Alle release notes
Platform
Responsacties in Microsoft 365, wijzigingen die Secuno aan zijn eigen werk toeschrijft, patchbeleid op schaal en CVE-gegevens die niet meer verdwijnen
Microsoft 365 kan nu worden beantwoord, niet alleen bekeken: veertien nieuwe acties in vier families, elk achter een eigen toestemming, en een audit log-feed die doorstuurregels en verdachte app-toestemmingen uren eerder vindt dan de dagelijkse scan. Elke wijziging op een apparaat wordt nu getoetst aan een register van Secuno's eigen taken, zodat een patch die Secuno installeerde niet meer als verdachte wijziging leest, en een wijziging die geen enkele taak mag doen, extra zwaar weegt. Patchbeheer kreeg regels die afwijzen, beleidssjablonen voor alle klanten, een vlootoverzicht per KB en compliancerapporten. CVE's die CVE.org of GitHub al hadden ingevuld, werden leeggemaakt zodra NVD ze opnam; dat is opgelost en de getroffen CVE's zijn hersteld. Daarnaast een navigatie per taak, drie bronnen van valse meldingen minder, een strengere controle op remote-accesstools en vier bekende problemen die al lang openstonden, gesloten.
Nieuw
- Responsacties in Microsoft 365. Naast afmelden en een account uitschakelen zijn er veertien nieuwe acties in vier families, elk achter een eigen applicatietoestemming: accountherstel (een wachtwoordwijziging afdwingen bij de volgende aanmelding, een gebruiker als gecompromitteerd markeren of het gebruikersrisico intrekken in Entra ID Protection, MFA-methoden tonen en verwijderen), de mailbox (een inboxregel uit- of weer aanzetten of verwijderen, en alle externe doorstuurregels in één keer uitzetten), Defender-meldingen (oplossen en classificeren, desgewenst automatisch wanneer het Secuno-dossier sluit) en Intune-apparaten (synchroniseren, vergrendelen, herstarten, een Defender-scan of een handtekeningupdate). Een actie wordt alleen aangeboden als de tenant de bijbehorende toestemming heeft gegeven, en tenants die al hadden ingestemd, blijven werken zonder opnieuw toestemming te geven.
- Een gecompromitteerd account insluiten. Eén draaiboek schakelt het account uit, meldt het overal af, markeert het als gecompromitteerd, zet de externe doorstuurregels uit en dwingt een wachtwoordwijziging af, voor zover de tenant daar toestemming voor gaf. Elke stap wordt getoond als uitgevoerd, overgeslagen of mislukt. Ook nieuw: externe doorstuurregels verwijderen, app-toestemming intrekken en MFA-methoden resetten. Dat laatste wordt geweigerd zolang het account aan staat, omdat een aanvaller met het wachtwoord anders zelf de volgende methode registreert.
- Waar de acties staan en wat bewust ontbreekt. Op het tabblad Gebruikers opent één knop Respond een paneel met alle acties en met de MFA-methoden (telefoonnummers gemaskeerd), inboxregels en Intune-apparaten van de persoon. Identiteitsdossiers krijgen de accountacties en apparaatdossiers de Intune-acties, die ook een apparaat bereiken waarvan de agent offline is. In automatisering zijn zeven nieuwe acties beschikbaar, met drie bibliotheekregels die zoals elke regel in rapportagemodus beginnen. Bewust niet gebouwd: apparaten wissen of buiten gebruik stellen, rollen of app-rechten verwijderen, Conditional Access wijzigen, een Temporary Access Pass, en een wachtwoord dat Secuno kiest. Elk doel wordt eerst gecontroleerd tegen wat Microsoft Graph op dat moment voor die gebruiker toont, elke schrijfactie is één regel in het auditlog, en van een verwijderde inboxregel wordt de volledige definitie bewaard.
- De Microsoft 365 audit log-feed, per tenant in te schakelen. Secuno leest de Exchange- en Entra ID-activiteit uit de Office 365 Management Activity API en opent een dossier bij een inboxregel of mailboxinstelling die buiten de tenant doorstuurt, bij regels die mail verbergen zoals bij factuurfraude gebeurt, en bij toestemming voor een app met toegang tot mail of bestanden. Microsoft publiceert deze gebeurtenissen doorgaans 60 tot 90 minuten nadat ze plaatsvinden. Dat is uren sneller dan de dagelijkse scan, maar geen detectie binnen minuten.
- Was deze wijziging van ons? Elke wijziging in het wijzigingsrapport van een apparaat wordt nu getoetst aan een register van Secuno's eigen patch-, winget- en responstaken. Een wijziging telt alleen als verklaard wanneer het item, het tijdvenster en bij een binary ook de SHA-256 overeenkomen met een taak; een naam, pad of uitgever alleen is nooit genoeg. Verklaarde wijzigingen openen geen risico en tellen niet mee in aanvalsketens. Sommige categorieën mag geen enkele taak wijzigen, zoals tamper protection, Defender-uitsluitingen, de firewall, BitLocker, lokale beheerders, root-certificaten en het hosts-bestand: een wijziging daar wordt altijd minstens hoog. De tijdlijn van het apparaat toont per wijziging het oordeel, de reden, de taak en de bestandshash.
- Patchregels die afwijzen. Automatische goedkeuringsregels kunnen nu filteren op leverancier, product, KB, titel en alleen vervangen updates, en ook afwijzen. Afwijzen wint van goedkeuren, maar een regel wijst nooit een patch af waarover een mens besliste of die in de spoedbaan staat. Eén regel kan voor meerdere klanten van een partner gelden, en de editor toont live hoeveel patches hij raakt. Ook nieuw: een overzicht per KB over de hele vloot, bulkacties op tot 5.000 patches tegelijk, beleidssjablonen met ringen en uitrolbeleid die een partner op elke nieuwe klant kan toepassen, met afwijkingen gemeld, en compliancerapporten met een dagelijkse trend, export naar CSV en PDF en geplande verzending.
- Installatiestappen zonder scripts. Rond een update kan een vaste set stappen worden ingesteld: een service stoppen of starten, een proces sluiten, overslaan als een proces draait, wachten tot een service gezond is en een herstart vereisen. Beschermde services en processen kunnen nooit worden gestopt, en een service die vooraf werd gestopt, wordt altijd weer gestart. Een apparaat dat zeven dagen geen patchscan deed, telt als onbekend en blijft buiten het compliancepercentage.
- Een eigen oordeel over een risicoscore. Een analist die de ernst of score van een risico aanpast, ziet die wijziging niet meer verdwijnen bij de volgende herberekening: ze blijft staan als overschrijving met wie en wanneer, en kan met Terug naar berekende score ongedaan worden gemaakt. De scorekaart toont de modelscore, de AI-aanpassing en de overschrijving naast elkaar, en de lijst kan op score worden gesorteerd.
- Risicobehandeling, afgerond. De tijdlijn van een risico toont elk voorstel, elke goedkeuring, afwijzing en intrekking, met wie, het type behandeling en de motivering. Het overzicht van verlopende acceptaties toont de motivering, de compenserende maatregelen en wie voorstelde en goedkeurde. Goedkeurders krijgen een e-mail bij een voorstel en indieners bij een besluit.
- Een navigatie per taak. Het menu is ingedeeld in Overzicht, Reageren, Kwetsbaarheden, Endpoints, Postuur en Beheer. Terug vanuit een gekoppeld record brengt u terug naar waar u vandaan kwam, ook na verversen, in een nieuw tabblad of via een gedeelde link, en het terugadres moet een pagina van het platform zelf zijn.
- Het apparaattype kan met de hand worden ingesteld en blijft dan vast, tot iemand kiest voor automatisch herkennen op basis van het besturingssysteem.
Verbeterd
- Software die niet wordt gebruikt, is nu zichtbaar. Software telt als gebruikt wanneer een draaiend proces uit de installatiemap komt, en valt in actief, ongebruikt sinds 30, 90 of 180 dagen, in observatie, of niet meetbaar wanneer de software geen eigen installatiemap heeft. Eerder stond alles op nul dagen ongebruikt. Omdat de meting bij deze release opnieuw begon, kan niets eerder dan 90 of 180 dagen na de update als verouderd of ongebruikt gelden.
- Strengere controle op remote-accesstools. Een proces met de naam van AnyDesk, TeamViewer, ScreenConnect, Splashtop, Zoho Assist, LogMeIn/GoTo, Atera, TightVNC of NetSupport moet op Windows de geldige handtekening van die leverancier dragen; zonder die handtekening is het een hoge bevinding wegens vermomming. Op Linux beslist de pakketdatabase in plaats van het pad. Een naam op de toegestane lijst onderdrukt niets meer. Reken op nieuwe bevindingen in omgevingen die op die lijst leunden.
- Toegang tot LSASS. De uitzondering voor Microsoft-ondertekende processen geldt alleen nog voor beschermde processen en voor ondertekende binaries die niet voor misbruik bekendstaan en direct in de systeemmappen of de Defender-map staan. PowerShell en rundll32 die het geheugen van LSASS dumpen, worden daardoor niet langer overgeslagen. Reken op meer meldingen van onbeschermde software van derden; die horen op de lijst van de beheerder.
- Gewone procesketens worden geleerd. De agents tellen nu elk ouder-kindpaar en niet alleen verdachte, zodat een gewone keten zoals cmd.exe naar conhost.exe in de basislijn komt in plaats van elke nacht opnieuw te melden. Een afwijking die al op het apparaat is gemeld, wordt niet nog eens gemeld.
- Realtime detecties bereiken het platform betrouwbaarder. Batches die door het minimale interval werden tegengehouden, worden na het interval verstuurd in plaats van weggegooid, en detecties uit het gebeurtenislogboek, zoals DCSync, toegang tot LSASS, permanente WMI-abonnementen en het wissen van het beveiligingslogboek, gaan via het spoedkanaal.
- Bestandsdetecties noemen het proces dat het bestand schreef, gelezen uit de kerneltrace van Windows in plaats van afgeleid uit timing, en elke melding zegt hoe de toeschrijving tot stand kwam. Dit komt met de volgende Windows-agent.
- Achtergrondengines en rapportage. Een review van elk bekend gat in de engines leverde 23 oplossingen op. Geplande taken voor correlatie, Microsoft 365-scans, SLA-controles en automatische goedkeuringen draaien op de gedeelde planner, zodat een taak zichzelf niet meer kan overlappen. Een controlpagina toont tot 2.000 falende apparaten in plaats van 25, en een heropend onderzoek krijgt een nieuwe SLA-deadline.
- Telemetrietellers zeggen wanneer ze voor het laatst bewogen. Een apparaat dat weken geleden eenmalig gebeurtenissen verloor, leest niet meer alsof het dat nu doet: de waarschuwing verschijnt alleen bij verlies in de afgelopen 24 uur.
- Ernst ziet er overal hetzelfde uit. Ongeveer vijftien pagina's hadden eigen kleuren voor ernst; nu komt elke kleur uit één definitie, en een Important-patch en een hoog risico zien er hetzelfde uit.
- Elke wijziging aan het platform, de console en de Windows-agent wordt nu automatisch gebouwd en getest, en de set compliancecontrols is geversioneerd, zodat een control niet ongemerkt kan verschijnen of verdwijnen.
Gewijzigd
- Wijzigingsbatches met nog onverklaarde items zijn nu laag in plaats van informatief. Er zijn nog geen koppelingen met updates door browsers, gebruikers, Intune of andere RMM-tools, dus die lezen als onverklaard. Klanten die via Windows Update patchen in plaats van via Secuno, zien dit bij KB-batches.
- Agentwijzigingen uit deze release, zoals de nieuwe regels voor bestandsactiviteit en de ondertekende orders op Linux, worden gebundeld in één agentrelease voor Windows en Linux in plaats van los geleverd. Waar een oplossing ook een platformkant heeft, zoals de regel voor ontwikkeltools, geldt die al voor elke agent.
Opgelost
- CVE's die CVE.org of de GitHub Advisory Database al hadden ingevuld, verloren hun score, productregels, referenties en zwakheden zodra NVD ze opnam maar nog niet had geanalyseerd, en bleven leeg tot NVD klaar was. De import voegt nu samen: wat NVD heeft, wint, en wat NVD mist, behoudt wat een andere bron opsloeg. De al leeggemaakte CVE's worden eenmalig hersteld vanuit CVE.org.
- De KEV-weging bereikte de score van een risico niet, waardoor geen risico de KEV-bonus of de KEV-ondergrens kreeg. Dat is opgelost. Een risico met meerdere CVE's wordt nu gescoord op de meest misbruikte, de AI-aanpassing overleeft een herberekening, en bij een hogere ernst schuift de deadline naar voren, nooit naar achteren. Alle risico's zijn na de update opnieuw gescoord, dus KEV-risico's zijn gestegen.
- Vergelijkende gedragsdetectie viel ongeveer 48 uur na elke herstart van het platform stil, omdat een bewaard profiel na de nachtelijke herbouw niet werd ververst. Elke herbouw ververst het profiel nu meteen, en elk bewaard profiel wordt na een uur opnieuw gelezen.
- Drie bronnen van valse meldingen in de onderzoekswachtrij zijn gedicht: een buildtool die zijn cache leegt vanuit een beschermde map, een ondertekend installatieprogramma dat uitpakt in een tijdelijke map, zoals de updater van VS Code, en Windows dat zijn eigen geplande taken opnieuw registreert. Een ontwikkeltool of installatieprogramma zonder handtekening, of op een plek waar een gebruiker kan schrijven, houdt zijn volle gewicht. Een hernoemd apparaat toont nu onder welke naam het werd gedetecteerd.
- Bevoorrechte aanmeldingen op Linux kregen altijd de ernst hoog, ook als de agent een gewone root-shell van een beheerder via sudo als middel beoordeelde. Het dossier neemt nu het oordeel van de agent over.
- Vier bekende problemen die al lang openstonden, zijn gesloten: PDF-rapporten over zeer veel risico's lopen niet meer vast (ze tonen er tot 500 in detail en tellen alles mee), het instellen van tweestapsverificatie herstelt van een QR-code die niet laadt, opmaak in kennisbankartikelen en ticketreacties wordt nu getoond, en Risico's, Scanverzoeken, Taken en Auditlogs werken op een telefoon.
- Dubbele patchvermeldingen voor dezelfde KB, ontstaan doordat agents tegelijk rapporteerden, zijn samengevoegd met behoud van elke beslissing van een beheerder, en kunnen niet meer ontstaan.
- Hiaten in de auditdekking openden een dossier wegens manipulatie van bewijs. Zo'n dossier opent nu alleen bij een echte wijziging van het auditbeleid, en open dossiers die alleen op een hiaat berustten, zijn gesloten.
- Het bewerken van een partnergebruiker of van de gegevens van een partner werd niet opgeslagen. Verder staat de risicowachtrij standaard weer op nieuwste eerst, knipt het Microsoft 365-instellingenscherm geen kaarten meer af, en toont afgekapte tekst bij aanwijzen de volledige waarde.
Beveiliging
- De Linux-agent voert vanaf versie 0.48 alleen nog actieorders uit die het platform heeft ondertekend, zoals de Windows-agent al deed. Een niet-ondertekende of onverifieerbare order wordt geweigerd, alleen het ondertekende document wordt uitgevoerd, en een order is gebonden aan het apparaat waarvoor hij is uitgegeven en verloopt. Dit komt met de volgende agentrelease.
- De console stuurt nu HSTS met includeSubDomains en preload, gelijk aan wat de API al stuurde.