Bitdefender introduceert GravityZone Exposure Management om aanvalsroutes in kaart te brengen en risico’s te beperken

Een blootgestelde dienst, een niet-gepatchte werkplek en een account met te ruime rechten kunnen in een beveiligingswachtrij op afzonderlijke problemen lijken. Voor een aanvaller kunnen ze samen een route vormen naar hetzelfde kritieke systeem. Bitdefender brengt die verbanden in beeld met GravityZone Exposure Management, een nieuwe oplossing die op 27 oktober werd aangekondigd en opsporing van interne en externe blootstelling, analyse van aanvalsroutes en adaptieve beveiliging combineert.

De introductie is gericht op beveiligingsteams die moeten bepalen welke kwetsbaarheden ze als eerste aanpakken, zonder er nog een beheerconsole bij te krijgen. De oplossing is gebouwd rond het GravityZone-platform en verbindt het opsporen van kwetsbaarheden met inzicht in de gevolgen ervan en het verkleinen van de mogelijkheden die aanvallers zouden kunnen benutten.

Van een lijst met kwetsbaarheden naar een route die een aanvaller zou kunnen volgen

Traditioneel kwetsbaarheidsbeheer begint vaak met een omvangrijke inventarisatie van bevindingen. Ernstscores helpen die inventarisatie te ordenen, maar maken op zichzelf niet duidelijk of een kwetsbaarheid toegang biedt tot een belangrijk bedrijfsmiddel of samengaat met een identiteitsprobleem elders in de omgeving.

GravityZone Exposure Management brengt kwetsbaarheden in besturingssystemen en toepassingen van derden, onveilige configuraties en risicovol gebruikersgedrag samen. De mogelijkheden voor beheer van het externe aanvalsoppervlak breiden dat overzicht uit naar assets die via internet bereikbaar zijn, waaronder blootgestelde subdomeinen, verkeerd geconfigureerde diensten en schaduw-IT.

De component voor aanvalsrouteanalyse brengt verbanden tussen die bevindingen in kaart. De component koppelt blootstellingen, identiteiten en kritieke bedrijfsmiddelen, zodat verdedigers kunnen onderzoeken hoe een eerste toegangspunt kan leiden naar een bestemming met grotere gevolgen. De praktische vraag is dan welke herstelmaatregel die route zou onderbreken, in plaats van alleen welke afzonderlijke waarschuwing de hoogste score heeft.

In Bitdefenders technische toelichting op Attack Path wordt een grafiek beschreven die is samengesteld op basis van bestaande telemetrie van GravityZone. Accounts en apparaten worden weergegeven als verbonden knooppunten, met toelichtingen op de technieken waarmee aanvallers zich ertussen kunnen verplaatsen. Een weergave van het kortste pad helpt analisten een directe route te isoleren, terwijl alternatieve vertakkingen beschikbaar blijven voor nader onderzoek.

Deze grafieken geven mogelijke blootstelling weer, niet het bewijs dat een aanvaller zich op dat moment door een netwerk beweegt. Dat onderscheid is belangrijk: een bruikbaar model van aanvalsroutes helpt preventieve maatregelen te sturen, terwijl detectie en respons bij incidenten nog altijd eigen bewijs en werkprocessen vereisen.

Beveiliging op basis van gedrag richt zich op misbruik van legitieme tools

Alleen kwetsbaarheden opsporen neemt het risico niet weg. De nieuwe oplossing omvat ook PHASR, de technologie van Bitdefender voor proactieve beveiliging en verkleining van het aanvalsoppervlak, die patronen van legitieme activiteiten leert herkennen en gebruikt om beperkingen te helpen bepalen.

Dit pakt een lastig verdedigingsprobleem aan: aanvallers gebruiken vaak tools waar beheerders zelf ook van afhankelijk zijn. PowerShell kan bijvoorbeeld noodzakelijk onderhoud ondersteunen of een indringer helpen opdrachten uit te voeren. Een tool overal blokkeren kan de bedrijfsvoering verstoren; de tool overal onbeperkt beschikbaar laten, biedt kansen voor misbruik.

PHASR gebruikt gedragsprofielen als uitgangspunt om vast te stellen waar toegang tot zulke tools noodzakelijk is en waar die kan worden beperkt. Volgens de PHASR-documentatie van Bitdefender zijn profielen specifiek voor combinaties van gebruikers en apparaten. Beheerders kunnen aanbevelingen bekijken in de modus Direct Control of Autopilot gebruiken om ze automatisch toe te passen. Het leerproces duurt doorgaans 30 tot 60 dagen, maar kan korter zijn als er al EDR-geschiedenis beschikbaar is.

De keuze voor de werkwijze is van belang. Een team kan beginnen met het beoordelen van voorgestelde beperkingen en het testen van hun effect op belangrijke werkprocessen, voordat het verder automatiseert. Leren op basis van gedrag helpt bij die keuze, maar ook eigenaarschap van toepassingen en het afhandelen van uitzonderingen blijven noodzakelijk voor een geslaagde invoering.

Waarom kleine beveiligingsteams moeite hebben om inzicht om te zetten in actie

Bitdefender presenteert de introductie als een antwoord op de kloof tussen kwetsbaarheden opsporen en ze consequent verhelpen. In een bedrijfsenquête onder 1.200 cybersecurityprofessionals, waarnaar in de aankondiging wordt verwezen, noemde 38% de tijd en inspanning die nodig zijn om beveiligingsregels en uitzonderingen te onderhouden als een uitdaging. Vrees voor verstoring van de bedrijfsvoering volgde met 35,4%, terwijl 34,6% beperkte middelen noemde.

Deze bevindingen helpen verklaren waarom het aantrekkelijk is om opsporing, prioritering en beveiliging in één werkproces te combineren. Een team weet misschien al dat een account te ruime rechten heeft of dat een server aandacht nodig heeft. De moeilijkere taak is bepalen wat eerst moet veranderen, wie verantwoordelijk is voor die wijziging en of een beperking legitiem werk in de weg zal zitten.

Andrei Florescu, president en algemeen directeur van Bitdefender Business Solutions Group, zei in de aankondiging dat AI en geautomatiseerde scans het voor tegenstanders eenvoudiger maken een niet-gepatchte server of een gebruiker met te ruime rechten te vinden die als eerste toegangspunt kan dienen. Bitdefender wil daarop reageren door een breder beeld van blootstelling te combineren met beveiligingsmaatregelen die zich aanpassen wanneer activiteiten veranderen.

Voor kopers hangt de waarde af van de vraag of die combinatie leidt tot minder routes die kunnen worden misbruikt en sneller herstel. Een groeiend overzicht van bevindingen is alleen nuttig als teams die kunnen omzetten in veranderingen waarvan ze het effect kunnen controleren.

Implementatie, licenties en de beperkingen van het pakket

In de aankondiging van de lancering staat dat het product beschikbaar is voor Windows en voor nieuwe en bestaande klanten. Ondersteuning voor andere besturingssystemen is gepland. Bitdefender biedt het product aan als add-on voor GravityZone Business Security Enterprise en hogere abonnementen, en als zelfstandige optie die naast een bestaande endpointbeveiligingsoplossing kan worden gebruikt.

In de documentatie voor de implementatie van Exposure Management worden PHASR, Risk Management en beheer van het externe aanvalsoppervlak genoemd als inbegrepen mogelijkheden. Attack Path en Unified Identities worden aangemerkt als functies met vroege toegang. Organisaties moeten onderscheid maken tussen toegang tot het totale aanbod en de mate van volwassenheid en beschikbaarheid van elk onderdeel.

Dezelfde documentatie maakt nog een nuttig onderscheid: AI Visibility and Control en Patch Management zijn afzonderlijke add-ons. Een ontbrekende patch opsporen, herstel aanbevelen en die patch implementeren zijn verwante taken, maar kopers moeten nagaan welke acties hun gekozen licentie daadwerkelijk ondersteunt.

Een meer samenhangende aanpak van preventieve beveiliging

GravityZone Exposure Management weerspiegelt een bredere verschuiving naar het beoordelen van kwetsbaarheden in hun context. Het beveiligingsrisico van een apparaat hangt deels af van wat het kan bereiken; dat van een account hangt af van wat de bijbehorende rechten mogelijk maken. Door die verbanden samen te brengen, kan preventief werk gerichter worden.

De meest geschikte toepassing is voor een beveiligingsteam dat al meer bevindingen heeft dan het redelijkerwijs kan verwerken en een duidelijkere volgorde van aanpak nodig heeft. Analyse van aanvalspaden kan helpen bepalen waar moet worden ingegrepen, terwijl gedragsgerichte beveiligingsmaatregelen de hulpmiddelen en rechten die langs die routes beschikbaar zijn, kunnen beperken. Succes blijkt uit de vraag of die ingrepen de blootstelling verminderen zonder het werk te belemmeren dat het bedrijf moet kunnen uitvoeren.