Bitdefender julkaisee GravityZone Exposure Management -ratkaisun hyökkäysreittien kartoittamiseen ja riskien vähentämiseen

Tietoturvatiimin työjonossa internetiin avoin palvelu, päivittämätön työasema ja liian laajat käyttöoikeudet omaava käyttäjätili voivat näyttää erillisiltä ongelmilta. Hyökkääjälle ne voivat kuitenkin muodostaa reitin samaan kriittiseen järjestelmään. Bitdefender tuo nämä yhteydet näkyviin uudella GravityZone Exposure Management -ratkaisulla, jonka julkaisemisesta ilmoitettiin 27. lokakuuta. Se yhdistää sisäisten ja ulkoisten altistumien havaitsemisen, hyökkäysreittien analysoinnin ja mukautuvan suojauksen vahvistamisen.

Ratkaisu on suunnattu tietoturvatiimeille, joiden on päätettävä, mihin haavoittuvuuksiin puuttua ensin ilman, että hallittavaksi tulee jälleen yksi hallintakonsoli. GravityZone-alustaan perustuva ratkaisu yhdistää haavoittuvuuksien löytämisen niiden seurausten ymmärtämiseen ja hyökkääjien mahdollisesti hyödyntämien tilaisuuksien vähentämiseen.

Haavoittuvuusluettelosta hyökkääjän mahdollisesti seuraamaan reittiin

Perinteinen haavoittuvuuksien hallinta alkaa usein laajasta löydösluettelosta. Vakavuuspisteet auttavat järjestämään luetteloa, mutta eivät yksin kerro, antaako jokin haavoittuvuus pääsyn tärkeään kohteeseen tai yhdistyykö se muualla ympäristössä olevaan identiteettiongelmaan.

GravityZone Exposure Management kokoaa yhteen käyttöjärjestelmien ja kolmansien osapuolten sovellusten haavoittuvuudet, turvattomat määritykset ja riskialttiin käyttäjätoiminnan. Ulkoisen hyökkäyspinnan hallintaominaisuudet laajentavat näkymän internetiin kytkettyihin kohteisiin, kuten julkisesti näkyviin aliverkkotunnuksiin, virheellisesti määritettyihin palveluihin ja varjo-IT:hen.

Hyökkäysreittien analysointiosa tuo löydösten väliset yhteydet näkyviin. Se kartoittaa altistumat, identiteetit ja kriittiset kohteet, jotta puolustajat voivat tarkastella, miten ensimmäinen pääsykohta voisi johtaa merkittävämpään kohteeseen. Käytännössä on tärkeämpää kysyä, mikä korjaustoimi katkaisisi reitin, kuin mikä yksittäinen hälytys on saanut korkeimman pistemäärän.

Bitdefenderin Attack Path -ominaisuuden teknisessä kuvauksessa esitellään olemassa olevien GravityZone-telemetriatietojen perusteella koottu graafi. Käyttäjätilit ja laitteet näkyvät toisiinsa yhdistettyinä solmuina, ja kuvauksessa kerrotaan tekniikoista, joiden avulla niiden välillä voitaisiin siirtyä. Lyhimmän reitin näkymä auttaa analyytikkoja erottamaan suoran reitin ja säilyttämään samalla vaihtoehtoiset haarat tutkittaviksi.

Graafit kuvaavat mahdollista altistumista, eivätkä ole todiste siitä, että hyökkääjä liikkuisi parhaillaan verkossa. Erottelu on tärkeä: hyödyllinen reittimalli ohjaa ennaltaehkäisevää työtä, kun taas poikkeamien havaitseminen ja niihin vastaaminen edellyttävät edelleen omia todisteitaan ja toimintamallejaan.

Käyttäytymiseen perustuva suojauksen vahvistaminen ehkäisee laillisten työkalujen väärinkäyttöä

Pelkkä havaitseminen ei poista riskiä. Uusi ratkaisu sisältää myös PHASR-teknologian eli ennakoivan suojauksen vahvistamisen ja hyökkäyspinnan pienentämisen teknologian. Se oppii laillisen toiminnan malleja ja hyödyntää niitä rajoitusten määrittämisessä.

Tämä auttaa ratkaisemaan vaikean puolustusongelman: hyökkääjät käyttävät usein työkaluja, joista myös järjestelmänvalvojat ovat riippuvaisia. Esimerkiksi PowerShellillä voidaan tehdä välttämättömiä ylläpitotöitä tai auttaa tunkeutujaa suorittamaan komentoja. Työkalun estäminen kaikkialla voi häiritä toimintaa, kun taas sen rajoittamaton käyttö kaikkialla jättää tilaisuuksia väärinkäytölle.

PHASR hyödyntää käyttäytymisen perustasoja tunnistaakseen, missä tällaisten työkalujen käyttöoikeus on tarpeen ja missä sitä voidaan rajoittaa. Bitdefenderin PHASR-dokumentaation mukaan profiilit määritetään käyttäjä- ja laitepareittain. Järjestelmänvalvojat voivat tarkastella suosituksia Direct Control -tilassa tai ottaa ne käyttöön automaattisesti Autopilotilla. Oppiminen kestää yleensä 30–60 päivää, mutta olemassa oleva EDR-historia voi lyhentää tätä aikaa.

Toimintatavan valinnalla on merkittäviä vaikutuksia. Tiimi voi aloittaa tarkastelemalla ehdotettuja rajoituksia ja testaamalla niiden vaikutusta tärkeisiin työnkulkuihin ennen automaation lisäämistä. Käyttäytymisen oppiminen tukee päätöksentekoa, mutta sovellusten omistajuus ja poikkeusten käsittely ovat edelleen onnistuneen käyttöönoton edellytyksiä.

Miksi vähäresurssisten tietoturvatiimien on vaikea muuttaa näkyvyyttä toiminnaksi

Bitdefender perustelee julkaisua kuilulla, joka vallitsee haavoittuvuuksien tunnistamisen ja niiden järjestelmällisen korjaamisen välillä. Julkistuksessa mainitussa yrityksen kyselyssä, johon vastasi 1 200 kyberturvallisuuden ammattilaista, 38 % piti suojauksen vahvistamiseen liittyvien sääntöjen ja poikkeusten ylläpidon työmäärää haasteena. Seuraavaksi yleisin haaste oli pelko toiminnan häiriintymisestä (35,4 %), ja resurssipulan mainitsi 34,6 %.

Tulokset auttavat ymmärtämään, miksi löydösten tekemisen, priorisoinnin ja suojauksen vahvistamisen yhdistäminen samaan työnkulkuun houkuttelee. Tiimi voi jo tietää, että käyttäjätilillä on liian laajat oikeudet tai että palvelin vaatii huomiota. Vaikeampaa on päättää, mitä muutetaan ensin, kuka muutoksesta vastaa ja häiritseekö rajoitus oikeutettua työtä.

Bitdefender Business Solutions Groupin johtaja ja toimitusjohtaja Andrei Florescu sanoi julkistuksessa, että tekoäly ja automaattinen skannaus helpottavat vastustajien työtä, kun ne etsivät päivittämätöntä palvelinta tai liian laajat oikeudet omaavaa käyttäjää, jonka kautta ne voisivat päästä järjestelmään. Bitdefender ehdottaa ratkaisuksi altistumien laajemman tarkastelun yhdistämistä suojauksen vahvistamiseen, joka mukautuu toiminnan muuttuessa.

Ostajien kannalta tuotteen arvo riippuu siitä, vähentääkö tämä yhdistelmä hyödynnettävissä olevia hyökkäysreittejä ja nopeuttaako se korjaustoimia. Kasvavasta löydösten koontinäytöstä on hyötyä vain, jos tiimit pystyvät muuttamaan tiedot muutoksiksi, joiden toteutumisen ne voivat varmistaa.

Käyttöönotto, lisensointi ja paketin rajoitukset

Julkaisuilmoituksen mukaan tuote on saatavilla Windowsille uusille ja nykyisille asiakkaille, ja tuki muille käyttöjärjestelmille on suunnitteilla. Bitdefender tarjoaa tuotetta lisäosana GravityZone Business Security Enterprise -ratkaisuun ja sitä ylemmille tasoille sekä erillisenä vaihtoehtona, jota voidaan käyttää nykyisen päätelaitesuojauksen rinnalla.

Exposure Managementin käyttöönotto-ohjeissa luetellaan mukana oleviksi ominaisuuksiksi PHASR, Risk Management ja ulkoisen hyökkäyspinnan hallinta. Attack Path ja Unified Identities on puolestaan merkitty ennakkokäyttövaiheen ominaisuuksiksi. Organisaatioiden kannattaa erottaa toisistaan pääsy koko tarjontaan ja kunkin komponentin kypsyysaste sekä saatavuus.

Samoissa ohjeissa tehdään toinenkin hyödyllinen erottelu: AI Visibility and Control ja Patch Management ovat erillisiä lisäosia. Puuttuvan korjauspäivityksen löytäminen, korjaustoimien suositteleminen ja päivityksen asentaminen ovat toisiinsa liittyviä tehtäviä, mutta ostajien kannattaa varmistaa, mitä toimintoja heidän valitsemansa lisenssi todella tukee.

Yhtenäisempi lähestymistapa ennaltaehkäisevään tietoturvaan

GravityZone Exposure Management kuvastaa laajempaa suuntausta, jossa haavoittuvuuksia arvioidaan niiden toimintaympäristössä. Laitteen merkitys tietoturvan kannalta riippuu osittain siitä, mihin se pääsee käsiksi; käyttäjätilin merkitys puolestaan riippuu siitä, mitä sen käyttöoikeuksilla voi tehdä. Näiden suhteiden tarkastelu yhdessä voi auttaa kohdentamaan ennaltaehkäiseviä toimia paremmin.

Ratkaisusta on eniten hyötyä tietoturvatiimille, jolla on jo enemmän löydöksiä kuin se pystyy kohtuudella käsittelemään ja joka tarvitsee selkeämmän työjärjestyksen. Hyökkäysreittien analysointi voi auttaa selvittämään, missä toimiin kannattaa ryhtyä, kun taas käyttäytymiseen perustuva suojausten vahvistaminen voi rajata näillä reiteillä käytettävissä olevia työkaluja ja käyttöoikeuksia. Onnistumista mitataan sillä, vähentävätkö nämä toimet altistumista vaarantamatta samalla liiketoiminnan edellyttämää työtä.