Bitdefender uruchamia GravityZone Exposure Management, aby mapować ścieżki ataku i ograniczać ryzyko

Ujawniona usługa, niezałatana stacja robocza i konto z nadmiernymi uprawnieniami mogą wyglądać jak odrębne problemy w kolejce zgłoszeń dotyczących bezpieczeństwa. Dla atakującego mogą jednak tworzyć drogę do tego samego krytycznego systemu. Bitdefender pomaga dostrzec te powiązania dzięki GravityZone Exposure Management — nowemu rozwiązaniu ogłoszonemu 27 października, które łączy wykrywanie ekspozycji wewnętrznych i zewnętrznych, analizę ścieżek ataku oraz adaptacyjne wzmacnianie zabezpieczeń.

Nowe rozwiązanie jest przeznaczone dla zespołów ds. bezpieczeństwa, które muszą ustalać, jakie luki usuwać w pierwszej kolejności, nie dokładając sobie kolejnej konsoli do obsługi. Oparte na platformie GravityZone, łączy wykrywanie luk ze zrozumieniem ich konsekwencji i ograniczaniem możliwości, które mogliby wykorzystać atakujący.

Od listy słabości do drogi, którą mógłby podążyć atakujący

Tradycyjne zarządzanie lukami często zaczyna się od obszernego wykazu wykrytych problemów. Oceny ważności pomagają uporządkować ten wykaz, ale same w sobie nie wyjaśniają, czy dana słabość zapewnia dostęp do ważnego zasobu ani czy łączy się z problemem dotyczącym tożsamości w innej części środowiska.

GravityZone Exposure Management łączy informacje o lukach w systemach operacyjnych i aplikacjach innych firm, niebezpiecznych konfiguracjach oraz ryzykownych zachowaniach użytkowników. Funkcje zarządzania zewnętrzną powierzchnią ataku poszerzają ten obraz o zasoby dostępne z internetu, w tym ujawnione subdomeny, błędnie skonfigurowane usługi i tzw. shadow IT.

Moduł analizy ścieżek ataku pokazuje powiązania między tymi problemami. Mapuje ekspozycje, tożsamości i krytyczne zasoby, dzięki czemu obrońcy mogą sprawdzić, jak początkowy punkt dostępu mógłby doprowadzić do poważniejszego celu. Praktyczne pytanie brzmi więc: które działanie naprawcze przerwałoby tę drogę, a nie tylko które pojedyncze alerty mają najwyższą ocenę.

Techniczne objaśnienie funkcji ścieżki ataku opublikowane przez Bitdefender opisuje graf utworzony na podstawie istniejących danych telemetrycznych GravityZone. Konta i urządzenia są w nim przedstawione jako połączone węzły, a opis towarzyszący grafowi wskazuje techniki, które mogą umożliwić przemieszczanie się między nimi. Widok najkrótszej ścieżki pomaga analitykom wyodrębnić bezpośrednią drogę, a jednocześnie zachować alternatywne odgałęzienia do dalszej analizy.

Grafy te przedstawiają potencjalną ekspozycję, a nie dowód, że atakujący aktualnie porusza się w sieci. To ważne rozróżnienie: użyteczny model ścieżek pomaga planować działania zapobiegawcze, natomiast wykrywanie incydentów i reagowanie na nie nadal wymagają własnych dowodów i procesów.

Wzmacnianie zabezpieczeń oparte na analizie zachowań pomaga przeciwdziałać nadużyciom legalnych narzędzi

Samo wykrywanie problemów nie zmniejsza ryzyka. Nowe rozwiązanie obejmuje również PHASR — technologię Bitdefender do proaktywnego wzmacniania zabezpieczeń i ograniczania powierzchni ataku. Analizuje ona wzorce prawidłowej aktywności i wykorzystuje je do określania ograniczeń.

Rozwiązanie to pomaga uporać się z trudnym problemem obrony: atakujący często korzystają z narzędzi, od których zależą również administratorzy. PowerShell może na przykład służyć do niezbędnych prac konserwacyjnych albo pomóc intruzowi w wykonywaniu poleceń. Zablokowanie narzędzia wszędzie może zakłócić działanie firmy, a pozostawienie go bez ograniczeń we wszystkich miejscach stwarza okazje do nadużyć.

PHASR wykorzystuje wzorce zachowań, aby ustalić, gdzie dostęp do takich narzędzi jest niezbędny, a gdzie można go ograniczyć. Zgodnie z dokumentacją PHASR firmy Bitdefender profile są przypisane do par użytkownik–urządzenie. Administratorzy mogą przeglądać zalecenia w trybie Direct Control lub użyć funkcji Autopilot, aby zastosować je automatycznie. Proces uczenia trwa zazwyczaj od 30 do 60 dni, choć wcześniejsza historia danych EDR może go skrócić.

Wybór sposobu działania ma istotne znaczenie. Zespół może zacząć od przejrzenia proponowanych ograniczeń i sprawdzenia ich wpływu na ważne procesy, zanim zdecyduje się na większą automatyzację. Uczenie się na podstawie zachowań pomaga podjąć tę decyzję, ale powodzenie wdrożenia zależy również od ustalenia odpowiedzialności za aplikacje i obsługi wyjątków.

Dlaczego małym zespołom ds. bezpieczeństwa trudno przekuć widoczność w działanie

Bitdefender przedstawia nowe rozwiązanie jako odpowiedź na lukę między identyfikowaniem słabości a ich systematycznym usuwaniem. W przytoczonym w komunikacie badaniu firmy, w którym wzięło udział 1200 specjalistów ds. cyberbezpieczeństwa, 38% respondentów wskazało obciążenie związane z utrzymywaniem reguł wzmacniania zabezpieczeń i obsługą wyjątków jako problem. Na drugim miejscu znalazła się obawa przed zakłóceniami w działaniu firmy (35,4%), a ograniczenia zasobów wskazało 34,6% badanych.

Wyniki te pomagają wyjaśnić, dlaczego atrakcyjne może być połączenie wykrywania problemów, ustalania priorytetów i wzmacniania zabezpieczeń w jednym procesie. Zespół może już wiedzieć, że konto ma nadmierne uprawnienia albo że serwer wymaga uwagi. Trudniej jest zdecydować, co zmienić najpierw, kto odpowiada za zmianę i czy ograniczenie nie zakłóci prawidłowej pracy.

Andrei Florescu, prezes i dyrektor generalny Bitdefender Business Solutions Group, powiedział w komunikacie, że sztuczna inteligencja i automatyczne skanowanie ułatwiają przeciwnikom wykrywanie niezałatanych serwerów lub użytkowników z nadmiernymi uprawnieniami, którzy mogą zapewnić im punkt dostępu. Proponowana przez Bitdefender odpowiedź polega na połączeniu szerszego obrazu ekspozycji ze wzmacnianiem zabezpieczeń, które dostosowuje się do zmian aktywności.

Dla nabywców wartość tego rozwiązania będzie zależeć od tego, czy takie połączenie pozwoli ograniczyć liczbę ścieżek, które można wykorzystać, i przyspieszyć usuwanie problemów. Rozbudowany pulpit z wynikami jest przydatny tylko wtedy, gdy zespoły potrafią przekuć je w zmiany, których skuteczność mogą zweryfikować.

Wdrożenie, licencjonowanie i ograniczenia pakietu

W ogłoszeniu o premierze wskazano, że produkt jest dostępny w systemie Windows dla nowych i obecnych klientów, a obsługę kolejnych systemów operacyjnych zaplanowano na później. Bitdefender oferuje go jako dodatek do GravityZone Business Security Enterprise i wyższych pakietów oraz jako samodzielne rozwiązanie, które można używać równolegle z istniejącym systemem ochrony urządzeń końcowych.

W dokumentacji wdrożeniowej dotyczącej zarządzania ekspozycją wśród dostępnych funkcji wymieniono PHASR, Risk Management i zarządzanie zewnętrzną powierzchnią ataku, natomiast Attack Path i Unified Identities oznaczono jako funkcje we wczesnym dostępie. Organizacje powinny rozróżniać dostęp do całej oferty od stopnia dojrzałości i dostępności poszczególnych komponentów.

Ta sama dokumentacja zawiera jeszcze jedno istotne rozróżnienie: AI Visibility and Control oraz Patch Management to osobne dodatki. Wykrywanie brakującej poprawki, zalecanie działań naprawczych i wdrażanie tej poprawki to powiązane zadania, ale nabywcy powinni sprawdzić, które z tych działań obsługuje wybrana przez nich licencja.

Bardziej zintegrowane podejście do prewencyjnego bezpieczeństwa

GravityZone Exposure Management odzwierciedla szerszą zmianę podejścia, polegającą na ocenie słabych punktów w kontekście. Znaczenie urządzenia dla bezpieczeństwa zależy częściowo od tego, do czego może ono uzyskać dostęp; znaczenie konta — od tego, na co pozwalają przypisane mu uprawnienia. Uwzględnienie tych zależności może pomóc lepiej ukierunkować działania zapobiegawcze.

Rozwiązanie najlepiej sprawdzi się w zespole ds. bezpieczeństwa, który ma już więcej wyników do przeanalizowania, niż jest w stanie wygodnie obsłużyć, i potrzebuje lepiej określonej kolejności działań. Analiza ścieżek ataku może pomóc ustalić, gdzie należy interweniować, a utwardzanie zabezpieczeń z uwzględnieniem zachowań może ograniczyć narzędzia i uprawnienia dostępne na tych ścieżkach. Miarą sukcesu jest to, czy takie działania zmniejszają ekspozycję, a jednocześnie pozwalają firmie wykonywać niezbędną pracę.