Bitdefender lancia GravityZone Exposure Management per mappare i percorsi di attacco e ridurre il rischio

Un servizio esposto, una workstation non aggiornata e un account con privilegi eccessivi possono sembrare problemi distinti in una coda di sicurezza. Per un aggressore, invece, possono costituire un percorso verso lo stesso sistema critico. Bitdefender porta alla luce queste connessioni con GravityZone Exposure Management, una nuova offerta annunciata il 27 ottobre che combina il rilevamento delle esposizioni interne ed esterne, l’analisi dei percorsi di attacco e il rafforzamento adattivo.

Il lancio si rivolge ai team di sicurezza che devono decidere quali vulnerabilità affrontare per prime senza dover gestire un’altra console. Basata sulla piattaforma GravityZone, l’offerta collega l’individuazione delle vulnerabilità alla comprensione delle loro conseguenze e alla riduzione delle opportunità che gli aggressori potrebbero sfruttare.

Da un elenco di vulnerabilità a un percorso che un aggressore potrebbe seguire

La gestione tradizionale delle vulnerabilità parte spesso da un ampio inventario di rilievi. I punteggi di gravità aiutano a organizzarlo, ma da soli non chiariscono se una vulnerabilità consenta di accedere a una risorsa importante o si combini con un problema di identità presente in un’altra parte dell’ambiente.

GravityZone Exposure Management riunisce le vulnerabilità dei sistemi operativi e delle applicazioni di terze parti, le configurazioni non sicure e i comportamenti rischiosi degli utenti. Le sue funzionalità di gestione della superficie di attacco esterna estendono questa visione alle risorse esposte a Internet, tra cui sottodomini esposti, servizi configurati in modo errato e shadow IT.

La componente dedicata ai percorsi di attacco mette in relazione questi rilievi. Mappa le esposizioni, le identità e le risorse critiche, così che i difensori possano esaminare in che modo un punto d’appoggio iniziale potrebbe condurre a una destinazione dalle conseguenze più gravi. La domanda pratica diventa quale intervento correttivo interromperebbe quel percorso, anziché quale singolo avviso abbia il punteggio più alto.

La spiegazione tecnica di Bitdefender sui percorsi di attacco descrive un grafo costruito a partire dai dati telemetrici già disponibili in GravityZone. Account e dispositivi sono rappresentati come nodi collegati, accompagnati da spiegazioni delle tecniche che potrebbero consentire di spostarsi dall’uno all’altro. La visualizzazione del percorso più breve aiuta gli analisti a isolare una via diretta, mantenendo al contempo disponibili percorsi alternativi da esaminare.

Questi grafi rappresentano potenziali esposizioni, non provano che un aggressore si stia spostando in quel momento all’interno di una rete. La distinzione è importante: un modello utile dei percorsi guida le attività preventive, mentre il rilevamento e la risposta agli incidenti richiedono comunque prove e flussi di lavoro specifici.

Il rafforzamento basato sul comportamento mira a contrastare l’abuso di strumenti legittimi

La sola individuazione delle vulnerabilità non riduce il rischio. La nuova offerta integra anche PHASR, la tecnologia di Bitdefender per il rafforzamento proattivo e la riduzione della superficie di attacco, che apprende i modelli delle attività legittime e li usa per orientare le restrizioni.

Questo approccio affronta una difficile sfida difensiva: gli aggressori usano spesso strumenti da cui dipendono anche gli amministratori. PowerShell, per esempio, può servire per attività di manutenzione essenziali oppure aiutare un intruso a eseguire comandi. Bloccare uno strumento ovunque può compromettere le operazioni; lasciarlo senza restrizioni ovunque mantiene aperte possibilità di abuso.

PHASR usa profili comportamentali di riferimento per individuare dove l’accesso a strumenti di questo tipo è necessario e dove può essere ridotto. Secondo la documentazione di PHASR di Bitdefender, i profili sono specifici per ciascuna coppia utente-dispositivo. Gli amministratori possono esaminare i suggerimenti in modalità Direct Control oppure usare Autopilot per applicarli automaticamente. L’apprendimento richiede in genere dai 30 ai 60 giorni, anche se i dati storici EDR esistenti possono abbreviare questo periodo.

La scelta operativa è rilevante. Un team può iniziare esaminando le restrizioni proposte e verificandone l’impatto sui flussi di lavoro importanti, prima di passare a un livello maggiore di automazione. L’apprendimento comportamentale aiuta a prendere questa decisione, ma per un’implementazione efficace restano fondamentali anche la responsabilità delle applicazioni e la gestione delle eccezioni.

Perché i team di sicurezza con risorse limitate faticano a trasformare la visibilità in azione

Bitdefender presenta il lancio come una risposta al divario tra l’individuazione delle vulnerabilità e la loro correzione sistematica. In un sondaggio aziendale condotto su 1.200 professionisti della cybersicurezza e citato nell’annuncio, il 38% ha indicato come una difficoltà il carico di lavoro necessario per mantenere le regole di rafforzamento e gestire le eccezioni. Il timore di causare interruzioni operative è seguito al 35,4%, mentre il 34,6% ha citato i limiti di risorse.

Questi risultati aiutano a spiegare perché sia interessante collegare individuazione, definizione delle priorità e rafforzamento in un unico flusso di lavoro. Un team potrebbe già sapere che un account dispone di privilegi eccessivi o che un server richiede attenzione. La difficoltà maggiore consiste nel decidere cosa modificare per primo, chi è responsabile della modifica e se una restrizione interferirà con il lavoro legittimo.

Andrei Florescu, presidente e direttore generale di Bitdefender Business Solutions Group, ha dichiarato nell’annuncio che l’IA e la scansione automatizzata rendono più facile per gli avversari individuare un server non aggiornato o un utente con privilegi eccessivi che potrebbe offrire un punto d’appoggio. La risposta proposta da Bitdefender consiste nel combinare una visione più ampia dell’esposizione con un rafforzamento che si adatta ai cambiamenti delle attività.

Per gli acquirenti, il valore dipenderà dalla capacità di questa combinazione di ridurre i percorsi sfruttabili e accelerare la correzione. Una dashboard sempre più ricca di rilievi è utile solo se i team riescono a tradurli in modifiche di cui possano verificare l’efficacia.

Distribuzione, licenze e limiti del pacchetto

L’annuncio del lancio specifica che il prodotto è disponibile su Windows per i clienti nuovi ed esistenti, mentre il supporto per altri sistemi operativi è previsto in futuro. Bitdefender offre il prodotto come componente aggiuntivo per GravityZone Business Security Enterprise e per i piani superiori, nonché come soluzione autonoma, utilizzabile insieme a una soluzione di sicurezza degli endpoint già esistente.

La documentazione sulla distribuzione di Exposure Management elenca PHASR, Risk Management e la gestione della superficie di attacco esterna tra le funzionalità incluse; Attack Path e Unified Identities sono invece indicate come funzionalità in accesso anticipato. Le organizzazioni dovrebbero distinguere l’accesso all’offerta nel suo complesso dal grado di maturità e dalla disponibilità di ciascun componente.

La stessa documentazione chiarisce un’altra distinzione utile: AI Visibility and Control e Patch Management sono componenti aggiuntivi separati. Individuare una patch mancante, consigliare come applicarla e distribuirla sono attività correlate, ma gli acquirenti dovrebbero verificare quali di queste azioni sono effettivamente supportate dalla licenza scelta.

Un approccio più integrato alla sicurezza preventiva

GravityZone Exposure Management riflette una tendenza più ampia a valutare le vulnerabilità nel loro contesto. La rilevanza di un dispositivo per la sicurezza dipende in parte dalle risorse che può raggiungere; quella di un account dipende da ciò che i suoi privilegi consentono di fare. Considerare insieme queste relazioni può rendere più mirate le attività di prevenzione.

Il caso d’uso più indicato riguarda un team di sicurezza che ha già più rilievi di quanti riesca a gestire agevolmente e ha bisogno di stabilire con maggiore chiarezza l’ordine degli interventi. L’analisi dei percorsi di attacco può aiutare a capire dove intervenire, mentre il rafforzamento basato sul comportamento può limitare gli strumenti e i privilegi disponibili lungo quei percorsi. Il successo si misura verificando se questi interventi riducono l’esposizione senza compromettere le attività necessarie all’azienda.