Alle release notes
Platform
De automatiseringsengine, campagnes over klanten heen en bewijs bij elke compliancecheck
Detecteren, besluiten, handelen en aantonen bestonden als vier losse stappen met een mens die tussen elke stap heen en weer liep. De automatiseringsengine verbindt ze, met als uitgangspunt dat een regel niets mag doen voordat iemand hem daar bewust toestemming voor geeft: elke regel wordt geboren in rapportagemodus en legt vast wat hij zou hebben gedaan. Daarnaast wordt een bevestigde detectie bij een klant een campagne die andere klanten in dezelfde partneromgeving vooraf beschermt, en dragen compliancechecks voortaan de gemeten waarde als bewijs in plaats van alleen een uitkomst.
Nieuw
- Automatiseringsengine, in vier lagen: regels staan op de pagina Automatisering en verbinden een gebeurtenis aan voorwaarden en acties. Elke regel begint in rapportagemodus en blijft daar tot een platformbeheerder hem promoveert. Bij elke evaluatie wordt een uitvoeringsregel weggeschreven, ook als er geen match was, zodat een automatisering die stilviel nooit lijkt op een automatisering die niets te doen had. De voorwaarden gebruiken dezelfde evaluator als de check-engine: er is een taal voor voorwaarden in het product, niet twee. Een noodstop op twee niveaus, per klant en platformbreed, wordt rechtstreeks uit de database gelezen en opnieuw gecontroleerd tussen het claimen en het uitvoeren van een actie.
- Acties zonder risico op schade zijn direct beschikbaar: melden, ticket aanmaken, toewijzen, notitie plaatsen en labelen. Een label wordt opgezocht op naam binnen de klant van het object zelf en daar zo nodig aangemaakt, zodat een label van de ene klant structureel niet aan een object van een andere klant kan blijven hangen.
- Acties die de staat van het werk veranderen, zoals onderzoek openen, ernst aanpassen, patch goedkeuren en patch inplannen, zitten elk achter een expliciete keuze per regel. Die keuze omzetten is een inhoudelijke wijziging en zet een handhavende regel terug naar rapportagemodus. Een goedkeuring door het systeem draagt bewust geen naam van een mens: de uitvoeringsregel is de goedkeurder, want een audittrail die een persoon noemt die niets deed is een audittrail die liegt.
- Ingrijpende acties met promotiedrempels: apparaat isoleren, en risico accepteren of sluiten. Isoleren vereist veertien dagen aantoonbaar draaien in rapportagemodus op de huidige versie van de regel, waarbij de klok start bij de eerste uitvoering en opnieuw begint zodra de regel inhoudelijk wordt gewijzigd. Een regel die alleen bestond is niet door de werkelijkheid beoordeeld. Accepteren en sluiten vereisen daarbovenop een met naam genoemde, actieve eigenaar, die op het moment van promoveren opnieuw wordt gecontroleerd.
- Grenzen aan de reikwijdte van een automatische actie: een regel die meer dan een ingesteld deel van de vloot zou isoleren, standaard een kwart van de apparaten van die klant, stopt de volledige actielijst en waarschuwt beheerders in plaats van door te gaan. Een bovengrens per uitvoering kapt af met de overschrijding vastgelegd, nooit stilzwijgend. Al geisoleerde, offline en al ingeplande apparaten worden overgeslagen met de reden erbij. Een regel kan een apparaat dat zijn eigen isolatie ophief tijdens een storing niet opnieuw isoleren, want dat is een lus en die blijft mensenwerk. Automatisch accepteren van een risico is verplicht in tijd begrensd, tussen een dag en een jaar, zodat de vervalcontrole het altijd heropent en automatisering nooit stilzwijgend permanente onderdrukking wordt.
- Twintig kant-en-klare regels als bibliotheek, omdat een lege bouwer een functie is die niemand in gebruik neemt. Onder meer melden en ticketen op kritieke CVE-risico's, risico's zonder eigenaar, Microsoft 365-postuur en bevestigde onderzoeken, patchautomatisering inclusief de volledige lus van kritieke beveiligingspatch gedetecteerd tot uitgerold binnen het onderhoudsvenster, en een bewust smal voorbeeld van in tijd begrensde acceptatie van laagscorende ruis. Installeren verloopt via hetzelfde gecontroleerde pad als een handgebouwde regel.
- Responsintelligentie over klanten heen: zodra een detectie bij een klant aan de drempel voldoet, wordt de structurele signatuur ervan een campagne. Harde indicatoren worden als blokkeerregels uitgezet naar elke andere klant in dezelfde partneromgeving en bij de volgende heartbeat toegepast, en elke heartbeat in die omgeving wordt 72 uur lang tegen de signatuur gescoord, daarna nog zeven dagen op indicatoren alleen. Een bevestigde match opent een onderzoek. Een geblokkeerde poging tot terugbellen naar een commandoserver telt zelf als bevestigde treffer, want de blokkade bewijst dat de machine het probeerde. Klantherleidbare gegevens worden uit een signatuur verwijderd voordat die de grens tussen klanten overgaat, een uitzonderingslijst voorkomt dat gedeelde infrastructuur wordt geblokkeerd, en verspreiding over meer dan zestig procent van een vloot onderdrukt de campagne automatisch, want dat patroon is een uitrol en geen aanval.
- Compliancechecks dragen hun bewijs: de dertien apparaatchecks zijn verplaatst naar een geversioneerd register waarin drempels als gegevens zijn vastgelegd en elke uitkomst de waargenomen waarde teruggeeft. Het rapport en de e-mail kunnen nu de gemeten waarde noemen in plaats van alleen geslaagd of gezakt. Het bewijs verschijnt op de gezakte apparaten in het compliancerapport, op de apparaatpagina en in de e-mails over statuswijzigingen. De uitkomsten zelf zijn ongewijzigd: het bewijs is wat het aanpassen van een drempel tot een beargumenteerde keuze maakt in plaats van een stille.
- Eigen regels gekoppeld aan frameworkcontrols, weergegeven als dekking op het compliancerapport, en regelvoorinstellingen als geversioneerde inhoud.
- Dekking van apparaten tegenover Entra en Intune: een kaart op de tenantpagina beantwoordt de vraag hoeveel van de in Entra geregistreerde apparaten Secuno daadwerkelijk ziet, met de verdeling tussen exacte koppeling en koppeling op hostnaam, de overlap met Intune, het aantal apparaten dat alleen een agent heeft en een steekproef van geregistreerde apparaten zonder agent. De noemer telt alleen ingeschakelde registraties, omdat tenants verouderde uitgeschakelde apparaatobjecten verzamelen die het percentage vanzelf omlaag trekken.
- Audittrail voor verwisselbare media: het aansluiten van USB-apparaten wordt nu apart en doorzoekbaar bewaard in plaats van alleen binnen het bewijs van een onderzoek, met een eigen kaart op het tabblad Beveiliging van een apparaat.
- Detectie van slapende lokale accounts als inhoud voor de check-engine in plaats van een nieuwe detector: de evaluator kreeg voorwaarden over een voortschrijdend venster, en er is een voorinstelling voor een ingeschakeld lokaal account dat negentig dagen niet is gebruikt. De drempel is aanpasbaar en de voorinstelling staat standaard in rapportagemodus.
- Doorlooptijden over de hele vloot op de onderzoekspagina: tijd tot detectie en tijd tot bevestiging als twee kaarten, gemeten op de tijdstempels die daadwerkelijk worden gezet.
- Kleiner werk dat dagelijks opvalt: een dubbelzinnige vermelding van een collega meldt niet langer stilzwijgend de eerste de beste treffer maar zegt dat de naam meerdere mensen kan zijn, genoemde gebruikers krijgen een e-mail achter een nieuwe voorkeur die standaard aanstaat, de verbindingstest voor Jira controleert nu ook of het project zichtbaar is en het issuetype daarin bestaat in plaats van alleen of de inloggegevens kloppen, en de uitvoer die beide agents al naar de gebeurtenislogboeken schreven is gedocumenteerd met kant-en-klare voorbeelden voor de gangbare verzamelaars.
Opgelost
- Een geblokkeerde poging tot terugbellen naar een commandoserver werd weggegooid zodra hij onder de bovengrens per heartbeat viel, terwijl dat de sterkste aanwijzing was die de keten produceerde. Zulke pogingen openen nu een onderzoek.
- Het opnieuw bevestigen van een blokkade wiste de vastgelegde manier waarop die blokkade was afgedwongen.
- Afgeleverde blokkeerregels bleven bestaan en werden bij elke heartbeat opnieuw verstuurd. Ze worden nu na dertig dagen opgeruimd.
- De voorinstelling voor een open poort boven 1024 vergeleek op gelijkheid in plaats van op groter dan. Opgelost als nieuwe versie van de voorinstelling met echte vergelijkingsoperatoren, zodat bestaande regels hun betekenis houden.
Gewijzigd
- Elke automatiseringsregel start in rapportagemodus, ook de regels uit de bibliotheek. Er is geen weg omheen: promoveren is een handeling van een platformbeheerder, en bij ingrijpende acties gaat daar een periode van aantoonbaar meedraaien aan vooraf.
- Proces beeindigen en bestand in quarantaine plaatsen zijn bewust geen automatiseringsacties. Beide worden aangestuurd op een procesnummer of een pad, en geen enkele gebeurtenis aan de serverkant draagt die gegevens in een vastgelegde vorm. Een procesnummer uit een ouder onderzoek is inmiddels hergebruikt en wijst dan naar een onschuldig proces. Beeindigen op het moment van detectie bestaat al, op de juiste plaats: in de regelengine van de agent zelf. Het opheffen van isolatie blijft eveneens mensenwerk.