Bitdefender запускает GravityZone Exposure Management для построения путей атаки и снижения рисков

Открытая служба, не обновленная рабочая станция и учетная запись с избыточными привилегиями могут выглядеть как отдельные проблемы в очереди задач службы безопасности. Для злоумышленника же они могут стать путем к одной и той же критически важной системе. Bitdefender помогает увидеть эти взаимосвязи с помощью GravityZone Exposure Management — нового решения, анонсированного 27 октября. Оно объединяет поиск уязвимостей внутри и за пределами организации, анализ путей атаки и адаптивное усиление защиты.

Новое решение предназначено для служб безопасности, которым нужно определить, какие уязвимости устранять в первую очередь, не создавая для этого еще одну консоль. Оно построено на платформе GravityZone и связывает поиск уязвимостей с пониманием возможных последствий и сокращением возможностей для их использования злоумышленниками.

От списка уязвимостей к маршруту, которым может воспользоваться злоумышленник

Традиционное управление уязвимостями часто начинается с большого перечня проблем. Оценки критичности помогают упорядочить его, но сами по себе не показывают, дает ли уязвимость доступ к важному ресурсу и может ли она сочетаться с проблемой идентификации в другой части среды.

GravityZone Exposure Management объединяет данные об уязвимостях операционных систем и сторонних приложений, небезопасных конфигурациях и рискованном поведении пользователей. Функции управления внешней поверхностью атак дополняют эту картину сведениями об активах, доступных из интернета, включая открытые поддомены, неправильно настроенные службы и теневые ИТ-ресурсы.

Компонент анализа путей атаки устанавливает связи между этими проблемами. Он сопоставляет уязвимости, идентификаторы пользователей и критически важные ресурсы, чтобы специалисты по защите могли проследить, как первоначальное проникновение может привести к более серьезной цели. На практике важно понять, какое исправление прервет этот маршрут, а не просто определить, у какого отдельного оповещения самая высокая оценка.

В техническом описании функции Attack Path от Bitdefender граф представлен как структура, составленная на основе уже имеющихся данных телеметрии GravityZone. Учетные записи и устройства показаны в виде связанных узлов; также приводятся пояснения о методах, которые могут позволить перемещаться между ними. Представление кратчайшего пути помогает аналитикам выделить прямой маршрут, сохраняя при этом альтернативные ветви для дальнейшего изучения.

Такие графы показывают потенциальные уязвимости, а не свидетельствуют о том, что злоумышленник прямо сейчас перемещается по сети. Это важное различие: полезная модель путей помогает планировать профилактические меры, тогда как для обнаружения инцидентов и реагирования на них по-прежнему нужны отдельные данные и рабочие процессы.

Усиление защиты на основе анализа поведения помогает предотвратить злоупотребление легитимными инструментами

Одного обнаружения проблем недостаточно, чтобы снизить риски. Новое решение также включает PHASR — технологию Bitdefender для проактивного усиления защиты и сокращения поверхности атаки. Она изучает модели легитимной активности и использует их для определения ограничений.

Это помогает решить сложную задачу защиты: злоумышленники часто используют инструменты, которые нужны и администраторам. Например, PowerShell может применяться для необходимого обслуживания или помогать злоумышленнику выполнять команды. Полная блокировка инструмента может нарушить работу организации, а отсутствие ограничений повсюду сохраняет возможности для злоупотреблений.

PHASR анализирует типичное поведение, чтобы определить, где доступ к таким инструментам необходим, а где его можно ограничить. Согласно документации Bitdefender по PHASR, профили создаются отдельно для каждой пары «пользователь — устройство». Администраторы могут просматривать рекомендации в режиме Direct Control или использовать Autopilot для их автоматического применения. Обычно обучение занимает от 30 до 60 дней, однако имеющиеся данные EDR могут сократить этот срок.

Выбор способа внедрения имеет большое значение для работы организации. Сначала команда может проверить предлагаемые ограничения и оценить их влияние на важные рабочие процессы, прежде чем переходить к более широкой автоматизации. Анализ поведения помогает принять такое решение, однако для успешного внедрения также необходимо определить ответственных за приложения и порядок обработки исключений.

Почему небольшим службам безопасности сложно перейти от видимости угроз к действиям

Bitdefender связывает запуск решения с разрывом между выявлением уязвимостей и их систематическим устранением. В анонсе приводятся результаты опроса компании, в котором участвовали 1200 специалистов по кибербезопасности: 38% назвали проблемой затраты ресурсов на поддержание правил усиления защиты и обработку исключений. На опасения по поводу сбоев в работе пришлось 35,4%, а на нехватку ресурсов — 34,6%.

Эти результаты помогают понять, почему привлекательно объединить поиск проблем, расстановку приоритетов и усиление защиты в одном рабочем процессе. Команда может уже знать, что у учетной записи слишком много привилегий или что сервер требует внимания. Сложнее решить, что менять в первую очередь, кто отвечает за изменения и не помешают ли ограничения легитимной работе.

Андрей Флореску, президент и генеральный директор Bitdefender Business Solutions Group, заявил в анонсе, что благодаря ИИ и автоматизированному сканированию злоумышленникам проще находить не обновленные серверы и пользователей с избыточными привилегиями, которые могут стать точкой проникновения. Bitdefender предлагает в ответ объединить более полное представление об уязвимостях с усилением защиты, которое адаптируется к изменениям активности.

Для покупателей ценность решения будет зависеть от того, позволит ли такое сочетание сократить число маршрутов, которыми могут воспользоваться злоумышленники, и ускорить устранение проблем. Растущая панель с результатами выявления полезна лишь в том случае, если команды могут на их основе внести изменения и проверить их эффективность.

Развертывание, лицензирование и ограничения пакета

В объявлении о запуске указано, что продукт доступен для новых и существующих клиентов на Windows; поддержку других операционных систем планируется добавить. Bitdefender предлагает продукт как дополнение к GravityZone Business Security Enterprise и более старшим тарифным планам, а также как самостоятельное решение, которое можно использовать наряду с уже установленной системой защиты конечных устройств.

В документации по развертыванию системы управления экспозицией среди включенных возможностей перечислены PHASR, управление рисками и управление внешней поверхностью атаки; анализ маршрутов атак и унифицированные идентификаторы обозначены как функции раннего доступа. Организациям следует различать доступ к предложению в целом и степень готовности и доступности каждого его компонента.

В той же документации проводится еще одно важное различие: обнаружение и контроль использования ИИ, а также управление исправлениями предлагаются как отдельные дополнения. Поиск отсутствующего исправления, рекомендация по устранению проблемы и установка этого исправления — связанные задачи, однако покупателям следует уточнить, какие именно действия поддерживает выбранная ими лицензия.

Более комплексный подход к превентивной защите

GravityZone Exposure Management отражает более широкий переход к оценке уязвимостей с учетом контекста. Значимость устройства для безопасности отчасти зависит от того, к каким ресурсам оно может получить доступ; значение учетной записи определяется тем, что позволяют ее привилегии. Учет этих взаимосвязей помогает точнее нацеливать превентивные меры.

Наиболее подходящий сценарий применения — команда безопасности, которая уже получает больше результатов проверок, чем может без труда обработать, и нуждается в более четкой последовательности действий. Анализ маршрутов атак помогает определить, где следует вмешаться, а усиление защиты с учетом поведения позволяет ограничить доступные на этих маршрутах инструменты и привилегии. Успех определяется тем, снижают ли эти меры подверженность риску, не мешая при этом выполнять необходимые для бизнеса задачи.