Bitdefender führt GravityZone Exposure Management ein, um Angriffspfade abzubilden und Risiken zu reduzieren

Ein ungeschützter Dienst, ein nicht gepatchter Arbeitsplatzrechner und ein Konto mit übermäßigen Berechtigungen können in einer Sicherheitswarteschlange wie voneinander unabhängige Probleme wirken. Für Angreifer können sie jedoch einen Weg in dasselbe kritische System bilden. Bitdefender rückt diese Zusammenhänge mit GravityZone Exposure Management in den Fokus. Das am 27. Oktober angekündigte neue Angebot kombiniert die Erkennung interner und externer Gefährdungen, die Analyse von Angriffspfaden und adaptive Härtungsmaßnahmen.

Die Einführung richtet sich an Sicherheitsteams, die entscheiden müssen, welche Schwachstellen zuerst behoben werden sollen, ohne dafür eine weitere zu verwaltende Konsole einzurichten. Die Lösung basiert auf der GravityZone-Plattform und verbindet die Suche nach Schwachstellen mit der Bewertung ihrer Folgen und der Verringerung der Möglichkeiten, die Angreifer ausnutzen könnten.

Von einer Liste mit Schwachstellen zu einem möglichen Angriffsweg

Das herkömmliche Schwachstellenmanagement beginnt oft mit einer umfangreichen Liste von Befunden. Bewertungen des Schweregrads helfen dabei, diese Liste zu ordnen. Für sich genommen zeigen sie jedoch nicht, ob eine Schwachstelle den Zugriff auf ein wichtiges Asset ermöglicht oder mit einem Identitätsproblem an anderer Stelle in der Umgebung zusammenwirkt.

GravityZone Exposure Management führt Schwachstellen in Betriebssystemen und Drittanbieteranwendungen, unsichere Konfigurationen und riskantes Nutzerverhalten zusammen. Die Funktionen für das Management externer Angriffsflächen erweitern diese Sicht auf aus dem Internet erreichbare Assets, darunter offengelegte Subdomains, falsch konfigurierte Dienste und Schatten-IT.

Die Komponente zur Analyse von Angriffspfaden stellt Zusammenhänge zwischen diesen Befunden her. Sie bildet Gefährdungen, Identitäten und kritische Assets ab, damit Verteidiger untersuchen können, wie ein erster Zugriffspunkt zu einem folgenschwereren Ziel führen könnte. Entscheidend ist dann, welche Behebung diesen Weg unterbrechen würde – und nicht einfach, welche einzelne Warnmeldung den höchsten Wert aufweist.

Bitdefenders technische Erläuterung zu Attack Path beschreibt ein aus vorhandenen Telemetriedaten von GravityZone erstelltes Diagramm. Konten und Geräte werden als miteinander verbundene Knoten dargestellt; Erläuterungen zeigen, welche Techniken eine Bewegung zwischen ihnen ermöglichen könnten. Eine Ansicht des kürzesten Pfads hilft Analysten, einen direkten Weg herauszufiltern und zugleich alternative Verzweigungen für weitere Untersuchungen beizubehalten.

Diese Diagramme stellen potenzielle Gefährdungen dar und sind kein Beleg dafür, dass sich ein Angreifer gerade durch ein Netzwerk bewegt. Dieser Unterschied ist wichtig: Ein nützliches Pfadmodell unterstützt präventive Maßnahmen, während die Erkennung und Abwehr von Sicherheitsvorfällen weiterhin eigene Belege und Arbeitsabläufe erfordern.

Verhaltensbasierte Härtung zielt auf den Missbrauch legitimer Werkzeuge

Die Erkennung allein beseitigt keine Risiken. Das neue Angebot umfasst auch PHASR, Bitdefenders Technologie für proaktive Härtung und Angriffsflächenreduzierung. Sie lernt Muster legitimer Aktivitäten und nutzt sie als Grundlage für Einschränkungen.

Damit wird ein schwieriges Problem für die Verteidigung angegangen: Angreifer nutzen häufig Werkzeuge, auf die auch Administratoren angewiesen sind. PowerShell kann beispielsweise für notwendige Wartungsarbeiten eingesetzt werden oder einem Eindringling dabei helfen, Befehle auszuführen. Ein Werkzeug überall zu blockieren, kann den Betrieb stören; es überall uneingeschränkt verfügbar zu lassen, bietet weiterhin Möglichkeiten für Missbrauch.

PHASR nutzt Verhaltensprofile als Ausgangsbasis, um zu erkennen, wo der Zugriff auf solche Werkzeuge erforderlich ist und wo er eingeschränkt werden kann. Laut der PHASR-Dokumentation von Bitdefender gelten die Profile jeweils für eine bestimmte Kombination aus Nutzer und Gerät. Administratoren können Empfehlungen im Modus Direct Control prüfen oder sie mithilfe von Autopilot automatisch umsetzen. Die Lernphase dauert üblicherweise 30 bis 60 Tage, kann sich jedoch durch vorhandene EDR-Daten verkürzen.

Die Entscheidung für das Vorgehen ist von großer Bedeutung. Ein Team kann zunächst vorgeschlagene Einschränkungen prüfen und ihre Auswirkungen auf wichtige Arbeitsabläufe testen, bevor es stärker auf Automatisierung setzt. Das Lernen anhand von Verhaltensmustern unterstützt diese Entscheidung; die Zuständigkeit für Anwendungen und der Umgang mit Ausnahmen bleiben jedoch ebenfalls wichtige Bestandteile einer erfolgreichen Einführung.

Warum es Sicherheitsteams mit knappen Ressourcen schwerfällt, Erkenntnisse in Maßnahmen umzusetzen

Bitdefender stellt die Einführung in den Zusammenhang mit der Lücke zwischen dem Erkennen von Schwachstellen und ihrer konsequenten Behebung. In einer vom Unternehmen in der Ankündigung angeführten Umfrage unter 1.200 Cybersicherheitsexperten nannten 38 % den Aufwand für die Pflege von Härtungsregeln und Ausnahmen als Herausforderung. An zweiter Stelle stand die Sorge vor Betriebsunterbrechungen mit 35,4 %, während 34,6 % Ressourcenengpässe angaben.

Diese Ergebnisse erklären, warum es attraktiv ist, Erkennung, Priorisierung und Härtung in einem einzigen Arbeitsablauf zu verbinden. Ein Team weiß möglicherweise bereits, dass ein Konto übermäßige Berechtigungen hat oder ein Server Aufmerksamkeit benötigt. Schwieriger ist es, zu entscheiden, was zuerst geändert werden soll, wer dafür zuständig ist und ob eine Einschränkung die legitime Arbeit beeinträchtigen wird.

Andrei Florescu, Präsident und Geschäftsführer der Bitdefender Business Solutions Group, erklärte in der Ankündigung, KI und automatisierte Scans erleichterten es Angreifern, einen ungepatchten Server oder einen Nutzer mit übermäßigen Berechtigungen zu finden, über den sie sich ersten Zugang verschaffen könnten. Bitdefender will dem mit einer umfassenderen Sicht auf Gefährdungen und Härtungsmaßnahmen begegnen, die sich an veränderte Aktivitäten anpassen.

Für Käufer hängt der Nutzen davon ab, ob diese Kombination die Zahl ausnutzbarer Angriffswege verringert und die Behebung beschleunigt. Ein wachsendes Dashboard mit Befunden ist nur dann nützlich, wenn Teams daraus Änderungen ableiten können, deren Umsetzung sie überprüfen können.

Bereitstellung, Lizenzierung und die Grenzen des Pakets

In der Ankündigung zum Produktstart wird die Verfügbarkeit für Windows-Kunden – neue wie bestehende – genannt; Unterstützung für weitere Betriebssysteme ist geplant. Bitdefender bietet das Produkt als Zusatzoption für GravityZone Business Security Enterprise und höhere Tarife sowie als eigenständige Option an, die neben einer bestehenden Endpoint-Security-Lösung eingesetzt werden kann.

In der Dokumentation zur Bereitstellung von Exposure Management werden PHASR, Risikomanagement und das Management externer Angriffsflächen als enthaltene Funktionen aufgeführt; Angriffspfad und vereinheitlichte Identitäten sind als Funktionen mit frühzeitigem Zugriff gekennzeichnet. Unternehmen sollten zwischen dem Zugang zum Gesamtangebot und dem Reifegrad sowie der Verfügbarkeit der einzelnen Komponenten unterscheiden.

Dieselbe Dokumentation macht noch eine weitere nützliche Unterscheidung: KI-Transparenz und -Kontrolle sowie Patch-Management sind separate Zusatzoptionen. Einen fehlenden Patch zu finden, eine Behebung zu empfehlen und den Patch einzuspielen, sind zusammenhängende Aufgaben. Käufer sollten jedoch prüfen, welche dieser Aktionen ihre gewählte Lizenz tatsächlich unterstützt.

Ein stärker vernetzter Ansatz für präventive Sicherheit

GravityZone Exposure Management steht für einen breiteren Wandel hin zur kontextbezogenen Bewertung von Schwachstellen. Die Sicherheitsrelevanz eines Geräts hängt zum Teil davon ab, auf welche Ressourcen es zugreifen kann; die eines Kontos davon, was seine Berechtigungen ermöglichen. Werden diese Zusammenhänge gemeinsam betrachtet, lassen sich präventive Maßnahmen gezielter ausrichten.

Der größte Nutzen ergibt sich für Sicherheitsteams, die bereits mehr Befunde haben, als sie ohne Weiteres bearbeiten können, und eine klarere Reihenfolge der Maßnahmen benötigen. Die Analyse von Angriffspfaden kann dabei helfen, Ansatzpunkte für Gegenmaßnahmen zu erkennen, während eine Härtung anhand des Nutzerverhaltens die entlang dieser Pfade verfügbaren Werkzeuge und Berechtigungen einschränken kann. Entscheidend ist, ob diese Maßnahmen die Angriffsfläche verringern und zugleich die für das Unternehmen notwendigen Arbeitsabläufe erhalten.