Secuno
ENNL
Boek demo
Alle release notes
Platform

Aanvalsverhalen, terugkijken hoe de aanvaller binnenkwam, patches die eindigen met een gezonde herstart en tenantscheiding in de database

v0.0.58Groot

Twee functies die vanaf het begin op de roadmap stonden, zijn er. Secuno maakt van de signalen op een apparaat nu één aanvalsverhaal met een oordeel en de volgende actie, en wanneer een analist een aanval bevestigt, kijkt het platform negentig dagen terug om te vinden wanneer de aanvaller waarschijnlijk binnenkwam, met de NIS2-meldingen als concept klaar. Patchen maakt het werk nu af: een installatie is pas klaar als het apparaat opnieuw is gestart en gezond terugkwam. Daaronder worden de gegevens van elke klant door de database zelf gescheiden, en gebruikers kunnen zich aanmelden met Microsoft Entra ID of Google. Compliance is opnieuw opgebouwd rond bewijs waar een auditor mee verder kan, Microsoft 365 kreeg eigen detecties van Secuno, websites kunnen van buitenaf worden gecontroleerd en zes bronnen van valse meldingen in de onderzoekswachtrij zijn gedicht.

Nieuw

  • Aanvalsverhalen. Signalen van één apparaat worden gegroepeerd op processtamboom en een venster van tien minuten, inclusief configuratiewijzigingen en gedragsafwijkingen, en vergeleken met zestien bekende aanvalspatronen. Het resultaat is één incident met een oordeel, een betrouwbaarheidsscore, een MITRE-tijdlijn met één regel per stap en, bij een bekend patroon, de concrete actie die de technicus nu moet nemen. Activiteit die hetzelfde account naar een ander apparaat volgt, wordt één verhaal over meerdere apparaten, altijd kritiek. Een betrouwbaar verhaal opent een onderzoek en dat dossier is leidend: de beslissingen van de analist bepalen het oordeel, en alleen menselijke beslissingen tellen als vals positief. Drie keer vals positief op hetzelfde patroon zet het voor die klant negentig dagen stil, en voor niemand anders.
  • Dwell time forensics. Wanneer een analist een aanval als actief of ingedamd bevestigt, worden de laatste negentig dagen van het apparaat opnieuw gelezen met kennis van de signalen en tactieken van de bevestigde aanval. Activiteit die destijds onder de meldingsdrempel bleef, wordt opnieuw gescoord, en de vroegste dag die met de aanval samenhangt wordt de vermoedelijke eerste toegang, met een betrouwbaarheid van hoog, middel of laag, een uitspraak over de omvang op basis van wat het apparaat kon bereiken, en de NIS2 Artikel 23-termijnen vanaf zowel de vermoedelijke eerste toegang als de detectie. Als niets boven de drempel uitkomt, zegt de analyse dat in plaats van een datum te gokken.
  • Concepten voor NIS2 Artikel 23. Voor een bevestigde aanval worden de vroegtijdige waarschuwing binnen 24 uur en de incidentmelding binnen 72 uur opgesteld in het Nederlands en Engels, met de tijdlijn, de voorlopige omvang en, voor de melding, de beoordeling, de oorzaak en de maatregelen. Elke versie is genummerd en wordt daarna nooit gewijzigd, en verzending wordt vastgelegd met wie, wanneer en aan wie. De tekst is een concept dat de organisatie aanvult. Secuno verstuurt zelf niets.
  • Een samenvatting in gewone taal bovenaan klantrapporten. Rapporten met een risicosamenvatting en een managementsamenvatting openen nu met de alinea's die een klantmanager als eerste leest, in het Nederlands met Engels eronder: wat werd bewaakt, wat werd geblokkeerd, wat is afgehandeld, wat nog actief is en wat eraan te doen valt. Ze worden geschreven vanuit de aanvalsverhalen van de periode, zodat een rustige maand ook zo leest.
  • Patches eindigen met een herstart. Een uitrolbeleid per klant regelt levering, herstarts, controles vooraf en meldingen, elk getoond als gewone zin. Apparaten herstarten één keer per set installaties, via vijf standen van nooit tot afgedwongen, met een melding in de huisstijl van de klant die de echte deadline en het resterende uitstel toont. Werkplekken krijgen standaard vier keer uitstel en een deadline van 72 uur, nooit tussen 22:00 en 07:00 lokale tijd, en servers herstarten nooit uit zichzelf. Een kioskprofiel is één klik.
  • Kwam het gezond terug? Na een herstart meldt de agent zich met bewijs: gestopte services, bugchecks, opstartlussen en crashpieken laten het plan mislukken en tellen mee voor de uitrolring, en een apparaat dat niet terugkomt levert een bevinding op. Een terugmelding zonder bewijs wordt vastgelegd als niet gemeten, nooit als gezond.
  • Zes controles voor elke installatie: schijfruimte, stroom, een verbinding met datalimiet, iemand die presenteert, een herstart die al openstaat en de eerste tien minuten na het opstarten. Een tegengehouden installatie gaat terug in de wachtrij en zegt waarom, en wat langer dan 72 uur vastzit wordt een risico. Batches passen in de resterende tijd van het onderhoudsvenster, en inhoud kan vooraf worden gedownload.
  • Urgentiebanen met een klok. Elke patch krijgt een baan: Spoed (24 uur) voor alles wat actief wordt misbruikt, op de KEV-lijst staat, een hoge EPSS-score heeft of bij een open incident hoort; Versneld (72 uur); Standaard (14 dagen); en Uitgesteld (60 dagen) voor stuurprogramma's, functie- en definitie-updates. Een responder kan een CVE markeren als bij een klant misbruikt, waarna elke oplossing ervoor naar Spoed gaat. Servers kunnen in volgorde herstarten, een paar tegelijk, met een gezondheidscontrole ertussen.
  • Single sign-on met Microsoft Entra ID en Google. Elke klant bepaalt of SSO is toegestaan, welke providers, bij welke Entra-tenant of Workspace-domein de accounts moeten horen en of het wachtwoord blijft. Het account moet al bestaan, dus SSO verandert hoe iemand aantoont wie hij is, niet wie er binnen mag. SSO verplicht stellen is een aparte, bevestigde beslissing die de eigen beheerder van een klant niet voor de eigen organisatie kan nemen.
  • Beveiligingssleutels en passkeys. FIDO2-sleutels en passkeys zoals Windows Hello en Touch ID kunnen als tweede factor naast de authenticator-app worden gebruikt, met maximaal tien benoemde sleutels per gebruiker.
  • Compliance, opnieuw opgebouwd. 107 controls over zeven kaders: CIS Controls v8, ISO 27001, SOC 2, DORA, NIST CSF, NIS2 en de AVG. Organisatorische eisen zoals incidentrespons, back-ups en bewustwordingstraining worden bevestigd door een benoemde persoon met een toelichting en een herziedatum, en één bevestiging telt voor dezelfde eis in elk kader. Een control die op één apparaat van de tweehonderd faalt, is nu bijna compliant in plaats van een rode tekortkoming. Nieuwe weergaven: een portfolio van alle klanten op één kader, campagnes die één verbetering over veel klanten uitvoeren, een simulator die laat zien wat een verbetering oplevert, een kalender, en alleen-lezen links voor auditors die verlopen, met een wachtwoord kunnen worden beveiligd en kunnen worden ingetrokken, en nooit hostnamen of andere klanten tonen.
  • Webblootstelling. De websites van een klant worden gecontroleerd zoals elke browser ze ziet: bevindingen over certificaat, TLS en beveiligingsheaders uit een bewust smalle passieve controle die nooit crawlt, geen formulier verstuurt en geen payload stuurt, met een cijfer van A tot F. Elke bevinding citeert de header of het certificaatveld dat haar veroorzaakte. Sites waarvan de eigenaar controle heeft aangetoond, kunnen een vaste set controles krijgen op blootgestelde bestanden zoals .git en .env, bevestigd op inhoud en zonder dat de inhoud ooit wordt opgeslagen.
  • Eigen Microsoft 365-detecties van Secuno. Een aanmelding die wordt tegengesproken doordat de laptop van de gebruiker in een ander land staat, een geleerde basislijn van de landen waar elke tenant en elke persoon zich vandaan aanmeldt, en een geslaagde aanmelding na password spraying. Drie van de vier hebben geen Entra ID P2-licentie nodig, en dat telt voor de vele tenants op Business Premium. Risicovolle aanmeldingen tonen nu of MFA werd voldaan, de applicatie, het apparaat en welke Conditional Access-beleidsregels van toepassing waren.
  • Microsoft 365-controls en respons. Zevenentwintig controls in acht secties, elk met de verwijzingen naar CIS Microsoft 365 Foundations en CISA SCuBA, na elke scan vastgelegd als geslaagd, niet geslaagd of niet te beoordelen. Optionele controles voor Exchange Online dekken het doorsturen van mailboxen, externe transportregels, delegatie en auditlogging. Bij tenants die daarvoor kiezen, kan een analist een gebruiker vanuit het dossier overal afmelden of het account uitschakelen, en break-glass-accounts kunnen worden aangemerkt zodat ze niet langer de zwaarste MFA-bevinding geven.
  • Vlootoverzicht. Medewerkers van een partner zien elke klant op één regel, met de actieve aanvalsverhalen, de geblokkeerde aanvallen van deze week, niet-beoordeelde afwijkingen en de zwakste basislijn van een apparaat, slechtste eerst.
  • Werken met de risicolijst. Zet een risico met een reden uit tot een datum, leg vast dat het ene risico op het andere wacht, zie een lopende aftelling naar elke deadline en lees precies welk veld een wijziging aanpaste. Verwijzingen noemen nu de klant, zoals ALPL-00012, op risico's, onderzoeken, tickets en incidenten. Tickets krijgen tijdregistratie, en onderdrukkingsregels kunnen gekozen meldingen stilzetten tijdens een aangekondigd onderhoudsvenster.

Verbeterd

  • Eenenveertig aanvalsketens in plaats van acht. Realtime detecties zoals een gewist beveiligingslogboek of een handle op LSASS kunnen nu een keten vormen met een configuratiewijziging zoals een uitgeschakelde virusscanner, wat eerder onmogelijk was. Vier ketens openen als mogelijk in plaats van vermoed, zodat de twijfel op het dossier staat.
  • Detectie die lastiger te ontwijken is. Opdrachtregels worden genormaliseerd en gedecodeerd voordat ze worden beoordeeld, zodat carets, aanhalingstekens, trucs met variabelen en gecodeerde PowerShell een bekende opdracht niet langer verbergen. Een vervalst ouderproces wordt gedetecteerd en de echte maker benoemd. Het stoppen van de eigen tracesessie van de agent is zelf een detectie. Nieuwe dekking omvat tokenmanipulatie, tools voor exfiltratie naar de cloud, UAC-omzeiling via een gekaapte handler en manipulatie van AMSI. Apparaten die voorbij het einde van de leveranciersondersteuning draaien, worden daar nu op beoordeeld.
  • Een beëindiging kan niet meer het verkeerde proces treffen. Ze draagt het image en de starttijd die de detectie zag, en een nieuwe actie beëindigt de hele procesboom, omdat de versleutelaar vaak een kind is van wat werd gedetecteerd.
  • Elke detectie houdt haar bewijs. Een dossier dat vanuit een aanvalsverhaal wordt geopend, toont elk onderliggend record met elk veld dat de agent stuurde, getimed op de gebeurtenis zelf, zodat de tijdlijn laat zien welk account wiens inloggegevens gebruikte in plaats van alleen de categorie.
  • Linux-kwetsbaarheden uit de eigen adviezen van distributies. Adviezen van Ubuntu, Debian, Alpine, Rocky Linux, AlmaLinux en openSUSE worden gelezen en vergeleken volgens de versieregels van elke pakketbeheerder, zodat een door de distributie teruggezette oplossing wordt herkend. Windows zelf wordt nu op buildniveau vergeleken met Windows-CVE's.
  • EPSS-geschiedenis. Elke CVE toont negentig dagen aan exploitvoorspellingen, en een klant met een open risico voor een CVE krijgt een melding wanneer de score sterk stijgt.
  • Herstellen vanuit het risico. Een CVE-risico toont de Windows-update die het oplost en, per apparaat, de upgrade van het pakket van derden, met een knop Remediate die de upgrade voor alleen dat ene apparaat goedkeurt.
  • Apparaatgroepen zeggen iets over risico. Beheerders kunnen uit een vaste lijst redenen vastleggen wat een agent niet kan meten, zoals een segment dat niet bereikbaar is of een apparaat met gereguleerde gegevens. De aanpassing is begrensd, verschuift een bevinding nooit meer dan één ernstklasse en staat apart van de gemeten maatregelen.
  • Zeven rapporttypes, met een Microsoft 365-postuurrapport inclusief de sectie met controls en een tabel met webblootstelling in risico- en managementsamenvattingen.
  • Nu synchroniseren. Een knop op de apparaatpagina vraagt de agent nu om een nieuwe heartbeat, inventaris en patchcontrole, beantwoord in ongeveer dertig seconden, in plaats van te wachten op de volgende ronde.

Gewijzigd

  • Een campagne die vrijwel de hele vloot tegelijk raakt, wordt nu vastgehouden als vermoedelijke vlootgebeurtenis zodat de partner beslist. Blokkades blijven staan en dossiers blijven open tot iemand bevestigt, in plaats van automatisch te worden opgeheven.
  • Herhaalde signalen komen in het open dossier terecht. Een dossier dat nog niemand heeft aangeraakt, neemt een dag lang zijn eigen soort signaal op, in plaats van elk half uur een nieuw identiek dossier.
  • Een betaalde module uitzetten voor een klant stopt nu de module zelf en niet alleen de pagina: de klant valt uit geplande scans en opvragingen, en de bevindingen blijven bewaard maar worden niet getoond tot de module weer aan staat.
  • Geüploade bestanden, zoals ticketbijlagen en risicobewijs, staan nu op blijvende opslag en overleven elke update.

Opgelost

  • Zes bronnen van valse meldingen in de onderzoekswachtrij zijn gedicht, waaronder systeemprocessen die als vermomming werden gelezen, databaseonderhoud van Windows dat als diefstal van inloggegevens werd gelezen, builds en installatieprogramma's die als ransomware-bestandsactiviteit werden gelezen, JavaScript- en Java-runtimes die als geïnjecteerde code werden gelezen, en de eigen sudo van een Linux-beheerder die als misbruik van inloggegevens werd gelezen. Apparaten blijven de oude bevindingen geven tot hun agent is bijgewerkt.
  • Het Windows-installatieprogramma kon zijn service op een schone machine niet registreren en gaf rechten de schuld. Elk eerder installatieprogramma had dit, en bijwerken ter plaatse behoudt nu de identiteit en instellingen van het apparaat.
  • Windows-apparaten vernieuwden hun identiteitssleutel nooit. Elke poging werd stil overgeslagen; vernieuwen werkt nu zoals bedoeld elke 30 dagen.
  • Eén nieuw agentveld kon een apparaat anderhalve dag offline halen, omdat het platform de hele heartbeat weigerde. Elk veld dat de agents kunnen sturen, wordt nu in de testsuite tegen het platform gecontroleerd.
  • Treffers op de indicatorfeed openden nooit een dossier. Ze openen nu een onderzoek met de naam van het bestand, domein of adres dat het apparaat bereikte, en een verkeerd opgebouwde feed kan apparaten niet langer van hun opdrachten afsnijden.
  • Gecorreleerde CVE-risico's verloren hun CVE's en CVSS terwijl andere apparaten nog kwetsbaar waren, en een terechte Chrome-CVE werd als informatief verborgen naast een open hoog risico voor dezelfde installatie. Beide zijn opgelost en herstellen zichzelf bij de volgende volledige beoordeling.
  • Een USB-stick werd gemeld als uitgeschakelde BitLocker met kritieke ernst. Verwisselbare schijven zijn nu een middelzware bevinding die sluit zodra de schijf wordt verwijderd.
  • Risico's voor onmogelijke reizen bij aanmeldingen op Secuno werden op de verkeerde schaal gescoord en kloppen nu.

Beveiliging

  • De gegevens van elke klant worden nu gescheiden door de database zelf, onder de controles van de applicatie. Een query die zijn tenantfilter vergeet, geeft niets terug. Voordat dit aanging, is elke lijst- en detailroute als vijf soorten gebruiker vergeleken met en zonder afdwinging: van 1.045 vergelijkingen waren er 1.009 gelijk, en elk verschil was bedoeld. Een verzoek om het record van een andere klant geeft nu niet gevonden in plaats van geen toegang, zodat het niet meer bevestigt dat het record bestaat.
  • Een beveiligingsreview met een account met de laagste rechten heeft invoerlimieten op elk tekstveld aangescherpt, uploads beperkt tot een lijst toegestane bestandstypen, drie opvragingen beperkt tot de eigen klant van de aanvrager en de service bestand gemaakt tegen een golf misvormde verzoeken.
  • Elk uitgaand verzoek dat het platform namens een klant doet, maakt nu verbinding met precies het adres dat het heeft gecontroleerd. Daarmee is een venster gesloten waarin een kwaadwillende naamserver de tweede keer een ander antwoord kon geven.
  • Ondersteuning namens een gebruiker met een volledig spoor: maximaal dertig minuten, altijd met een banner, en elke actie vastgelegd als de beheerder die namens de gebruiker handelt. Beheerders kunnen een gebruiker ook in één keer uit alle sessies afmelden, en medewerkers met beheerrechten zien in het auditlog alleen nog de vermeldingen van hun eigen klanten.