Secuno
ENNL
Boek demo
Alle release notes
Platform

Een publieke API met afgebakende sleutels, aanvalsverhalen die de aanval volgen, integraties die een storing overleven en firewalls gelezen vanaf het LAN

v0.0.62Groot

De donkere modus is terug in een rustiger palet, en de zijbalk telt wat op u wacht. Secuno krijgt een geversioneerde publieke API met serviceaccounts en afgebakende API-sleutels met limieten, die secret scanners herkennen. Aanvalsverhalen volgen een aanval nu over uren en apparaten en leggen zichzelf uit, Edge-updates en andere bekende software openen geen dossiers meer, en patchuitrol, goedkeuringen en uitzonderingen blijven zoals ze werden besloten. Integraties zetten gebeurtenissen in een wachtrij tijdens een storing, één PSA- of RMM-koppeling kan alle klanten bedienen, en firewalls krijgen apparaatontdekking, een controle van buitenaf en ondersteuning voor SonicWall en Sophos. Gegevensbewaring staat nu standaard aan. In deze periode is geen agent uitgebracht; de actuele agents blijven Windows 0.62 en Linux 0.54.

Nieuw

  • Publieke API v1. Een geversioneerde API voor klanten, apparaten, risico's, onderzoeken en tickets, inclusief het aanmaken en bijwerken van tickets. Binnen v1 worden velden alleen toegevoegd, afschaffingen worden zes maanden vooraf aangekondigd, lijsten zijn met een cursor gepagineerd voor incrementele synchronisatie, en schrijfacties nemen een Idempotency-Key, zodat een nieuwe poging nooit een tweede ticket aanmaakt. Het OpenAPI-document staat onder Instellingen, API.
  • Serviceaccounts. Een API-identiteit die eigendom is van een klant, een partner of het platform in plaats van een persoon, zodat een PSA-koppeling blijft werken als de engineer die hem inrichtte vertrekt. Met OAuth 2.0 client credentials met een geheim of een private key JWT, tokens van een uur en twee actieve geheimen voor rotatie, beheerd door de beheerders van de organisatie.
  • Afgebakende API-sleutels. Een sleutel krijgt per gebied toegang (apparaten, kwetsbaarheden, onderzoeken, tickets, compliance, patchbeheer, integraties, respons, en klanten, gebruikers en instellingen): alleen lezen, lezen en wijzigen, of geen. Acties op endpoints, mailboxen, firewalls of toegang staan nooit standaard aan. Een sleutel kan worden beperkt tot een deel van de klanten van de eigenaar en tot gekozen IP-adressen of -reeksen; aanroepen van elders worden geweigerd en vastgelegd. Elke sleutel mag 600 verzoeken per minuut doen, waarvan 120 wijzigingen, met RateLimit-headers op elk antwoord.
  • Sleutels waarover u verantwoording kunt afleggen. Elke wijziging met een sleutel legt vast welke sleutel het was, zodat een script niet meer precies lijkt op de persoon die de sleutel bezit, en Profiel, API-sleutels, Activiteit toont per sleutel verzoeken, weigeringen en wijzigingen over 30 dagen. Eigenaren krijgen 14 dagen, 3 dagen en een dag voor het verlopen een waarschuwing, sleutels die 90 dagen niet zijn gebruikt worden ingetrokken, het deactiveren van een persoon trekt diens sleutels in, en gebruik vanuit een nieuw land geeft een melding. Nieuwe sleutels beginnen met secuno_sk_ en dragen een controlegetal, zodat secret scanners een gelekte sleutel herkennen en een verkeerd getypte meteen wordt geweigerd.
  • Eén verhaal per aanval. Aanvalsverhalen worden nu tot 24 uur samengevoegd op wat ze delen (bestandshashes, domeinen en adressen van dreigingen, bestanden in mappen waar gebruikers kunnen schrijven, processen) in plaats van op tien minuten tijd, zodat een aanval van een hele middag één verhaal is in plaats van meerdere. Dezelfde hash of hetzelfde C2-domein op een ander apparaat maakt één verhaal over apparaten heen, en laterale beweging voegt zich bij het verhaal op het apparaat waar ze vandaan kwam. In onze eigen herhaling van zeven aanvallen en tien gewone dagen ging het aantal aanvallen dat als één correct verhaal werd verteld van 3 op 7 naar 7 op 7, en elke gewone dag bleef stil.
  • Een verhaalkaart die zichzelf uitlegt. Elk nieuw verhaal toont het waarschijnlijke begin, de volgende stap om op te letten, wat later aansloot en waarom, de betrokken accounts, bestanden en bestemmingen, en elk onderdeel van de betrouwbaarheid. Vanaf de kaart blokkeert u een domein, meldt u iemand af bij Microsoft 365 of zoekt u een hash op andere apparaten.
  • Leveringen die een storing overleven. Gebeurtenissen worden per integratie in een wachtrij gezet en tot 24 uur opnieuw geprobeerd, zodat een ontvanger die even onbereikbaar is, of een herstart van het platform, ze niet meer kwijtraakt; mislukte leveringen kunnen vanuit het leveringslog opnieuw worden verstuurd. Elke integratie toont Gezond, Verminderd, Falend of Uitgeschakeld met de reden, het laatste succes en wat in de wachtrij staat, en de eigenaar hoort het wanneer ze begint te falen, wanneer ze herstelt en voordat haar inloggegeven verloopt. Na vijf mislukkingen op rij pauzeert een integratie en wacht ze langer, zonder de nieuwe pogingen van wachtende gebeurtenissen op te maken.
  • Webhookcontract v1. Elke payload krijgt een id, een versie, een tijdstempel en een entiteit, en elke levering draagt de headers webhook-id en webhook-timestamp. Ondertekenen volgens Standard Webhooks is de nieuwe aanbevolen optie, met een JSON Schema per gebeurtenistype en een knop Testgebeurtenis versturen.
  • Eén PSA-koppeling voor alle klanten. ConnectWise, Autotask, NinjaOne en Datto RMM kunnen één koppeling hebben die de gebeurtenissen van elke klant naar het eigen bedrijf, de eigen organisatie of de eigen site van die klant stuurt, en partners kunnen er een maken voor hun eigen klanten. Klantkoppeling verbindt elke Secuno-klant met zijn PSA-bedrijf of RMM-site, met voorstellen op domein en naam die u een voor een of allemaal tegelijk accepteert. Klanten zonder koppeling worden overgeslagen en nooit naar een verzamelbak gestuurd. Integraties krijgen een eigen sectie met Overzicht, Gezondheid, Connectoren, Klantdekking, Klantkoppeling, Leveringslog en Back-upleveranciers.
  • Firewalls gelezen op het LAN. Een agent die al op de locatie staat, kan de firewall op zijn LAN-adres uitlezen, zodat WAN-beheer niet meer open hoeft te staan om hem te koppelen. Het certificaat wordt vastgezet en het inloggegeven wordt nooit op het apparaat opgeslagen. Dit vraagt Windows-agent 0.63 of Linux-agent 0.55, die nog niet zijn uitgebracht.
  • Wat de firewall over de locatie weet. De apparatenlijst van de firewall wordt vergeleken met de beheerde apparaten, en computers die regelmatig zonder Secuno-agent worden gezien, leveren één gegroepeerd risico per klant op; gastnetwerken, telefoons en willekeurige MAC-adressen worden nooit bewaard. De beoordeling van uitgaand verkeer, segmentatie en IPS voor een apparaat komt nu uit het firewallbeleid dat zijn netwerk echt dekt, in plaats van uit de vragenlijst van de locatie. Eén keer per dag controleert een TCP-handshake van Secuno naar de publieke adressen van de locatie wat van buitenaf open staat: een poort die de configuratie niet verklaart, is een risico, kritiek voor RDP, SMB en Telnet. Zwakheden in firmware worden uit de eigen adviezen van leveranciers gelezen, zodat ze een risico kunnen worden voordat NVD ze heeft verwerkt.
  • Firewallgebeurtenissen bevestigd, en meer merken. Een C2- of malwaretreffer van de firewall die de agent ook zag, geldt als bevestigd, en een VPN-gebruiker die overeenkomt met één Microsoft 365-account maakt het dossier tot een dossier over die persoon. SonicWall (via een collector of rechtstreeks) en Sophos Firewall (rechtstreeks) kunnen worden gekoppeld, beide alleen-lezen. Met afzonderlijke toestemming kan Secuno een blokkeerlijstgroep en een quarantainegroep bijhouden op FortiGate en Meraki; aan uw beleid komt het nooit, en de eerste push wacht tot u een proefrun goedkeurt. Koppeling, ontdekte apparaten, resultaten van buitenaf en respons staan op één firewallpagina, en firewallcontroles verschijnen bij compliancecontrols en in het bestuursrapport.
  • Klantgezondheid en toegangsreviews. De klantenlijst toont postuur, open risico's, apparaten, incidenten en tickets, de slechtste eerst, met een filter Vraagt aandacht, opgeslagen weergaven en CSV-export, en de klantpagina opent met wat aandacht vraagt en de vijf belangrijkste risico's. De gebruikerslijst is gebouwd voor toegangsreviews: laatste aanmelding, gebruikers zonder MFA, verouderde accounts, in bulk deactiveren, activeren en tweestapsverificatie resetten, en actieve sessies die een voor een kunnen worden afgemeld.
  • Mijn organisatie en het agentlog per apparaat. Partnerbeheerders krijgen één pagina voor hun klanten, mensen, teams, macro's, ticketinstellingen en white-label, en kunnen gebruikers per e-mail uitnodigen om zelf een wachtwoord te kiezen. Elk apparaat krijgt één tijdlijn van elke opdracht, update-installatie en herstartplanning die Secuno stuurde en hoe die afliep, plus elke herstart en de oorzaak ervan: een order van Secuno, een gebruiker, Windows Update of een crash.
  • Console. De donkere modus is terug: elke pagina is in donkere modus op desktop- en telefoonbreedte beoordeeld en op contrast gemeten, vlakken zijn bijna neutraal met een lichte teal tint, en teal is voorbehouden aan knoppen, links en het actieve item. De zijbalk toont hoeveel incidenten, onderzoeken, goedkeuringen, tickets, patches en risico's wachten, met dezelfde aantallen als elke pagina zelf, en een badge wordt pas rood als iets achterstallig is of de deadline nadert. Darkweb, dreigingsinformatie en webblootstelling worden één sectie Exposure Management, met een Portfolio per klant als startpunt voor beheerders. Oude links blijven werken.
  • Risico's om doorheen te werken. De samenvattingsbalk toont Achterstallig, Deze week, KEV open, Niet toegewezen en Wacht op goedkeuring, en een klik op een getal toont precies die risico's. Groeperen op vouwt de zichtbare risico's op categorie, bron, klant, apparaat of CVE, de slechtste eerst. Groeperen op Oplossing toont de upgrades en Windows-updates die de zichtbare risico's sluiten, hoeveel elk er sluit of alleen verkleint, en welk deel van het risico van de klant elk wegneemt; Alles herstellen keurt de upgrade één keer per apparaat goed. Het herstelplan verhuist hierheen als de gerangschikte lijst voor één klant.

Verbeterd

  • Edge-updates openen geen dossiers meer. Elke Edge-update kwam binnen als twee of drie hoge malwaredossiers over een nieuw uitvoerbaar bestand in een map waar gebruikers kunnen schrijven. Een correct benoemd, door Microsoft ondertekend updatepakket in Temp wordt nu vastgelegd zonder dossier. Zoals eerder betekent een handtekening een geldige die de agent op het apparaat controleerde, en niets wordt op alleen een bestandsnaam vrijgesteld.
  • Vals-positieve oordelen houden 14 dagen stand. Een dossier sluiten als vals positief, onschuldig of toegestaan voorkomt 14 dagen dat dezelfde detectie met hetzelfde bewijs opnieuw een dossier opent. Nieuw bewijs of een hogere ernst opent er nog steeds een.
  • Bekende software wordt herkend. Een ondertekend bestand dat al op veel apparaten van de klant voorkomt, opent geen dossier meer; niet-ondertekende bestanden en bestanden in de opstartmap komen daar nooit voor in aanmerking. Printers, NAS-apparaten en bestandsservers openen niet meer bij elke heartbeat een NTLM-dossier. Ondertekende downloads en bestanden van vertrouwde, ondertekende installatieprogramma's wegen lager, terwijl tools voor overname op afstand hoger blijven wegen omdat oplichters die zich als helpdesk voordoen ze gebruiken. Teams, Zoom, Slack, Discord, Spotify, OneDrive en de updaters per gebruiker van Google, Edge en Dropbox worden herkend wanneer ze ondertekend in hun eigen map staan.
  • Routinematige Windows-activiteit blijft stil. Synchronisatiepieken van OneDrive, Realtek-driverupdates, opruimvermeldingen van IExpress, Defender-platformservices, Workplace Join, de eigen geplande taken van Windows, UAC-vragen en geversioneerde runtimes zoals Visual C++ en .NET leveren geen bevindingen meer op. Scripts die een geverifieerde beheertool draait, wegen lager, terwijl loaders, AMSI-omzeilingen en shellcode hun gewicht houden.
  • Minder zelfverzekerde niet-aanvallen. Context zoals beheerdersaanmeldingen, NTLM en USB telt veel minder mee in aanvalsverhalen, en de beslissingen van analisten kalibreren nu de betrouwbaarheid van elke reeks. Ransomware, het dumpen van inloggegevens, DCSync en het wissen van logboeken komen nooit onder de drempel voor onderzoek.
  • Beoordelingsengines herzien. Triage sluit een dossier alleen zelf als het sinds het oordeel ongewijzigd is, een beheertaak verklaart alleen activiteit die er aantoonbaar bij hoort, en patronen van ransomware en diefstal van inloggegevens kunnen niet meer automatisch worden onderdrukt.
  • Patchringen beoordeeld op hun eigen apparaten. Een apparaat dat zowel in de pilot als in een latere ring zit, telt niet meer mee voor die latere ring, kleine ringen kunnen een oordeel bereiken, lege ringen wachten één proefperiode, en een pilot stopt zodra de mislukkingen de drempel passeren. Een nieuwere release van een goedgekeurd winget-pakket begint weer bij de eerste ring in plaats van overal tegelijk te installeren, en een ring toevoegen of verplaatsen laat zijn apparaten niet meer zonder een update die al volledig was uitgerold.
  • Patchbesluiten blijven staan. Een verlopen uitzondering op een afwijzing wacht op een mens in plaats van door een goedkeuringsregel te worden opgepakt, uitzonderingen horen bij één afwijzing, en de goedkeuringsstatus verandert alleen via goedkeuren, afwijzen en plannen. Een klant met eigen onderhoudsvensters of goedkeuringsregels volgt alleen die, in plaats van ze te combineren met de standaarden van het platform. Grote cumulatieve updates rangschikken hun CVE's eerst op misbruik, zodat een bekend misbruikte CVE de update in de spoedbaan zet.
  • Velden van eigen regels sluiten aan op de agent. De regelcatalogus voor processen, software, netwerkadapters en aangemelde gebruikers gebruikt nu de veldnamen van de agent zelf. Opgeslagen regels blijven werken, en een onbekend veld wordt geweigerd met de geldige velden erbij.
  • Afwerking in de console. Rijen en knoppen onder de muis blijven donker in de donkere modus, tekstvelden en selectievakjes staan niet meer wit op een donkere pagina, en bijschriften en chiplabels in de lichte modus zijn een stap donkerder. Werkbalken lopen op een telefoon door naar een volgende regel, metriekbalken laten geen lege tegel meer achter, en de CVE-pagina opent met de scoretegels in de linkerkolom. De Threat and Exposure Briefing en de domein- en lekcontroles bieden een klantkeuze wanneer alle klanten zijn geselecteerd, in plaats van te verdwijnen.

Gewijzigd

  • Gegevensbewaring staat standaard aan. Bewaarbeleid werd uitgeschakeld geleverd, waardoor de meeste gegevens langer bleven bestaan dan het beleid aangaf. Het staat nu aan, negen tabellen die onbegrensd groeiden krijgen een beleid, en de eigen bewaarinstelling van een klant geldt nu ook voor wijzigings-, USB- en bewijsgebeurtenissen. In de eerste nacht worden gegevens voorbij hun termijn definitief verwijderd zonder voorafgaande export, waaronder auditlogs en instellingengeschiedenis ouder dan drie jaar, gelezen meldingen ouder dan 90 dagen en gebruiksstatistieken ouder dan twee jaar. Wijzigingsgebeurtenissen blijven standaard 30 dagen bewaard en kunnen per klant langer worden bewaard.
  • Ontvangers van de Generic Webhook krijgen nieuwe velden in de payload en de headers webhook-id en webhook-timestamp. Een ontvanger die onbekende velden weigert, moet worden bijgewerkt, en omdat leveringen nu opnieuw worden geprobeerd, moet hij een webhook-id die hij al verwerkte negeren.
  • De inkomende ontvanger neemt zijn token nu in de Authorization-header. Tokens in de URL werken nog, maar zijn afgeschaft, tokens worden gehasht opgeslagen en kunnen niet opnieuw worden getoond, een onbekend token krijgt 401 als antwoord, en meer dan 120 gebeurtenissen per minuut 429.
  • Nieuwe API-sleutels hebben scopes nodig. Bestaande sleutels houden hun volledige bereik en zijn gemarkeerd als Volledige toegang (legacy), en elke sleutel is begrensd op 600 verzoeken per minuut. Bestaande sleutels in het oude formaat blijven werken; omdat ongebruikte sleutels na 90 dagen worden ingetrokken, volgen de eerste intrekkingen in januari.
  • De API zet de status van een patch niet meer rechtstreeks. Gebruik goedkeuren, afwijzen en plannen.
  • Afgeronde patchuitrol kan worden hervat op ringen die sindsdien zijn toegevoegd, en winget-uitrol begint bij de volgende release van een pakket weer bij de eerste ring.
  • Bestaande aanvalsverhalen tonen geen uitleg op hun kaart tot ze een nieuw signaal krijgen, en herstarts verschijnen vanaf deze release in het agentlog van het apparaat.
  • De nieuwere firewalluitlezing (collectormodus, SonicWall, Sophos en apparaatontdekking) en de bedrijfslijsten uit PSA en RMM zijn nieuw. Probeer ze eerst bij één klant. Apparaatontdekking, de controle van buitenaf en perimeterrespons staan standaard uit en worden per koppeling ingeschakeld.

Opgelost

  • Aanmelden met tweestapsverificatie. Een code die een paar seconden te laat wordt ingetypt, wordt geaccepteerd, een verkeerde code laadt de aanmeldpagina niet meer opnieuw, foutmeldingen zeggen wat er misging, en de knop voor een beveiligingssleutel staat weer bij de stap voor tweestapsverificatie.
  • Routinematig herstelonderhoud, zoals de eigen WinRE-oplossing van Microsoft, wordt niet meer halverwege het script gestopt. Schaduwkopieën verwijderen blijft kritiek.
  • Een installatieprogramma dat netjes afsloot zonder te upgraden, telt niet meer als gepatcht en wordt opnieuw geprobeerd. Microsoft Edge neemt bij het verifiëren van een oplossing geen WebView2-bevindingen meer mee, tegels en lijsten komen overeen, en de CSV van de installatiegeschiedenis exporteert elke rij.
  • Bevindingen voor Microsoft 365-beheerders die via PIM in aanmerking komen, blijven open wanneer de API van Microsoft wordt afgeknepen of niet beschikbaar is, in plaats van te sluiten.

Beveiliging

  • Inkomende ontvanger. Het token verhuist van de URL naar een header en wordt gehasht opgeslagen, de ontvanger kan ondertekening volgens Standard Webhooks eisen, en hij wordt beheerd vanuit de instellingen van de integratie in plaats van alleen via de API. Tokens verschijnen niet meer in verzoeklogs.
  • API-sleutels zijn per gebied afgebakend en kunnen aan klanten en adressen worden gebonden, elke wijziging legt de sleutel vast die haar maakte, en gelekte sleutels zijn herkenbaar voor secret scanners. Acties op endpoints, mailboxen, firewalls en toegang worden een sleutel nooit standaard gegeven.