Alle release notes
Platform
Patchbeheer van begin tot eind, twee detectie-engines die leren en een echte servicedesk
De omvangrijkste release tot nu toe. Patchbeheer is af als veiligheidsmodel voor uitrol in plaats van als goedkeuringswachtrij: inloopperiodes, geordende uitrolringen, terugdraaien en vastzetten, en uitsluitingen per apparaat. Er komen twee detectie-engines bij, een die leert wat op elk afzonderlijk apparaat gewoon is en een die dezelfde activiteit over veel hosts samenvoegt voordat er iets wordt beoordeeld. De ernst van een risico valt voortaan in de klasse die CVSS zelf toekent, wat bij het bijwerken zichtbaar aantallen verschuift. De servicedesk verandert van een tabel met tickets in het oppervlak waarop het werk wordt gedaan. De Linux-agent krijgt de detectie-engine waarmee hij al die tijd niet werd geleverd, en vier soorten valse meldingen die de risicowachtrij bedolven zijn herleid en gesloten.
Nieuw
- Wachttijd voor goedkeuring: een patch kan zichzelf goedkeuren na een inloopperiode die u per klant en per ernst instelt, zodat een leverancier die een slechte update binnen de eerste 72 uur intrekt uw omgeving nooit bereikt. Goedkeuring zet een patch alleen op scherp. Het onderhoudsvenster bepaalt nog steeds wanneer hij daadwerkelijk landt.
- Uitrolringen: uitrol verloopt in geordende fasen, met per ring en per update een vastgelegd oordeel. Dat oordeel leest in aanmerking komende, rapporterende en geslaagde apparaten apart, zodat er kwam niets terug nooit kan worden verward met alles werkte. Een ring die faalt doet dat meteen in plaats van aan het einde van zijn inloopperiode, en een ring die stil blijft geldt als waarschuwingssignaal en niet als geslaagd.
- Terugdraaien, vastzetten op een versie en blokkeren per apparaat: een pakket van derden kan worden teruggedraaid naar een met naam genoemde eerdere versie en daarop worden vastgezet, zodat een automatische update een bewuste stap terug nooit opnieuw vooruit draait. Terugdraaien van Windows Update is eerlijk begrensd tot de updates die Windows zelf laat verwijderen, en de agent meldt welke dat zijn in plaats van een terugdraaiing te beloven die hij niet kan uitvoeren. Een enkel apparaat kan van een patch worden uitgesloten zonder de goedkeuring voor de rest van de omgeving in te trekken.
- Windows-updates dragen hun CVE's: KB-nummers worden gekoppeld aan de kwetsbaarheden die ze verhelpen, op basis van de beveiligingsfeed van Microsoft zelf, zodat een Windows-patch en een kwetsbaarheidsbevinding eindelijk hetzelfde gesprek zijn. Patchdekking van derden wordt voortaan als aandeel gerapporteerd in plaats van als ruw aantal, omdat de agent elk geinstalleerd pakket meldt dat hij aan een manifest kan koppelen: de noemer die het product eerder niet kon noemen.
- Vervangen updates ruimen zichzelf op. Windows Update meldt nooit dat een update is vervangen, hij biedt hem simpelweg niet meer aan. De catalogus laat een update die een apparaat niet meer rapporteert nu alleen vervallen wanneer de scan echt is geslaagd, online draaide en niet is afgekapt, want een kapotte Windows Update-agent ziet er precies uit als een volledig gepatcht apparaat.
- Een gedragsbasislijn per apparaat: elk apparaat heeft nu een profiel van wat daarop gewoon is, met processtambomen, domeinen, verbindingspatronen, de frequentie van PowerShell, services, opstartitems, geplande taken en de accounts die het apparaat gebruiken. Het wordt elke nacht opnieuw opgebouwd, bij elke heartbeat vergeleken en getoond op een nieuw tabblad Gedrag op het apparaat, met het vertrouwensniveau, de gevonden afwijkingen en de sleutels die van leren zijn uitgesloten.
- Vertrouwen komt uit waarneming, niet uit aanmelding. Een apparaat geldt pas als basislijn wanneer het veertien dagen daadwerkelijk is waargenomen, of dertig bij volledige gevoeligheid, en de scoring gebruikt afnemende meeropbrengst, zodat twintig gevallen van een nieuwigheid nooit zwaarder wegen dan een geval van vijf verschillende. Een afwijking als normaal wegzetten leert de basislijn direct bij, een nieuwigheid die op veel apparaten tegelijk verschijnt wordt onderdrukt samen met de eerdere bevindingen uit dezelfde golf, en gedrag dat aan een bevestigde detectie hangt komt er nooit in. Nieuwe apparaten starten vanuit wat vergelijkbare apparaten gemeen hebben, nooit over klanten heen, en gebruikersgegevens in een profiel worden per klant gepseudonimiseerd.
- Correlatie van uitbarstingen over de vloot: dezelfde activiteit die op veel hosts tegelijk draait wordt tot een record samengevoegd voordat er iets wordt beoordeeld, onder een regel. Omvang mag een ernst alleen verlagen wanneer het takenlogboek van een beheerplatform de uitbarsting zelf verklaart. In elk ander geval verhoogt omvang de ernst, want een aanvaller die datzelfde beheerplatform aanstuurt levert exact hetzelfde bewijs op, dus die bewering alleen maakt niets rustiger. Het stelen van inloggegevens, het verwijderen van schaduwkopieen, het wissen van gebeurtenislogboeken en tokendiefstal zitten in een bodemklasse die geen enkel aantal hosts kan verlagen. Een uitbarsting wordt een incident met alle getroffen apparaten erin, dat ter plekke wordt bijgewerkt naarmate het zich verspreidt, en dat opent met de toeschrijving en de redenering in plaats van met het aantal hosts.
- Drieenveertig nieuwe voorinstellingen voor eigen risicoregels, opgebouwd uit een inventarisatie van feiten die Secuno al verzamelde maar die niets uitlas: kwetsbare en niet-ondertekende kernelstuurprogramma's, actieve Defender-detecties, niet-ondertekende opstartitems en acties van geplande taken, eigen en verlopen basiscertificaten, of de beschermingslagen van Defender daadwerkelijk inspecteren in plaats van alleen geregistreerd te zijn, onderscheppingspaden via proxy en WPAD, blinde vlekken van de agent, CIS-postuur, lokale accounts zonder wachtwoord, lidmaatschap van een werkgroep, geografie, dekking van nood-KB's, en, nieuw in de regelbouwer, Microsoft 365-apps, -bevindingen en bewaakte certificaten.
- Voorwaarden die op hetzelfde item moeten passen: een voorwaarde op een lijst kan nu meerdere controles dragen die allemaal op een en hetzelfde item moeten gelden, en dat is wat een service die als SYSTEM draait vanaf een voor gebruikers beschrijfbaar pad werkelijk vereist. Twee losse regels zouden op twee verschillende services hebben gepast.
- Een werkwijze voor risicobehandeling: formeel behandelen als mitigeren, overdragen, vermijden of accepteren, met goedkeurderslijsten per klant, zodat de bevoegdheid om goed te keuren per klant wordt ingericht in plaats van een nieuwe platformrol te vereisen. Ook de SLA-dagen voor risico's worden per klant en per ernst instelbaar in plaats van platformbreed vast.
- Ticketsjablonen en afvinklijsten: een blauwdruk vult een nieuw ticket met onderwerp, tekst, prioriteit, dienstsoort en een relatieve streefdatum, en brengt een afvinklijst mee. Er worden zevenenvijftig sjablonen geleverd in zeven groepen, voor identiteit, endpoint, e-mail, netwerk, kwetsbaarheden, continuiteit en governance, samen goed voor 316 stappen. De tekst van een afvinklijst wordt op het ticket vastgelegd, zodat het aanpassen van een sjabloon volgende maand nooit herschrijft wat een gesloten ticket zegt dat er is gedaan.
- Ticketwerkstromen: een geordende keten van sjablonen, een ticket tegelijk, waarbij het afronden van het ene het volgende aanmaakt. Er worden drieentwintig ketens geleverd, waaronder indiensttreding en uitdiensttreding, accountovername, compromittering van zakelijke e-mail, ransomwarerespons, onboarding van een nieuwe klant, respons op een kwetsbaar stuurprogramma en respons op een actief misbruikte kwetsbaarheid. De volgorde is de inhoud: weten dat de controle na uitdiensttreding een week later hoort, en dat een evaluatie achteraf na het herstel hoort en niet in plaats daarvan. Een doorloop draagt de persoon om wie het gaat, zodat elk ticket in de keten dezelfde gegevens toont, en een ticket dat wordt gesloten met een reden die niet beweert dat het werk is gedaan stopt de doorloop voor een mens in plaats van door te lopen.
- Contactpersonen en volgers. Een contactpersoon is een adresboekvermelding voor de persoon die de desk een keer per jaar belt: genoeg om te zeggen wie het vroeg en hoe die bereikbaar is, zonder account, wachtwoord of licentie. Een contactpersoon verwijderen die al op een ticket staat wordt geweigerd, want dat zou de melder stilzwijgend uit die geschiedenis halen, en in plaats daarvan wordt deactiveren aangeboden. Volgers zijn de cc-lijst en twee dingen tegelijk: een route voor meldingen naar de collega die het moet weten, en, voor een account, leesrecht. Eerder kon een klantgebruiker alleen een ticket openen dat hij zelf had gemeld, zodat een collega die in de cc stond bij een storing werd gemaild over een ticket dat hij niet kon inzien. Er zijn nu drie manieren om binnen te komen: u meldde het, u volgt het, of u bent de gekoppelde contactpersoon. Interne notities bereiken een volger met een klantrol of een contactpersoon nooit, niet in het portaal en niet in e-mail.
- Koppelingen, bovenliggende tickets en samenvoegen, als drie aparte mechanismen omdat het drie verschillende beweringen zijn. Een koppeling, gerelateerd aan, duplicaat van, blokkeert of veroorzaakt door, zegt lees deze samen, verandert niets en leest van beide kanten correct. Een bovenliggend ticket zegt dit werk hoort onder dat werk, met detectie van lussen, en een overkoepelend ticket kan niet als opgelost sluiten zolang er werk onder open staat. Samenvoegen zegt dit is twee keer hetzelfde gezegd, sluit het duplicaat en wijst het naar het overgebleven ticket. Reacties en bijlagen blijven staan op het ticket waarop ze zijn geschreven, want ze zijn in die context geschreven door mensen die het overgebleven ticket nooit hebben gezien. Wat wel meeverhuist is alles wat anders verloren zou gaan: volgers, melder, contactpersoon en onderliggende tickets, met aan beide kanten een reactie die zegt waar te kijken. Ketens van samenvoegingen worden geweigerd, zodat een lezer nooit twee stappen van het levende ticket af staat. Een ticket kan daarnaast het geinventariseerde apparaat noemen waar het over gaat, en het uit dienst nemen van dat apparaat wist de koppeling maar nooit de vastlegging van het werk dat eraan is gedaan.
- De Linux-agent heeft een detectie-engine. Hij wordt geleverd met waarnemers op processen, journal en bestandssysteem voor persistentie en uitvoering, inventarisatie van systemd en systeemhulpprogramma's, een detector voor toegang tot inloggegevens en een scanner voor geheugengebieden. Detecties dragen stabiele techniekaanduidingen gekoppeld aan MITRE ATT&CK, en dat is een afspraak tussen wat een bevinding oplevert en wat daarop handelt, zodat tekst vrij kan worden herschreven en het wijzigen van gedrag een bewuste, zichtbare handeling wordt.
- Isolatie kan automatisch worden opgeheven. Insluiting had een automatische weg naar binnen en alleen een handmatige weg naar buiten, zodat een golf valse meldingen elk getroffen apparaat geisoleerd liet tot een technicus ze een voor een had afgewerkt. Isolatie opheffen is nu een automatiseringsactie, aangestuurd door een analist die de zaak wegzet die de isolatie veroorzaakte. De waarborgen zijn bewust smal: een opheffing draait alleen ooit een isolatie terug die automatisering zelf voor diezelfde zaak heeft opgelegd, en weigert zolang er nog een andere zaak op het apparaat open staat. Opheffen valt niet onder het onderhoudsvenster, want opheffen herstelt dienstverlening.
- Een globale klantselectie in de kopbalk filtert elke lijst in het product tegelijk, zonder aan afzonderlijke pagina's te komen. Expliciete filters op een pagina en directe koppelingen winnen er nog steeds van, schrijfacties worden er nooit door gefilterd en bij uitloggen vervalt hij. Het is gemak en geen bevoegdheid: de achterkant toetst elk verzoek nog altijd aan wat het account werkelijk mag bereiken. Tegelijk gaan de klantinstellingen achter tabbladen, zodat wachtwoordbeleid, aanmeldbeleid, accountvergrendeling, MFA, geoblokkering, compliancedrempels, SLA-dagen en goedkeurders voor behandeling niet langer in een lange kolom staan, en rijen los opengaan zodat twee groepen naast elkaar kunnen worden bekeken voordat er wordt opgeslagen.
Gewijzigd
- De ernst is opnieuw geschaald naar CVSS. Een CVE valt nu in de klasse die CVSS er zelf aan toekent, dus 9,8 is kritiek en 8,8 is hoog. Eerder kon een CVE zonder gekoppelde exploitinformatie helemaal geen hoog bereiken en werd hij stilzwijgend als middel weggezet. Verwacht dat de aantallen kritiek en hoog bij het bijwerken verschuiven zonder dat er in uw omgeving iets is veranderd.
- De scoring ziet verwaarlozing. Nieuwe verzwarende factoren maken een bevinding erger op de specifieke host waar de feiten dat ondersteunen: een niet-opgeloste detectie, een patchachterstand, verouderde signaturen, uitgeschakelde manipulatiebescherming, een te grote groep lokale beheerders. Ze zijn begrensd, zodat een stapel hygieneproblemen nooit zwaarder weegt dan de kwetsbaarheid zelf, en ze tellen minder zwaar wanneer de telemetrie van het apparaat verouderd is. Ze bepalen ook tegen welke host een vlootbrede CVE wordt beoordeeld: de verwaarloosde, in plaats van de host die toevallig bovenaan stond.
- Compliance kent het platform. Het register beoordeelde elk apparaat alsof het Windows was, waardoor op een Linux-host een ontbrekend feit vier keer faalde: geen antivirusproduct betekende dat antivirus ingeschakeld, definities actueel, signaturen recent en recente scan allemaal zakten, naast een betekenisloze pas voor Defender-uitsluitingen op een machine zonder Defender. Checks verklaren nu waarop ze van toepassing zijn, en een check waarvan een host geen exemplaar heeft valt uit het oordeel en uit de score in plaats van als gezakt te tellen. Linux-compliancescores stijgen daardoor, en Linux-apparaatpagina's gebruiken de begrippen en de werking van het platform waarop ze draaien.
- Verplichte stappen in een afvinklijst blokkeren het sluiten van een ticket als opgelost, en alleen als opgelost. Duplicaat, ingetrokken, afgewezen en onoplosbaar zeggen alle vier dat het werk niet nodig was, dus die afschermen zou een per ongeluk gemeld ticket opsluiten zonder eerlijke uitweg. De bewerkers voor sjablonen en werkstromen zitten als tabblad in Instellingen, zodat ze dezelfde rolrechten dragen als de rest van Instellingen, en de ticketbibliotheek installeert zichzelf bij het opstarten: sjablonen en werkstromen worden alleen toegevoegd waar ze nog niet bestaan, en uw eigen aanpassingen worden nooit overschreven.
- De lokale responsengine van de agent is een besturingselement in plaats van een ingetypte tekst. De drie standen staan in oplopende volgorde van gevolg, handhaving inschakelen vraagt een bewuste bevestiging, en die bevestiging vervalt zodra er een beleid wordt geladen, zodat hij nooit boven de instellingen van iemand anders kan blijven staan. Een service stoppen en uitschakelen is beschikbaar als responsactie. Acties op het register en op geplande taken worden bewust achtergehouden tot ze in een lab zijn geverifieerd. Gebeurtenissen voor procesaanmaak en neergezette bestanden dragen nu de SHA-256 en de omvang van het bestand, en dat is wat correlatie over hosts en over klanten heen uberhaupt mogelijk maakt.
- Agent 0.38 wordt op beide platforms geleverd, dus Windows en Linux delen voortaan een versielijn. Rol de achterkant uit voordat u de agent uitrolt: 0.38 rapporteert inventarisvelden die een oudere achterkant niet kent en zal afwijzen, terwijl de omgekeerde volgorde altijd veilig is. Beide builds staan klaar op de uitrolpagina, en zelf bijwerken blijft uit tot de ondertekening van code is geregeld, dus deze builds bereiken apparaten via uitrol en niet via het manifest.
- De twee nieuwe engines beginnen leeg, en een stille eerste dag is correct gedrag en geen storing. De gedragsbasislijn zet detectie scherp na veertien dagen waarneming, dertig bij volledige gevoeligheid, en bouwt zichzelf elke nacht opnieuw op. Correlatie van uitbarstingen draait elk kwartier en heeft meerdere hosts binnen een venster nodig voordat er iets te groeperen valt.
Opgelost
- Vluchtige poorten op Windows werden gefilterd met het Linux-bereik, waardoor alles wat Windows daarboven uitdeelt er doorheen ging als een risico met de strekking dat maar een apparaat dit heeft. Op een enkel Windows-werkstation waren dat 282 poortrisico's. Het bereik wordt nu per platform gekozen, en Windows-onderdelen die op een schema draaien, zoals defragmentatie, de Defender-scanner, de beveiligingsstatusservice en de zoekindexeerder, zijn toegevoegd aan de toegestane processen. Software van derden staat daar bewust niet bij, zodat werkelijk nieuwe software op een apparaat nog steeds naar boven komt.
- Een vlootafwijking levert nu een risico per apparaat op in plaats van een per waarde. Een apparaat dat bij een kleine vloot komt is de eerste die vrijwel alles draait wat het heeft, dus een risico per unieke waarde maakte van een enkele gebeurtenis honderden regels in de wachtrij. De bevinding was nooit dat poort 8443 uniek is voor deze host, maar dat deze host dingen draait die niets anders draait: een bevinding met een lijst eraan. Een tweede unieke waarde werkt het bestaande risico bij in plaats van een nieuw te openen.
- Linux-kernelthreads waren blijvende afwijkingen. Een kernelthread noemt zichzelf naar de processorkern of de pool die hij bedient en naar het werkitem dat hij op dat moment uitvoert, zodat de naam per constructie uniek is voor de machine en het moment en nooit op een tweede apparaat kan voorkomen. Elke thread kreeg een eigen risicovermelding, en een grote host heeft er honderden.
- Linux-CVE's pasten op volledig gepatchte hosts. Distributies brengen geen nieuwe bovenstroomse versie uit om een beveiligingsfout te verhelpen, ze nemen de patch over en verhogen het verpakkingsnummer, en de versievergelijking begreep dat niet. Over de twee- tot drieduizend pakketten op een gangbare Linux-host was dat een grote en constante bron van onterechte bevindingen. Pakketten die door de distributie worden beheerd worden nu op hun eigen voorwaarden vergeleken.
- Een update die Windows niet van toepassing acht werd als mislukking vastgelegd, waardoor hij in aanmerking kwam voor opnieuw proberen: drie zinloze installatiepogingen en daarna een rode mislukking in het scherm die niemand kon wegwerken. Die staan nu geparkeerd als niet van toepassing, dezelfde staat die de catalogus al gebruikt wanneer hij die conclusie vanuit de scan trekt.
- Windows maakt sommige namen van geplande taken en gebruikersservices bij elke keer opnieuw aan met een nieuwe aanduiding, zodat ze onbewerkt nooit op de inventaris van gisteren konden passen en eeuwig als nieuw lazen. Sleutels normaliseren nu de vorm in plaats van het exemplaar.
- Een certificaat dat onbereikbaar werd loste zijn eigen melding op. Wanneer een meting mislukte door een time-out, een ontbrekend certificaat of een geblokkeerde route bleef het aantal resterende dagen leeg, wat las als gezond en een openstaand vervalrisico actief mitigeerde. Een endpoint dat onbereikbaar wordt verandert nu in geen van beide richtingen iets.
- De inventaris van software van derden rapporteerde niets op echte vloten, door drie op elkaar gestapelde fouten in de keten van de pakketbeheerder. Alle drie zijn verholpen.
- De regelbouwer bood veldnamen aan die de agent niet schrijft, zodat een regel die uit die keuzes was opgebouwd nergens op paste, voorgoed, zonder foutmelding. Elke veldnaam wordt nu getoetst aan wat agents werkelijk rapporteren, en vier inventarisverzamelingen werden voor het eerst beschrijfbaar in regels.
- De gedragsbasislijn meldde op gezonde machines eindeloos nul waargenomen dagen, omdat waarneming werd gemeten aan verdachte gebeurtenissen in plaats van aan de dekking van de telemetrie. Detectie komt op stille apparaten nu scherp te staan zoals bedoeld.
- Het in bulk wegzetten van een campagne kon een oordeel overschrijven dat een analist net had gezet. Dat gaat nu per zaak en laat een bevestigde zaak met rust. Het formulier voor eigen risicoregels kan bovendien niet meer worden gesloten door een losse toetsaanslag terwijl een bewaaractie loopt.
Beveiliging
- Contactgegevens over klanten heen via de behandelaar van een ticket, hoge ernst. De behandelaar van een ticket werd niet getoetst aan de klant van dat ticket, zodat een ticket kon worden toegewezen aan een gebruiker van een andere klant. Omdat de ticketpagina de contactgegevens van een behandelaar toont en een statuswijziging die persoon het ticketnummer en het onderwerp mailt, kon dit de contactgegevens van de ene klant in de andere publiceren en de onderwerpregels van deze klant de andere kant op laten weglekken. Dezelfde toets geldt nu ook voor het gekoppelde apparaat en de gekoppelde contactpersoon.
- HTML-injectie in uitgaande e-mail, hoge ernst. Ticketvelden die zijn geschreven door degene die het ticket meldde kwamen zonder ontsnapping in meldingsmails terecht, zodat geprepareerde tekst als werkende opmaak kon worden weergegeven binnen een echte, correct ondertekende Secuno-melding. Dat is een sterk hulpmiddel voor phishing, want de eigen beveiligingsleverancier van de ontvanger staat voor het bericht in. Elke invoeging in de tekst van een e-mail wordt nu ontsnapt.
- Padmanipulatie bij bijlagen, hoge ernst. De bestemming voor een upload werd opgebouwd uit een niet-gevalideerde ticketaanduiding. De vorm van die aanduiding wordt nu gevalideerd en van het opgeloste pad wordt afgedwongen dat het binnen de uploadmap blijft, opgeslagen bestandsnamen zijn willekeurig en dragen alleen een herkende extensie zodat de oorspronkelijke naam van een uploader nooit op schijf komt, en antwoordkoppen worden opgebouwd uit een toegestane lijst in plaats van teruggegeven. Ook bij het downloaden wordt opnieuw getoetst dat het pad binnen de map valt, zodat vermeldingen van voor deze verharding eveneens gedekt zijn.
- Een toegangsregel in plaats van zeven kopieen, hoge ernst. De toets op klantgrenzen was naar zeven methoden gekopieerd en de eigendomsregel werd in slechts drie daarvan toegepast, zodat een klantgebruiker een ticket kon wijzigen, becommentarieren en de bijlagen ervan kon downloaden terwijl de detailpagina hem dat ticket weigerde te tonen. Elke lees- en schrijfactie loopt nu via een enkele regel.