Bitdefender lanserer GravityZone Exposure Management for å kartlegge angrepsveier og redusere risiko

En eksponert tjeneste, en arbeidsstasjon som ikke er sikkerhetsoppdatert, og en konto med for omfattende rettigheter kan se ut som separate problemer i en sikkerhetskø. For en angriper kan de utgjøre en vei inn til det samme kritiske systemet. Bitdefender synliggjør disse sammenhengene med GravityZone Exposure Management, en ny løsning som ble kunngjort 27. oktober. Den kombinerer kartlegging av intern og ekstern eksponering, analyse av angrepsveier og adaptiv sikring.

Lanseringen retter seg mot sikkerhetsteam som må avgjøre hvilke svakheter de skal håndtere først, uten å måtte administrere enda en konsoll. Løsningen er bygget på GravityZone-plattformen og kobler sammen arbeidet med å finne sårbarheter, forstå konsekvensene av dem og redusere mulighetene angripere kan utnytte.

Fra en liste over svakheter til en angrepsvei en angriper kan følge

Tradisjonell sårbarhetshåndtering starter ofte med en omfattende oversikt over funn. Alvorlighetsskårer bidrar til å organisere oversikten, men forklarer ikke i seg selv om en svakhet gir tilgang til en viktig ressurs, eller om den kan kombineres med et identitetsproblem et annet sted i miljøet.

GravityZone Exposure Management samler sårbarheter i operativsystemer og tredjepartsapplikasjoner, usikre konfigurasjoner og risikofylt brukeradferd. Funksjonene for håndtering av den eksterne angrepsflaten utvider oversikten til Internett-eksponerte ressurser, blant annet eksponerte underdomener, feilkonfigurerte tjenester og skygge-IT.

Komponenten for angrepsveier viser sammenhengene mellom disse funnene. Den kartlegger eksponeringer, identiteter og kritiske ressurser, slik at forsvarere kan undersøke hvordan et første fotfeste kan føre til et mer alvorlig mål. Det praktiske spørsmålet blir hvilken utbedring som vil bryte denne veien, i stedet for bare hvilket enkeltvarsel som har høyest skår.

Bitdefenders tekniske forklaring av Attack Path beskriver en graf som settes sammen av eksisterende telemetridata fra GravityZone. Kontoer og enheter vises som sammenkoblede noder, med forklaringer på teknikkene som kan gjøre det mulig å bevege seg mellom dem. En visning av den korteste veien hjelper analytikere med å finne en direkte rute, samtidig som alternative grener beholdes for videre undersøkelser.

Disse grafene viser potensiell eksponering, ikke bevis på at en angriper for øyeblikket beveger seg gjennom et nettverk. Dette skillet er viktig: En nyttig modell av angrepsveier legger til rette for forebyggende arbeid, mens oppdagelse og håndtering av hendelser fortsatt krever egne bevis og arbeidsflyter.

Atferdsbasert sikring retter seg mot misbruk av legitime verktøy

Kartlegging alene fjerner ikke risiko. Den nye løsningen omfatter også PHASR, Bitdefenders teknologi for proaktiv sikring og reduksjon av angrepsflaten, som lærer mønstre for legitim aktivitet og bruker dem til å veilede begrensninger.

Dette tar tak i en krevende utfordring for forsvarere: Angripere bruker ofte verktøy som administratorer også er avhengige av. PowerShell kan for eksempel brukes til nødvendig vedlikehold eller hjelpe en inntrenger med å kjøre kommandoer. Å blokkere et verktøy overalt kan forstyrre driften, mens det å la det være ubegrenset overalt gir fortsatt muligheter for misbruk.

PHASR bruker atferdsbaserte normalprofiler til å identifisere hvor tilgang til slike verktøy er nødvendig, og hvor den kan begrenses. Ifølge Bitdefenders dokumentasjon om PHASR er profilene knyttet til kombinasjoner av bruker og enhet. Administratorer kan gjennomgå anbefalingene i Direct Control-modus eller bruke Autopilot til å iverksette dem automatisk. Det tar vanligvis 30 til 60 dager å lære aktivitetsmønstrene, men eksisterende EDR-historikk kan forkorte perioden.

Valget av fremgangsmåte har stor betydning for driften. Et team kan begynne med å gjennomgå foreslåtte begrensninger og teste hvordan de påvirker viktige arbeidsflyter før det går over til mer automatisering. Atferdsbasert læring støtter denne beslutningen, men eierskap til applikasjonene og håndtering av unntak er fortsatt en del av en vellykket innføring.

Hvorfor små sikkerhetsteam sliter med å omsette oversikt til handling

Bitdefender setter lanseringen inn i en større sammenheng: gapet mellom å identifisere svakheter og å utbedre dem på en konsekvent måte. I en selskapsundersøkelse blant 1 200 cybersikkerhetseksperter, som ble omtalt i kunngjøringen, oppga 38 % at arbeidet med å vedlikeholde sikringsregler og unntak var en utfordring. Frykt for driftsforstyrrelser fulgte med 35,4 %, mens 34,6 % viste til ressursbegrensninger.

Disse funnene bidrar til å forklare hvorfor det er attraktivt å koble kartlegging, prioritering og sikring sammen i én arbeidsflyt. Et team vet kanskje allerede at en konto har for omfattende rettigheter, eller at en server trenger oppfølging. Den vanskeligere oppgaven er å avgjøre hva som skal endres først, hvem som har ansvaret for endringen, og om en begrensning vil forstyrre legitimt arbeid.

Andrei Florescu, president og daglig leder for Bitdefender Business Solutions Group, sa i kunngjøringen at KI og automatisert skanning gjør det enklere for motstandere å finne en server som ikke er sikkerhetsoppdatert, eller en bruker med for omfattende rettigheter som kan gi dem et fotfeste. Bitdefenders foreslåtte løsning er å kombinere en bredere oversikt over eksponering med sikring som tilpasser seg når aktiviteten endres.

For kjøpere avhenger verdien av om denne kombinasjonen fører til færre veier som kan utnyttes, og raskere utbedring. Et stadig voksende oversiktsbilde av funn er bare nyttig hvis teamene kan omsette det i endringer de kan kontrollere.

Utrulling, lisensiering og begrensningene ved pakken

I lanseringskunngjøringen oppgis det at produktet er tilgjengelig for Windows for både nye og eksisterende kunder, og at støtte for flere operativsystemer er planlagt. Bitdefender tilbyr produktet som et tillegg for GravityZone Business Security Enterprise og høyere nivåer, og som et frittstående alternativ som kan brukes sammen med en eksisterende løsning for endepunktsikkerhet.

I dokumentasjonen for utrulling av Exposure Management står PHASR, Risk Management og administrasjon av ekstern angrepsflate oppført blant funksjonene som inngår. Attack Path og Unified Identities er oppført som funksjoner med tidlig tilgang. Organisasjoner bør skille mellom tilgang til det samlede tilbudet og modenheten og tilgjengeligheten til hver enkelt komponent.

Den samme dokumentasjonen trekker fram et annet nyttig skille: AI Visibility and Control og Patch Management er separate tillegg. Å finne en manglende oppdatering, anbefale utbedring og installere oppdateringen er beslektede oppgaver, men kjøpere bør undersøke hvilke handlinger den valgte lisensen faktisk støtter.

En mer helhetlig tilnærming til forebyggende sikkerhet

GravityZone Exposure Management gjenspeiler en bredere dreining mot å vurdere svakheter i sammenheng. Hvor viktig en enhet er for sikkerheten, avhenger delvis av hvilke systemer den kan nå. Tilsvarende avhenger betydningen av en konto av hva rettighetene dens gir tilgang til. Når disse sammenhengene ses under ett, kan det forebyggende arbeidet bli mer målrettet.

Løsningen er særlig aktuell for sikkerhetsteam som allerede har flere funn enn de rekker å håndtere på en effektiv måte, og som trenger en tydeligere rekkefølge for tiltakene. Analyse av angrepsveier kan bidra til å vise hvor det bør settes inn tiltak, mens atferdsbasert herding kan begrense hvilke verktøy og rettigheter som er tilgjengelige langs disse veiene. Suksessen måles ut fra om tiltakene reduserer eksponeringen samtidig som virksomheten fortsatt kan utføre arbeidet den trenger å gjøre.