldingen binnen voor dreigingen die een endpoint-agent principieel niet kan zien. Lees de sectie Gewijzigd: verschillende onderdelen veranderen bij het bijwerken zichtbaar wat een klant op zijn scherm ziet staan.

Nieuw

  • De evaluator van eigen regels wordt een check-engine. De evaluator was tweewaardig en loste een onleesbaar veldpad op naar niets. Drie operatoren lazen dat niets als een match, waardoor een regel kon slagen op gegevens die nooit zijn gemeten. Een uitkomst kent nu drie toestanden: geslaagd, gezakt en niet te beoordelen, en dat laatste is geen stille match. Drempels zijn geversioneerde gegevens, checks zijn ingedeeld in categorieen, en een voorinstelling die niet te beoordelen is zegt dat ook.
  • Defender-meldingen voor dreigingen die de agent niet kan zien: een agent bewaakt bestanden en processen op een apparaat en kan een phishingbericht dat in de mailomgeving werd gedetoneerd niet waarnemen, terwijl e-mail de meest gebruikte eerste toegangsweg is. Een tenant met een Microsoft 365-koppeling en geen uitgerolde agents had daardoor geen enkel zicht op malware. De meldingen uit het gebundelde Defender-kanaal komen nu binnen op dezelfde cyclus van een kwartier als de rest.
  • Microsoft 365 levert onderzoeken in plaats van alleen bevindingen: een door een beheerder in Entra bevestigde accountovername leverde eerder een postuurbevinding op die in dezelfde wachtrij belandde als een verlopend applicatiegeheim, zonder triageklok, zonder bewijsspoor en zonder afgesproken reactietijd, voor het zwaarste oordeel dat identiteitsbeveiliging kan vellen. Zulke gevallen openen nu een onderzoek.
  • Netwerkpostuur wordt een vragenlijst over de firewall in plaats van vier keuzelijsten op een locatie. De vier assen achter de scoring werden eerder rechtstreeks uitgevraagd, wat van een beheerder vraagt zijn netwerk te vertalen naar onze woordenschat en zelf te bepalen of zijn inrichting doorgaat voor zero trust. Mensen beantwoorden zo'n vraag met wat ze nastreven, niet met wat er is ingericht, en niets op het formulier vertelde wat een antwoord zou doen. De assen worden nu afgeleid uit vragen over het netwerk zelf.
  • Portfolio Intelligence is opnieuw opgebouwd rond twee objecten, een dreiging en een klant, zodat geen enkel object nog twee keer op de pagina staat. Het dashboard toonde dezelfde klanten drie keer en dezelfde CVE's twee keer, waarbij elke herhaling precies een extra kolom aan gegevens droeg: dat is het teken dat het kolommen waren en geen panelen.
  • De knop Dashboard aanpassen past voortaan het dashboard aan waar u naar kijkt, in plaats van een apart, leeg canvas te openen. Het is een bewerkmodus op de pagina zelf: de balk toont de panelen van deze weergave en het uitvinken van een paneel verbergt het, per gebruiker bewaard.
  • Een risico volgen wordt een plan in plaats van een bladwijzer. Volgen legde een regel vast en deed verder niets, terwijl de planner losstond en met de hand moest worden gevuld. Volgen maakt nu een prive-taak voor de volger aan, die meebeweegt met het risico zolang de gebruiker hem niet zelf heeft aangepast.
  • Vakantiemodus voor het landbeleid op Microsoft 365-aanmeldingen: het beleid kende per land maar twee standen, permanent toegestaan of elke vakantie een melding. In de praktijk verruimen beheerders de lijst en trekken die nooit meer in, wat de slechtste van beide uitkomsten is. Een vakantievenster is een in tijd begrensde uitzondering per land die zichzelf sluit.
  • Terugkerend achtergrondwerk krijgt een eigenaar. Vijftien diensten hielden elk hun eigen tijdklok bij, wat betekende dat een taak die langer duurde dan zijn interval zichzelf ging overlappen en elke kopie om dezelfde rijen en dezelfde rekenkracht vocht.
  • Een gedeelde gebeurtenissenlijn: de gebeurtenissen bestonden al, maar het verzenden ervan en het afleveren bij integraties waren dezelfde handeling, waardoor niets anders kon meeluisteren zonder alle acht aanroepende plaatsen aan te passen. Integratielevering is nu de eerste luisteraar van vele, met ongewijzigd gedrag.
  • Verloop van de CVE-verzameling is een getal geworden in plaats van een regel in een logboek: de volledige uitkomst van een afstemmingsronde, met ontbrekende, verouderde en lokaal-alleen aantallen, gewijzigde CVSS-waarden en hoeveel risico's opnieuw zijn gescoord, is nu opvraagbaar in plaats van alleen zichtbaar voor wie toevallig meekeek.

Opgelost

  • Een heartbeat werd in zijn geheel afgewezen zodra het monster uit het gebeurtenislogboek bepaalde velden bevatte. Acht velden waren aan de serverkant als aantallen beschreven terwijl beide agents altijd lijsten hebben verzonden, en omdat het monster streng wordt gevalideerd sneuvelde niet dat ene veld maar de hele ronde. Elk apparaat dat een beheerdersaanmelding, een accountwijziging of vergrendeling, een USB-apparaat, een NTLM-netwerkaanmelding, een wijziging in het auditbeleid of een DNS-afwijking rapporteerde verloor daarmee de volledige cyclus: inventaris, poorten, beveiligingspostuur en procesaanmaak. De gebeurtenis die hier het vaakst achter zat treedt op bij vrijwel elke administratieve aanmelding, dus dit was geen zeldzaam pad.
  • De voorinstellingen Wekelijks en Maandelijks van de rapportplanner verstuurden tenantrapporten elk uur, en de ingestelde tijdzone werd genegeerd.
  • De MFA-dekking in Microsoft 365 telde gebruikers mee die nooit zijn gemeten, waardoor het percentage te hoog uitkwam en niet alleen wanneer de gegevensbron de hele set weigerde.
  • Een onderhoudsvenster dat over middernacht heen liep stopte om middernacht.
  • Drie Microsoft 365-uitvragen lieten gegevens vallen en verplaatsten vervolgens de leeswijzer eroverheen, zodat wat gemist was niet meer werd opgehaald.
  • Defender meldde wel wanneer een actie slaagde en zweeg wanneer die mislukte.
  • Geen enkele wachtrij kon op meer dan een ernst of status tegelijk worden gefilterd.
  • Software verwijderen van een apparaat verwijderde een ander pakket dan het aangewezen pakket.
  • Een incrementele CVE-synchronisatie kon een CVE blijvend overslaan.
  • De uitsplitsing van een risicoscore telde niet op tot de score die hij uitlegde, en beschreef die score op onderdelen onjuist.
  • Een gemitigeerd CVE-risico heropende voor een andere, niet-verwante CVE, doordat nergens werd vastgelegd wat een mitigatie precies had afgedekt.
  • Het incidentrapport drukte het draaiboek af als een lege afvinklijst, doordat de notities van de responder wel bij het onderzoek werden bewaard maar nooit werden teruggelezen.
  • De agent vergeleek de uitkomst van de pakketbeheerder met de verkeerde afsluitcode, waardoor een pakket dat simpelweg al bij was aan de operator werd gemeld als mislukte patch.
  • Uitloggen in het ene tabblad liet elk ander tabblad ingelogd.
  • Een browser waarin opslag van sitegegevens is geblokkeerd brak het dashboard.
  • Het downloaden van een rapport als JSON leverde nooit een bestand op.
  • Een filter wijzigen behield de oude pagina en de oude bulkselectie, zodat een handeling op een selectie iets anders kon raken dan wat op het scherm stond.
  • Drie CVE-filters doorzochten alleen de twintig rijen die op het scherm stonden, en de lijst met Microsoft 365-bevindingen toonde een afgekapt aantal als totaal.
  • Het aantal correlatierondes in een klantrapport was een platformbreed getal.
  • Een pakket dat door de bovengrens op nieuwe pogingen was geparkeerd had geen weg terug.
  • Risico's met ernst informatief ontbraken in de grafiek met risicotrends.

Beveiliging

  • Het platform had helemaal geen zelfbediening voor wachtwoordherstel: de inlogpagina verwees naar een adres dat aan de serverkant nooit heeft bestaan.
  • Het toegangstoken stond in de URL van de meldingenstroom, waar het in logboeken en verwijzingen terecht kan komen.
  • Een endpoint met labels gaf de labels van elke tenant terug in plaats van alleen die van de aanvrager.
  • Reacties op tickets en artikelen in de kennisbank toonden door een aanvaller aan te leveren HTML zonder die onschadelijk te maken.
  • Een partnerbeheerder kon een nieuwe klant koppelen aan een concurrerende partner.
  • Een gepland rapport kon worden aangemaakt tegen elke tenant, en de bijbehorende lijstopvraag gaf bij een fout de geplande rapporten en ontvangerslijsten van elke tenant terug.
  • CSV-export van CVE- en KEV-gegevens was vatbaar voor formule-injectie in spreadsheets.
  • De bevestiging bij het in bulk verwijderen van gebruikers was decoratief, en de rollenkiezer bood rollen aan die de server weigert.
  • Het beveiligingsbeleid van de browser stond een WebSocket naar elke host op het internet toe, en een verouderde beveiligingsheader zette juist de controle weer aan die dat beleid vervangt.
  • De agent meldde bij elke ronde opnieuw dezelfde geheugenbevinding op een ongewijzigd proces, en zag legitieme systeembestanden aan voor maskering.

Gewijzigd

  • De patchcontrole in alle vijf ondersteunde frameworks is aangescherpt. Een klant met een openstaande kritieke patch op ook maar een host leest voortaan hiaat waar eerder conform stond. Dat is de bedoelde lezing, en het is een zichtbare verandering in een getal dat klanten zien.
  • Het netwerkpostuur is verplaatst naar de vragenlijst over de firewall en geen enkele eerder opgeslagen classificatie is meegenomen. De nieuwe assen worden afgeleid uit vragen die de oude kolom nooit stelde, en antwoorden verzinnen om een oude classificatie na te bootsen zou een inrichting vastleggen die niemand heeft beschreven. Elke locatie scoort tegen de gedocumenteerde standaardwaarden tot de firewall is vastgelegd. Loop uw locaties na.
  • Het portfoliodashboard verliest de panelen Client Risk Ranking, CVE Portfolio Impact, Herd Immunity Tracker en Top 3 Most At-Risk. Elk daarvan was een tweede weergave van iets dat al op de pagina stond. Risicoleeftijd en SLA en de risicotrends verdwijnen van beide dashboards; de onderliggende gegevens zijn ongewijzigd en bedienen nog steeds de risicopagina's.
  • Een geaccepteerd risico staat niet langer in Alle risico's maar onder Gesloten, en komt vanzelf terug in de lijst zodra de acceptatie verloopt.
  • Twee meegeleverde regelvoorinstellingen komen op niet te beoordelen te staan op apparaten die nooit een beveiligingsblok hebben gerapporteerd. Dat is de correctie die werkt. Regels met geneste voorwaardengroepen gaan bevindingen opleveren die ze eerder niet konden produceren.