Secuno
ENNL
Boek demo
Alle release notes
Platform

Laterale insluiting, detectiepakketten met Sigma en YARA, een gemeten oordeel op elk dossier en de firewall als bron

v0.0.60Groot

De paden tussen werkplekken waarlangs een inbraak zich door een bedrijf verspreidt, kunnen nu worden gezien, tijdelijk afgesloten en op basis van wat elke werkplek leert blijvend dichtgezet. Nieuwe detecties bereiken apparaten voortaan als ondertekende Sigma- en YARA-pakketten in plaats van te wachten op een agentrelease, en elk dossier krijgt een oordeel dat is gebaseerd op hoe vaak de detecties erop eerder gelijk hadden. Bereikbaarheid wordt gemeten aan verbindingen die echt binnenkwamen, en een FortiGate of Meraki kan alleen-lezen worden gekoppeld, zodat de perimeter wordt gemeten in plaats van beschreven. Darkwebmonitoring en dreigingsinformatie worden behandeld als elk ander risico, met drie nieuwe bronnen. De kritieke en hoge bevindingen uit de beveiligingsreview van 28 september zijn gesloten, net als een lange reeks bevindingen uit een codereview van het hele platform. Daarnaast servicedesk-SLA's, SCIM-provisioning, file integrity monitoring en tientallen kleinere toevoegingen. De agents Windows 0.59 en Linux 0.51 zijn op 10 oktober uitgebracht.

Nieuw

  • Laterale insluiting. De meeste inbraken die van één pc naar het hele bedrijf gaan, gebruiken diensten die werkplekken van elkaar accepteren en zelden nodig hebben: bestandsdeling, RPC, extern bureaublad en PowerShell-remoting. Eén risico per organisatie telt hoeveel Windows-werkplekken die diensten vanaf het lokale netwerk accepteren, hoeveel open paden dat zijn en hoeveel daarvan de afgelopen 28 dagen werden gebruikt, met een tabblad Laterale insluiting per werkplek. Laterale quarantaine is een tussenstap tussen observeren en isoleren: het apparaat verliest elke verbinding met het interne netwerk en houdt internet, dus browser, mail, Teams en OneDrive werken, de bestandsserver, printers en andere pc's niet. Zonder contact met het platform heft de quarantaine zichzelf na twaalf uur op. Een bediening met drie standen (observeren, laterale quarantaine, geïsoleerd) staat op het apparaat, het dossier en aanvalsverhalen, en zegt vooraf wat de gebruiker verliest.
  • Geleerde segmentatie, per organisatie in te schakelen. Elke Windows-werkplek leert welke interne apparaten via welke dienst verbinding met hem maken, zonder gebruikersnamen. Na vier weken, en zodra negen op de tien werkplekken genoeg hebben geleerd, wordt een beleid voorgesteld dat elk lateraal pad sluit behalve de geziene verbindingen en de aangewezen beheerbronnen. Een mens beoordeelt en keurt goed, waarna het beleid ring voor ring wordt uitgerold, zichzelf pauzeert als drie apparaten in een ring dezelfde peer verliezen, en met één klik kan worden teruggedraaid. Verbindingen die het beleid tegenhoudt, worden gelezen als signaal: één bron die binnen tien minuten op drie werkplekken wordt tegengehouden, is een dossier wegens een laterale scan. De privacyverklaring noemt de verbindingsgegevens en hoe lang ze worden bewaard.
  • Detectiepakketten. Nieuwe detecties bereiken apparaten nu als ondertekende pakketten, met een sleutel die voor niets anders wordt gebruikt, in plaats van te wachten op een agentrelease. Sigma-regels lezen elk kanaal dat de agent volgt: processtarts, PowerShell-scriptblokken, de Security-, System- en Defender-logboeken, WMI en DNS, en Sysmon waar een beheerder dat heeft geïnstalleerd. Secuno installeert Sysmon nooit zelf. YARA scant nieuwe bestanden en procesgeheugen met een engine die Secuno zelf voor de agents schreef: van 12.450 publieke regels compileert en draait 99,0%, en op 21.817 testbestanden gaf de engine voor elke regel hetzelfde oordeel als de referentie-implementatie. Een treffer meldt de regel en de positie, nooit de inhoud van het bestand. Windows en Linux krijgen dezelfde engines.
  • Live, schaduw of uit, per klant. Communityregels beginnen in schaduw: ze worden geëvalueerd en geteld maar melden niets, en gaan na veertien dagen alleen live als ze zelden raken. Een stabiel pakket met 32 regels staat voor elke klant aan; een testpakket met 2.218 Sigma-regels en een YARA-pakket met 2.919 regels staan uit tot een klant ze aanzet. Een klant kan eigen Sigma-regels toevoegen, die meteen worden gecontroleerd en alleen naar de eigen apparaten gaan. Een communityregel meldt hooguit hoog en start alleen een automatische actie als een responsregel hem bij naam noemt. Het dekkingsoverzicht toont welke ATT&CK-technieken worden gedetecteerd en welke regels niet kunnen afgaan omdat de telemetrie ervoor ontbreekt.
  • Een gemeten oordeel op elk dossier. Bij het sluiten van een dossier wordt vastgelegd wat het was: kwaadaardig, echt maar toegestaan, vals positief of duplicaat. Daaruit houdt het platform per detectie, per klant en over de vloot bij hoe vaak die gelijk had, met een voorzichtige ondergrens naast het gewone percentage. Elk open dossier krijgt een oordeel: waarschijnlijk kwaadaardig, waarschijnlijk onschuldig of heeft u nodig, met de redenen erbij. Diefstal van inloggegevens, canaries, het wissen van logboeken, manipulatie en indicatortreffers kunnen nooit onschuldig heten. Zelfstandig sluiten staat per klant uit en gebeurt alleen bij detecties die over minstens vijftig beslissingen in het slechtste geval 95% van de tijd onschuldig waren. Tot er genoeg uitkomsten zijn, staat elk dossier op heeft u nodig.
  • Automatisering verdient handhaving. Een regel die op dossiers of risico's ingrijpt, kan pas van rapportage naar handhaving als minstens twintig van zijn treffers zijn beoordeeld en in het slechtste geval 80% daarvan kwaadaardig bleek, en gaat vanzelf terug naar rapportage als zijn handhaving het tegendeel laat zien. Verder nieuw: apparaten als trigger (ingeschreven, offline, weer online), acties zoals een YARA-sweep of een herstart binnen het venster, wachttijden en afkoelperiodes, versiegeschiedenis per regel, en een regel die zichzelf zou triggeren, wordt als lus gestopt.
  • Gemeten bereikbaarheid. De agents rapporteren nu per luisterende poort hoeveel verbindingen werden geaccepteerd en vanaf hoeveel adressen, gesplitst in subnet, privé en internet, uit de TCP-tabel die ze al lazen: geen scans en geen probes. Een waarneming kan het niveau alleen verhogen: een poort met peers van internet maakt het apparaat internetgericht, wat de locatie ook verklaarde. De blootstellingskaart toont het als een zin die een technicus op de host kan controleren, zoals poort 3389 accepteerde 14 verbindingen van 3 internetadressen in de afgelopen 30 dagen. Wanneer verkeer een firewallrecord tegenspreekt dat geen inkomend verkeer verklaart, volgt één hoog risico.
  • De firewall als bron. Een Fortinet FortiGate (rechtstreeks, met een alleen-lezen beheerder) of Cisco Meraki MX (via de Meraki-cloud) kan alleen-lezen worden gekoppeld. Een inloggegeven dat kan schrijven, wordt geweigerd, het certificaat van een FortiGate wordt vastgezet, en Secuno schrijft nooit naar een firewall. De configuratie vult de antwoorden van de vragenlijst met gemeten waarden, een port forward naar een luisterend apparaat maakt dat apparaat internetgericht, en de configuratie levert risico's op zoals beheer bereikbaar vanaf internet, beheerders zonder tweede factor, firmware met bekende kwetsbaarheden en VPN zonder MFA. IPS-, malware-, VPN- en beheerdersgebeurtenissen worden elke vijf minuten gelezen en openen een dossier of voegen zich bij een bestaand. Andere merken houden de vragenlijst.
  • DNS-tunnels gemeten aan volume, en verkenningsreeksen. Beide agents meten per programma en domein over tien minuten hoeveel verschillende subdomeinen werden gevraagd en hoe vaak die terugkwamen, zonder lijst van toegestane domeinen: het eigen kanaal van een product herkent het platform doordat hetzelfde ondertekende programma met hetzelfde domein bij drie of meer klanten voorkomt. Daarnaast worden verkenningsopdrachten zoals whoami en net group per procesboom gegroepeerd en beoordeeld op breedte, en een routine die een apparaat dagelijks draait, zakt vanzelf. Beide zijn eerst bewijs op het apparaat en in aanvalsverhalen; dossiers openen is per klant in te schakelen.
  • Nieuwe apparaten gemeten aan vergelijkbare. Een apparaat zonder eigen geschiedenis leent, per klant in te schakelen, de basislijn van minstens vijf vergelijkbare apparaten met een volwassen basislijn. Gedrag dat de peers ook vertonen, geldt als normaal, nieuw gedrag wordt alleen gemeld zonder een dossier te openen, en zodra de eigen basislijn volwassen is, telt alleen die nog. Gedrag weegt nu begrensd mee in aanvalsverhalen, een sterke afwijking zonder regel opent een dossier dat om een mens vraagt, en een nieuwe pagina Gedragsbasislijn toont per organisatie de afwijkingen en hoe volwassen de basislijn van elk apparaat is.
  • Darkwebmonitoring en dreigingsinformatie, behandeld als risico. Bevindingen hebben een levenscyclus met een eigenaar, een kritieke of hoge bevinding of een gelekt wachtwoord maakt meteen een risico aan en waarschuwt de juiste mensen, en een gelekt wachtwoord sluit pas na een vastgelegde actie zoals een reset of MFA. Wanneer een apparaat mislukte aanmeldingen ziet op een account met een open wachtwoordlek, volgt één bevestigd kritiek dossier. Elke bevinding krijgt een betrouwbaarheid, hetzelfde lek over meerdere accounts en klanten wordt gegroepeerd, partners krijgen een blootstellingsportfolio over al hun klanten, en een Threat and Exposure Briefing in PDF vat per organisatie samen wat werd gevonden en wat eraan werd gedaan.
  • Drie nieuwe bronnen voor dreigingsinformatie: geregistreerde lookalike-domeinen van de organisatie (hoog wanneer ze mailservers hebben, omdat ze dan in naam van de organisatie kunnen mailen), publiek leesbare cloudopslag bij AWS, Google Cloud en Azure met de naam van de organisatie, met de kanttekening dat die naam ook van een ander kan zijn, en vermeldingen op leksites van ransomwaregroepen, gematcht op domein en nooit op bedrijfsnaam.
  • Webblootstelling ziet kwetsbare componenten. Een scan leest nu de JavaScript-bibliotheken (een vaste lijst van 22, waaronder jQuery, Bootstrap, AngularJS en Lodash) en de WordPress-plugins en -thema's die een site laadt, uit de pagina die al werd opgehaald. Op een site met een geverifieerd domein worden hooguit tien kleine versiebestanden gelezen om dat te bevestigen, en er wordt niets met een woordenlijst opgesomd. Eén bevinding per component noemt de CVE's en de laagste versie die ze allemaal oplost. Adviezen voor WordPress komen uit de Wordfence Intelligence-feed.
  • File integrity monitoring. Het agentbeleid krijgt een lijst bestanden en mappen om te bewaken, zoals het hosts-bestand of een SSH-configuratie. Elke vijf minuten meldt de agent wat werd aangemaakt, gewijzigd of verwijderd, met de SHA-256 ervoor en erna, en elk bestand wordt minstens dagelijks opnieuw gehasht, zodat een wijziging die grootte en tijdstip terugzet toch wordt gezien. Wijzigingen overleven een herstart of een lange storing en worden 180 dagen bewaard. Windows 0.59 en Linux 0.51 bevatten een eerste versie.
  • Patchbeheer. Feature-update-ringen rollen een Windows-release zoals Windows 11 24H2 uit via de patchringen van de klant, laten Windows Server met rust en respecteren een vastgezette release uit Group Policy of Intune; ze worden eerst in een pilot beproefd voordat klanten ze gebruiken. Driverupdates zijn per beleid in te schakelen. Een goedkeuring gaat over op de update die de vorige vervangt, Defender-definitie-updates verdwijnen uit de patchlijsten, en een laptop die na een avondherstart dichtging, krijgt tot zijn gewone online-uur om terug te komen. De spoedbaan gaat nu ook vanzelf open wanneer een gekoppelde firewall of een detectieregel misbruik van die CVE op het apparaat ziet.
  • Microsoft 365. Een bevinding opent een zijpaneel met wat de scan zag, waarom het telt, hoe het op te lossen is en de CIS- en CISA SCuBA-verwijzingen, en een gebruiker opent een paneel met accountstatus, MFA, rollen en aanmeldlanden. Nieuwe bevindingen: een Secure Score onder een drempel, ingeschakelde accounts die door geen enkel MFA-beleid worden bereikt, permanente beheerdersrollen naast Privileged Identity Management, apps van niet-geverifieerde uitgevers met brede rechten, toestemmingen van uitgeschakelde accounts en gedeelde mailboxen die zich kunnen aanmelden. Microsoft 365 staat nu in de managementsamenvatting en de periodevergelijking, en verlopende certificaten en geheimen staan in de agenda.
  • Rapportage. Een geplande rapportage kan vooraf worden bekeken, partners krijgen een portfoliorapport over al hun klanten, elk rapport kan een toelichting, een watermerk en een ondertekening krijgen, en een knop op de klantpagina maakt in één klik een bestuursrapport met de postuurscore, de drie belangrijkste risico's, compliance per kader en de volgende stappen.
  • Servicedesk. Elk nieuw ticket krijgt per prioriteit een doel voor de eerste reactie en voor de oplossing, met een maandelijks SLA-rapport per klant. Het audittrail van een ticket legt elk gewijzigd veld vast. Wachtende tickets komen na hun datum vanzelf terug, gemiste streefdata worden gemeld, en er zijn bulkacties, export, gedeelde opgeslagen weergaven en een maandelijks urenrapport met declarabele tijd. E-mail naar ticket is gebouwd en staat standaard uit.
  • Apparaten. De apparaatpagina opent met een gezondheidsscore van 0 tot 100, met de onderdelen ervan en een trend over 90 dagen. Nieuwe tabbladen tonen systeeminterne gegevens (drivers, services, WMI-abonnementen, root-certificaten) en een vergelijking met een eerder moment of met een ander apparaat, inclusief kwetsbaarheden. Een topologietabblad plaatst elk apparaat in zijn netwerksegment, en het klantoverzicht rangschikt de tien ergste combinaties van zwakheden op één apparaat. Agentconnectiviteit toont welk deel van de verzoeken van de agent slaagde.
  • Gebruikers en toegang. SCIM 2.0-provisioning vanuit bijvoorbeeld Entra ID of Okta, gebruikers importeren uit CSV, een overzicht van aanmeldlocaties met een melding bij een land dat het account 90 dagen niet gebruikte, en een overzicht van wat elke rol mag. Het beveiligingsbeleid per organisatie (wachtwoordregels, time-outs en tweestapsverificatie per rol) wordt nu echt afgedwongen, en een gedeactiveerde organisatie verliest meteen toegang.
  • En verder: een bord met risico's per status, risico's importeren uit CSV, één ticket om een kwetsbaarheid op alle getroffen apparaten te patchen, escalatiebeleid per klant voor kritieke dossiers die niemand oppakt, een dagelijkse of wekelijkse samenvattingsmail, de geschiedenis van de postuurscore, eigen velden op apparaten, risico's en tickets, een overzicht van wat vals-positieve beslissingen verbergen, een auditspoor voor regels, integraties, beleid en playbooks, acties in het commandopalet, een thema met hoog contrast op WCAG AAA-niveau, een navigatiebalk onderaan op telefoons, installatie als app, en het OpenAPI-document en een Postman-collectie om te downloaden.

Verbeterd

  • Legitieme software vormt geen aanvalsketen meer. Wat de controle per wijziging al als routine herkende, zoals opruimen na een Edge-update of een ondertekende Run-sleutel van een leverancier, wordt nu ook door de ketenengine, aanvalsverhalen en dwell time-analyse overgeslagen, net als wijzigingen in de veilige richting. Dezelfde opstartvermelding of taak op drie of meer apparaten van een klant binnen 24 uur geldt als uitrol, tenzij ze op zichzelf verdacht is.
  • De CVE-matchdrempel stelt zichzelf bij. Analisten kunnen een match markeren als juist, onjuist of oplossing geverifieerd, en wekelijks stelt het platform op basis van die oordelen nieuwe grenzen voor: met minstens vijftig van elk, hooguit vijf punten per keer en binnen vaste grenzen. Een beheerder past het voorstel toe of wijst het af. Niets verschuift vanzelf.
  • Correlatie per product. Elke installatie komt in de risicogroep van het product waarop ze matchte, risico's in behandeling worden automatisch gemitigeerd wanneer de software wordt bijgewerkt, en na een inventaris wordt alleen gewijzigde software opnieuw beoordeeld. Gelijktijdige correlatieruns kunnen elkaars werk niet meer overschrijven. Modifiers van apparaatgroepen volgen het aanvalspad: niet bereikbaar via het netwerk verlaagt alleen bevindingen die via het netwerk worden bereikt, niet een lokale privilege-escalatie.
  • Campagnes vanuit aanvalsketens. Een aanvalsketen voedt nu de klantoverstijgende campagne-engine, met alleen wat een klant mag verlaten: blokkeerbare externe indicatoren, het programma en de poort, nooit paden, gebruikers of interne namen. Een campagne die binnen zes uur 30% van de klanten raakt, wordt gemarkeerd voor review.
  • Lokale responsregels. Een gepubliceerde regelset vervangt de ingebouwde regels van de agent niet meer maar komt erbovenop, zodat de ingebouwde kills tegen anti-herstel, diefstal van inloggegevens en canaries niet per ongeluk verdwijnen. Een kill-regel mag niet handelen op een YARA-bestandstreffer, omdat dat proces meestal de browser of mailclient is die het bestand afleverde; daar is quarantaine van het bestand de actie. Quarantaines hebben een eigen limiet per uur.
  • Agents werken met een afwijkende klok. Een apparaat waarvan de klok meer dan vijf minuten afwijkt, ondertekent met de tijd van het platform, tot een afwijking van 24 uur. Een geweigerd record blokkeert de wachtrij niet meer, en een mislukte verzameling wist niet langer de opgeslagen gegevens van het apparaat.
  • Certificaatmonitors controleren nu ook de keten en de hostnaam, en markeren een nieuwe uitgever of een vervanging ruim voor de vervaldatum.
  • Linux-updates houden architecturen uit elkaar en controleren na elke installatie of de goedgekeurde versie is geïnstalleerd.
  • Compliance heeft een navigatie aan de linkerkant, en NIS2 is het standaardkader wanneer er geen is gekozen.

Gewijzigd

  • Compliancescores kunnen bij deze update verschuiven. Een apparaatcontrole waarvoor de agent geen gegevens rapporteerde, telt niet meer als geslaagd of mislukt maar als Niet gerapporteerd, en blijft buiten de score. Aan de apparaten zelf veranderde niets.
  • Sommige gebruikers moeten zich na de update één keer opnieuw aanmelden. De time-out bij inactiviteit van de organisatie geldt nu per sessie en ook bij het verversen van een sessie, het maximale aantal gelijktijdige sessies wordt gehandhaafd, een sessie eindigt na hooguit een dag, en Onthoud mij, dat nooit iets deed, is verwijderd.
  • Responsacties in Microsoft 365 aanzetten vraagt weer alleen de twee kerntoestemmingen, voor afmelden en uitschakelen. Elke verdere actie vraagt een eigen toestemming. App-toestemming intrekken verwijdert alleen gedelegeerde toestemmingen, wat consent phishing oplevert; applicatierechten worden genoemd zodat de beheerder ze in Entra kan verwijderen. Secuno vraagt daarmee geen toestemming meer waarmee een app zichzelf andere rechten kan geven.
  • IOC-blokkades van een campagne bij andere organisaties wachten nu op goedkeuring van een beheerder, tenzij een organisatie automatische toepassing inschakelt.
  • Aanmelden met Microsoft vereist dat de organisatie haar eigen Entra-tenant heeft vastgelegd, en een account met een tweede factor bevestigt die ook na single sign-on.
  • Netwerkisolatie op Windows gebruikt alleen nog het Windows Filtering Platform. Is dat niet beschikbaar, dan wordt de opdracht geweigerd en zegt de console waarom, in plaats van een terugvaloptie die het verkeer van de agent zelf blokkeerde. Een inschrijvingstoken is hooguit een jaar geldig, laat een beperkt aantal apparaten toe en is ook bij een herinstallatie nodig.
  • Een geaccepteerd of vals-positief risico neemt geen nieuwe CVE's meer op die de analist nooit zag. Die openen een nieuwe generatie van het risico, met een verwijzing naar het eerdere besluit.
  • Een automatisering draait nu per gebeurtenis in plaats van eenmaal per dossier, zodat een dossier dat opnieuw wordt bevestigd, ook opnieuw wordt geïsoleerd. Insluiting houdt geen rekening meer met het onderhoudsvenster; dat geldt alleen voor patchen en andere verstorende wijzigingen.
  • Aantallen die verschuiven: openstaande patches die elk apparaat al heeft, sluiten nu, zodat de aantallen benodigde en achterstallige patches dalen, en een deadline die als dag is gekozen, verloopt aan het eind van die dag.
  • De agents Windows 0.59 en Linux 0.51 vereisen dat het platform eerst wordt bijgewerkt. Oudere agents blijven werken, maar krijgen deze verbeteringen pas na een update.

Opgelost

  • Kwetsbaarheden in Windows 10 en 11 bereikten Windows-apparaten niet, omdat NVD ze per feature-release vastlegt. Ze worden nu per release en build gematcht, met normale betrouwbaarheid. Ontbrekende patches werden altijd al door de patchmodule gevonden. Reken bij de volgende volledige correlatie op nieuwe Windows-risico's.
  • De KEV-ondergrens hield geen stand na de aanpassingen voor kritikaliteit, apparaatgroepen en segmentatie. Een bekend misbruikte kwetsbaarheid blijft nu altijd minstens hoog.
  • Netwerkisolatie op Linux werd altijd geweigerd. Ze werkt nu, en een geïsoleerde host blijft het platform bereiken, zodat de opdracht tot opheffen aankomt. De persistentiebewaking op Linux overleeft nu bestanden die worden vervangen, zoals useradd, passwd en visudo doen.
  • Een WMI-service die niet meer reageerde, kon de Windows-agent na ongeveer een week laten vastlopen, en een mislukte WMI-query meldde elke beheerder als verwijderd en weer toegevoegd. Beide zijn opgelost, net als DNS-tunnelmeldingen op gewone reverse lookups en Active Directory-queries.
  • Een agentverzoek dat na een nieuwer verzoek opnieuw werd verstuurd, kon een apparaat terugzetten, inclusief zijn isolatie- en patchstatus. Dat wordt nu herkend. Offlinemeldingen gaan één keer per offline periode uit in plaats van elk half uur.
  • Patchresultaten konden elkaar overschrijven, en een winget-installatie kon voorgoed op installeren blijven staan. Resultaten schrijven nu alleen vanuit de toegestane statussen en alleen voor het eigen apparaat, en een installatie verloopt gerekend vanaf het moment van verzenden.
  • Een dossier bevestigen via het statusmenu of een bulkactie startte de bijbehorende automatiseringen niet, en triage beoordeelde een dossier dat laat bewijs kreeg niet opnieuw. Beide gaan nu langs dezelfde weg als de knoppen.
  • In de console sluit een live update geen open dialogen meer en gooit hij geen half ingevulde acceptatie weg, ticketbijlagen worden weer gedownload, en na het wisselen van klant tonen lijsten alleen die klant.
  • Impersonatie meldde de beheerder af, en een apparaat dat naar een andere locatie verhuisde, kreeg pas bij de volgende inventaris zijn nieuwe bereikbaarheidsniveau.

Beveiliging

  • Beveiligingsreview van 28 september. De kritieke en hoge bevindingen zijn gesloten, en elke oplossing is vastgelegd in een test. Ze betroffen vooral de scheiding tussen organisaties: partneraccounts, de instellingen van darkwebmonitoring en dreigingsinformatie, het klonen van een klant, notities en volglijsten op risico's en eigen velden zijn nu strikt gebonden aan de organisaties van de aanvrager. Een endpoint dat meer gebruikersgegevens teruggaf dan nodig, geeft nu alleen naam en e-mailadres.
  • Aanmelden en sessies. Limieten op aanmeldpogingen gelden per bezoeker in plaats van voor iedereen samen, het toegestane aanmeldland wordt op elke route gecontroleerd en een onbekend land wordt geweigerd, een eenmalige code werkt één keer, single sign-on is gebonden aan de browser die eraan begon, het wijzigen van tweestapsverificatie vraagt een recente aanmelding, en wachtwoord vergeten verraadt niet meer welke adressen een account hebben.
  • Orders en antwoorden aan agents. Het platform ondertekent een order bij het aanmaken in plaats van bij het ophalen, elke order verloopt en wordt maar één keer uitgevoerd, regelsets zijn gebonden aan hun organisatie en kunnen niet worden teruggezet naar een oudere versie, en elk antwoord waarop een agent handelt, is ondertekend en gebonden aan het verzoek. Lijsten van toegestane programma's gaan als gezouten hashes naar de agent.
  • De agents zelf. Een proces wordt beëindigd op identiteit en nooit als het een kritiek systeemproces is, IOC-blokkades raken nooit de gateway, de DNS-servers of het platform, geheimen in opdrachtregels worden vóór het uploaden weggelaten, en op Linux tellen journal-regels alleen als het journal de afzender bevestigt. Herstartmeldingen zeggen altijd dat Secuno nooit om een wachtwoord vraagt.
  • Inhoud en netwerk. Ticketreacties en kennisbankartikelen kunnen niet meer buiten hun vak tekenen, concepten in de kennisbank zijn alleen voor beheerders leesbaar, bewijsuploads worden pas na alle controles opgeslagen, webhooktekst in e-mail wordt veilig weergegeven, en de certificaatmonitor en uitgaande integraties maken verbinding met precies het adres dat werd gecontroleerd en sturen bij een doorverwijzing geen geheimen mee. Een Defender-oordeel van één apparaat telt niet meer als oordeel voor alle organisaties.