Alle release notes
Platform
Eén dossier per apparaat, veel minder valse meldingen, patchbeheer dat zijn werk bewijst en hulpmiddelen voor een managed SOC
Twee rondes review van valse meldingen leveren veel minder en rustiger dossiers op, en elk apparaat heeft nu één dossier tegelijk. Patchbeheer leert zijn werk te bewijzen: een kwetsbaarheidsgeschiedenis per apparaat en CVE, een herstelplan gerangschikt op het risico dat elke oplossing wegneemt, workarounds van leveranciers, en Geverifieerd betekent nu dat de CVE's echt gesloten zijn. Verder nieuw: een Managed SOC-modus met piketoproepen en responsdoelen voor het eigen team van de partner, eigen dashboards en wandschermen, tweerichtingssynchronisatie met PSA's, analistenrollen L1 en L2, en een navigatie per taak. De openstaande bevindingen uit de beveiligingsreview van 8 oktober zijn gesloten. De agents Windows 0.61 en 0.62 en Linux 0.53 en 0.54 zijn op 16 oktober uitgebracht.
Nieuw
- Eén dossier per apparaat. Elke nieuwe detectie op een apparaat komt in het open dossier van dat apparaat, en identiteitssignalen in dat van hun gebruiker. Het dossier toont elke detectie die het bevat, en de kop volgt de ernstigste. Een detectie die wordt samengevoegd, start nog steeds automatiseringen en integraties, zodat regels die voor één detectie zijn geschreven blijven werken. Een incident opent nu alleen als een analist escaleert, een automatisering er een opent of activiteit meerdere apparaten raakt, en elk incident heeft een eigen pagina en link.
- Kwetsbaarheidsgeschiedenis. Elke CVE op elk apparaat is nu een bevinding die opent, een SLA draagt en sluit met een reden: bijgewerkt naar een versie, verwijderd of niet meer getroffen. Hersteltijd en gehaalde SLA's worden per maand getoond, en de vraag of een laptop op een bepaalde datum kwetsbaar was, heeft een antwoord. De vervaldatum van een productrisico volgt de oudste open bevinding, zodat langlopende risico's niet meer eeuwig achterstallig zijn; een datum die iemand invulde, blijft staan.
- Draait de kwetsbare code? Elke bevinding toont of de software draait, recent is gebruikt, 90 dagen of langer stil staat, of een bibliotheek is die niet in het geheugen is geladen. Stilstaande software en niet-geladen bibliotheken scoren iets lager; bekend misbruikte CVE's houden hun ondergrens. CVE's in bibliotheken die een applicatie in haar eigen map meelevert, krijgen een eigen categorie: Meegeleverde kwetsbaarheden.
- Herstelplan. Een nieuwe pagina rangschikt de echte oplossingen (een update, een app-upgrade, ongebruikte software verwijderen, een workaround) op hoeveel van het risico van de klant elk wegneemt, zonder een CVE dubbel te tellen, en op elke rij kan direct worden gehandeld.
- Workarounds van leveranciers. Twaalf ingebouwde mitigaties, waaronder Follina, PrintNightmare, SMBGhost, PwnKit en cups-browsed, kunnen vanuit de console worden toegepast en teruggedraaid, worden bij elke inventaris gecontroleerd en verlopen na een ingestelde datum.
- Patchbeheer met eigenaren en bewijs. Winget-apps en Linux-pakketten krijgen nu een spoedbaan en een versnelde baan en SLA's op basis van de CVE's die ze oplossen, net als Windows-updates. Afwijzingen en blokkades per apparaat kunnen een eigenaar en een einddatum krijgen, waarna het besluit weer openstaat. Serverinstallaties kunnen wachten op een recente, geverifieerde back-up, gelezen van de server zelf (VSS, Windows Server Backup, Veeam) of uit Datto, Azure Backup of Veeam Backup & Replication; dit staat uit tot het wordt ingeschakeld. Een slechte app-versie kan in één actie bij een klant of groep worden teruggedraaid, waarna die versie wordt afgewezen. Verder nieuw: maandelijkse onderhoudsvensters zoals elke derde zaterdag of Patch Tuesday plus een aantal dagen, goedkeuring voor gekozen apparaten, terugdraaien van Linux-pakketten, en herstelcijfers voor de hele omgeving en voor KEV in patchrapporten.
- Herstartmelding in eigen huisstijl en een tray. De herstartmelding neemt het logo, de accentkleur en de taal (Nederlands, Frans of Engels) van de partner over, en een tray-pictogram in Windows biedt Nu herstarten, Uitstellen en Controleren op updates.
- Managed SOC-modus. Een klant kan onder dekking tijdens kantooruren of 24/7 door het eigen team van de partner worden geplaatst, met doelen voor bevestigen, insluiten en oplossen per ernst. Een piketrooster en pager escaleren dossiers die niemand oppakt via de eerste en tweede lijn en de eigen verantwoordelijken van de klant, en een SOC-pagina houdt elk gehaald of gemist doel bij. Een nieuwe Twilio-integratie sms't of belt de dienstdoende, en PagerDuty vouwt elk escalatieniveau van een dossier samen tot één incident.
- Analistenrollen L1 en L2. L1 beoordeelt, L2 onderzoekt en sluit in. Geen van beide kan het platform configureren, risico's accepteren of gebruikers beheren, en tweestapsverificatie is voor beide standaard verplicht.
- Eigen dashboards en wandschermen. Benoemde dashboards worden opgebouwd uit een vaste catalogus van widgets, gedeeld met de tenant of met klanten (elk ziet alleen de eigen cijfers), geëxporteerd naar PDF of ingepland, met dertien sjablonen om mee te beginnen. Een account voor een wandscherm toont gedeelde dashboards in kioskmodus en verder niets, blijft tot 30 dagen aangemeld en kan één klant, meerdere of alle klanten dekken.
- Bibliotheek van responsregels. Een nieuw tabblad Respons bevat door Secuno onderhouden sjablonen waarop de agent zelf kan handelen, zoals het stoppen van PowerShell dat back-ups vernietigt, inloggegevens dumpt of AMSI uitschakelt, plus beoordeelde YARA- en Sigma-regels. Elk sjabloon begint in rapportage en kan pas na 14 dagen zonder vals positief worden ingeschakeld.
- Laterale beweging via SMB. De Windows-agent ziet nu uitvoerbare bestanden die naar beheershares worden geschreven, uitvoering van services op afstand in de stijl van PsExec, en accounts die zich op een werkplek aanmelden vanaf een adres dat ze nooit eerder gebruikten.
- Een basislijn die gewone activiteit kent. Beide agents rapporteren nu een steekproef van alledaagse domeinen en verbindingen, zodat nieuw op dit apparaat niet meer alleen nieuw verdacht betekent. De steekproef bevat geen adressen, URL's of gebruikersnamen. Een nieuw apparaat leent bij inschrijving de gecombineerde basislijn van vergelijkbare apparaten (per klant: uit, alleen rapporteren of dossiers openen), en drempels voor DNS-tunnels en verkenning zijn per klant in te stellen, met waarden buiten het bereik geweigerd.
- Servicedesk. Tickets openen naast de lijst, met antwoorden en notities vanuit het zijpaneel, j en k om te bladeren en panelen die van grootte kunnen veranderen. Een nieuw ticket begint met voor wie het is en vult de rest zelf in. Verder nieuw: teams met een leider en automatische toewijzing, macro's die in één klik antwoorden en een ticket bijwerken, een werklastrapport, een melding wanneer een collega al op hetzelfde ticket antwoordt, voorgestelde kennisbankartikelen en kant-en-klare antwoorden. Scanverzoeken zijn nu tickets, en partners kunnen naast die van Secuno een eigen kennisbank bijhouden.
- Tweerichtingssynchronisatie met PSA's. Jira, ServiceNow, ConnectWise en Autotask houden één ticket per record bij en voegen latere gebeurtenissen toe als notitie, en een ticket dat in de PSA wordt gesloten, kan desgewenst ook het Secuno-ticket sluiten. Tickets uit workflows, automatiseringen en Ticket aanmaken bereiken nu ook integraties. Met de joblogs van NinjaOne en Datto RMM kan een reeks activiteit die uw RMM echt uitvoerde, worden gekoppeld aan het eigen record van de RMM, alleen binnen één klant.
- API-sleutels en facturatie-export. API-sleutels geven machine-tot-machinetoegang die handelt als de persoon die ze maakte, standaard alleen-lezen, hooguit een jaar geldig en vastgelegd in het auditlog. Een facturatie-export geeft per klant en per maand het piekaantal werkplekken, servers, Microsoft 365-identiteiten, websites en modules, als JSON of CSV.
- Transparantie voor eindgebruikers. Een publieke pagina per organisatie, en desgewenst een tray in Windows, vertelt de mensen op wier apparaten de agent draait wat die wel en niet ziet.
- Waar valse meldingen vandaan komen. Detectie-inhoud, Track Record groepeert afgewezen dossiers op wat afging, het proces en het apparaat, de drukste eerst, zodat duidelijk is wat moet worden bijgesteld. Een playbookvoorstel op een dossier of incident koppelt het passende playbook en zegt waarom.
- Nieuwe triggers voor automatiseringen bij gebeurtenissen rond tickets, risico's, patches, incidenten, certificaten, compliance, apparaten en Microsoft 365, plus het in- en uitfaseren van klanten.
Verbeterd
- Aanvalsverhalen vragen een echte detectie. Alledaags beheer zoals aanmeldingen, gekoppelde schijven, USB-sticks, een verkeerd getypt wachtwoord of een nieuwe luisterende poort verschijnt nog als context, maar kan op zichzelf geen verhaal meer starten of verversen. Elke wijziging die een signaal stiller maakt, is getest tegen de aanval die het niet mag verbergen.
- Bekende beheerders blijven stil. Een beheerder die zich eerder op een apparaat aanmeldde, levert geen dossier op; een account dat nieuw is op het apparaat opent één middelhoog dossier. Ongebruikelijke rechten worden gemeld zoals voorheen. Scriptblokken, NTLM-aanmeldingen en WMI-abonnementen krijgen de ernst die de agent gaf in plaats van een vaste hoge, en NTLMv1 blijft hoog.
- Windows zelf ziet er niet meer verdacht uit. De eigen WMI-binding van Windows, die bij elke herstart een hoog persistentiedossier opende, doet dat niet meer, en echte abonnementen tonen nu wat ze uitvoeren. Defender die bij elke definitie-update zijn sensordriver opnieuw installeert, wordt herkend op exacte naam en locatie; een lookalike elders wordt nog gemeld. Bestanden die via een Windows-catalogus zijn ondertekend, zoals cmd.exe en het grootste deel van System32, gelden als ondertekend. Ondertekende kopieën van Discord, Teams, Slack en Zoom in AppData zijn niet meer verdacht om hun locatie alleen; niet-ondertekende of gemanipuleerde kopieën wel.
- Routinematige pieken zakken weg. Een piek in bestandsactiviteit die een apparaat op vijf of meer dagen vertoont, zakt één niveau, tenzij ze uit een ongebruikelijke map komt of samenvalt met een ander kritiek signaal.
- Gelekte wachtwoorden alarmeren alleen bij een doelwit. Een signaal over inloggegevens op een account met een gelekt wachtwoord is alleen kritiek als dat account echt het doelwit was, en gedeelde namen zoals admin@ en administrator@ matchen niet meer met het lokale account van elke server.
- Softwarewijzigingen vragen minder review. Upgrades op dezelfde plek en verwijderingen worden automatisch geaccepteerd, behalve wanneer een beveiligingstool verdwijnt, en wachtende items kunnen vanaf de risicopagina voor een hele klant worden toegestaan. Meer updaters van leveranciers en routinematige softwarewijzigingen worden herkend en leveren niets op.
- Reizen van apparaten beoordeeld op afstand en tijd. Een laptop die met zijn eigenaar van land wisselt, levert niets op; alleen een reis die niemand in die tijd kon maken, geeft een melding van onmogelijke reis.
- Veiligere automatische respons. Een campagnematch zonder overeenkomende infrastructuur geldt niet meer als bevestigd, en een signaal met lage ernst kan het proces waarop een kill-regel richt niet meer vervangen. Automatisch isoleren, herstarten en beëindigen slaat domeincontrollers en kritieke assets over, limieten over de vloot zijn strenger, en het bewerken van een actieve regel zet hem terug in rapportage.
- Firewallkoppelingen. Negentien verbeteringen na het uitlezen van een echte kantoorfirewall: vollediger uitlezen van FortiGate, minder onterechte bevindingen, eigen gebeurteniscursors per bron, wachten na fouten en het respecteren van de limieten van Meraki. Inloggegevens kunnen ter plekke worden vervangen, bij het toevoegen van een firewall wordt meteen gevraagd of u via de API of de vragenlijst koppelt, en de firewallpagina toont alle klanten.
- Console. De navigatie is per taak ingedeeld (Reageren, Risico's en blootstelling, Assets, Detectie en automatisering, Compliance en rapportage, Organisatie en Platform), en acht pagina's zijn opgegaan in de pagina's waar ze bij hoorden, met elke oude link doorgestuurd. Dossiers, risico's en tickets openen op brede schermen naast hun lijst. Filters staan in het adres, zodat een gefilterde weergave een verversing overleeft en kan worden gedeeld. Dialogen sluiten niet meer bij een verdwaalde klik, tabellen delen één stijl, datums hebben één notatie, en elke e-mailmelding heeft een eigen schakelaar. De banner Nieuw misbruikt toont alleen CVE's die CISA de afgelopen 30 dagen aan KEV toevoegde en kan per gebruiker worden bevestigd.
- Agents. Windows 0.61 en 0.62 brengen controle van catalogushandtekeningen, strengere controles op maskering en LSASS, slimmere beoordeling van scriptblokken en bestandspieken die hun services en mappen noemen. Linux 0.53 en 0.54 brengen minder valse meldingen, geplande destructieve opdrachten die worden vastgelegd in plaats van genegeerd, terugdraaien van pakketten en een juiste uitlezing van de firewall. Beide krijgen software verwijderen, mitigaties en de steekproef van gewone activiteit, en een vastgelopen collector of gebeurtenisbron herstelt zich nu zelf.
Gewijzigd
- Reken na deze update op veel minder dossiers en incidenten. De eerste beheerdersaanmelding op elk apparaat wordt één keer als middelhoog gemeld, omdat de geschiedenis van bekende beheerders bij deze release begint. Op apparaten met Windows 0.60 kunnen dossiers over scriptblokken kritiek openen tot het apparaat 0.61 of later draait.
- Integraties die zijn geabonneerd op gebeurtenissen over nieuwe dossiers, horen nu ook over elke nieuwe detectie die in een open dossier wordt samengevoegd, en over incidenten die het platform zelf opent en sluit.
- Elk risico wordt één keer opnieuw gescoord. Sommige risico's van stilstaande software zakken een niveau en sommige langlopende productrisico's zijn niet meer achterstallig. Automatiseringsregels of opgeslagen zoekopdrachten die filteren op de categorie Kwetsbaarheid, matchen niet met meegeleverde kwetsbaarheden; voeg Meegeleverde kwetsbaarheden toe waar nodig.
- Patches die op Geverifieerd stonden, kunnen tot de volgende inventaris van elk apparaat als bezig worden getoond, en sommige als mislukt. Na drie mislukte installaties op rij stopt een apparaat met opnieuw proberen en geeft het één melding in plaats van één per cyclus, met opnieuw proberen in één klik. Apps en Linux-pakketten verschijnen voor het eerst in de spoedbaan en de versnelde baan.
- Nieuwe regels voor automatische goedkeuring beginnen in rapportage en keuren een specifieke versie goed, zodat elke nieuwe release opnieuw langs de regels gaat. Bestaande regels blijven handhaven.
- De detecties op beheershares vragen dat de auditsubcategorieën File Share en Detailed File Share zijn ingeschakeld. Autotask-integraties hebben hun integratiecode nodig voordat Verbinding testen slaagt.
- Verwijderen, mitigaties en terugdraaien op Linux, tweerichtingssynchronisatie met PSA's, de RMM-joblogs en de integraties met back-upleveranciers zijn nieuw. Probeer elk eerst bij één klant of op een testapparaat voordat u breed uitrolt. De back-upcontrole voor serverpatches, het teruglezen van de ticketstatus uit de PSA, de RMM-joblogs, Managed SOC en de transparantiepagina voor bestaande organisaties staan standaard uit. De tray staat standaard aan en kan per uitrolbeleid worden uitgeschakeld voordat de agent wordt uitgerold.
- Werk het platform bij vóór de agents, nooit andersom.
Opgelost
- Detecties die nooit afgingen, doen dat nu. Wijzigingen in het auditbeleid werden omgekeerd gelezen, runas /netonly en pass-the-hash werden nooit gemeld, Defender-uitsluitingen werden in realtime gemist, en een YARA-treffer op shellcode in het geheugen opende geen dossier.
- Geverifieerd betekende geïnstalleerd. Een geslaagde installatie geldt nu pas als geverifieerd wanneer een latere inventaris laat zien dat haar CVE's weg zijn, en installaties die succes meldden op een nog kwetsbaar apparaat staan nu op mislukt.
- Statuswijzigingen blijven staan. Zodra een mens een incident sluit of heropent, draait de correlator dat niet meer terug, en een dossier dat uit een incident is gehaald, blijft eruit. Twee meldingen die tegelijk binnenkomen, openen niet meer twee incidenten, en gelijktijdige updates overschrijven elkaars tijdlijnvermeldingen niet meer.
- Afgewezen dossiers blijven stil. Een opnieuw afgespeeld signaal heropent geen gesloten dossier meer, en een afwijzing geldt voor haar volledige termijn vanaf het moment dat ze werd gemaakt.
- Microsoft 365-controles die werden overgeslagen, draaien nu: doorsturen, transportregels, mail-DNS en hybride synchronisatie. Doorsturen naar collega's heet niet meer extern.
- Winget-pakketregels die nooit konden installeren, en Windows-runtimepakketten die de agent niet kan bijwerken, zijn verwijderd.
Beveiliging
- Beveiligingsreview van 8 oktober, tweede ronde. Elke openstaande bevinding is gesloten. Microsoft-identiteiten gelden alleen als geverifieerd voor accounts op een geverifieerd domein die geen gast zijn, en single sign-on slaat de tweede factor alleen over als de identiteitsprovider MFA bevestigde. De eigen beheerders van Secuno zijn op elke route aan hun tenant gebonden, net als elke andere rol, en kunnen geen andere platformbeheerder meer beheren.
- IOC-blokkades kunnen nooit het platform, bekende leveranciers van beheer op afstand of gateways van klanten raken. Een interne dienst beantwoordt alleen nog geauthenticeerde aanroepen. Een ingetrokken apparaat kan nooit worden teruggehaald door opnieuw te installeren, oudere inschrijvingstokens zijn begrensd in gebruik en looptijd, en patch-, app- en herstartwerk draait alleen op een correct ondertekende agent.
- Toestemming om naar een intern adres te leveren is aan dat adres gebonden, het volgen van een record controleert of de aanvrager de klant mag zien, darkweb-volglijsten worden nooit gekopieerd bij het klonen van een klant, te grote verzoeken worden geweigerd, en een reeks kleinere controles is aangescherpt.