Bitdefender lanserar GravityZone Exposure Management för att kartlägga attackvägar och minska risker

En exponerad tjänst, en ouppdaterad arbetsstation och ett konto med alltför omfattande behörigheter kan framstå som separata problem i en säkerhetskö. För en angripare kan de tillsammans utgöra en väg in i samma kritiska system. Bitdefender synliggör sambanden med GravityZone Exposure Management, en ny lösning som presenterades den 27 oktober och kombinerar identifiering av intern och extern exponering, analys av attackvägar och adaptiv härdning.

Lanseringen riktar sig till säkerhetsteam som behöver avgöra vilka svagheter de ska åtgärda först utan att behöva hantera ytterligare en konsol. Lösningen bygger på GravityZone-plattformen och kopplar samman arbetet med att hitta sårbarheter med att förstå deras konsekvenser och minska de möjligheter som angripare skulle kunna utnyttja.

Från en lista över svagheter till en väg som en angripare skulle kunna följa

Traditionell sårbarhetshantering börjar ofta med en omfattande förteckning över upptäckta problem. Allvarlighetsgrader hjälper till att strukturera förteckningen, men förklarar inte i sig om en svaghet ger åtkomst till en viktig tillgång eller samverkar med ett identitetsproblem någon annanstans i miljön.

GravityZone Exposure Management samlar sårbarheter i operativsystem och tredjepartsprogram, osäkra konfigurationer och riskfyllt användarbeteende. Funktionerna för hantering av externa attackytor utvidgar överblicken till tillgångar som är exponerade mot internet, däribland exponerade underdomäner, felkonfigurerade tjänster och skugg-IT.

Komponenten för attackvägar kopplar samman dessa upptäckter. Den kartlägger exponeringar, identiteter och kritiska tillgångar så att försvarare kan undersöka hur ett första fotfäste skulle kunna leda till ett mål med större konsekvenser. Den praktiska frågan blir vilken åtgärd som skulle bryta den vägen, snarare än vilken enskild avisering som har högst poäng.

Bitdefenders tekniska förklaring av Attack Path beskriver en graf som sammanställs utifrån befintlig telemetri från GravityZone. Konton och enheter visas som sammankopplade noder, tillsammans med förklaringar av vilka tekniker som skulle kunna möjliggöra förflyttning mellan dem. En vy över den kortaste vägen hjälper analytiker att isolera en direkt väg, samtidigt som alternativa förgreningar finns kvar för vidare undersökning.

Graferna visar potentiell exponering, inte bevis för att en angripare för närvarande rör sig genom ett nätverk. Den skillnaden är viktig: en användbar modell av attackvägar vägleder det förebyggande arbetet, medan incidentdetektering och incidenthantering fortfarande kräver egna belägg och arbetsflöden.

Beteendebaserad härdning begränsar missbruk av legitima verktyg

Det räcker inte att bara upptäcka risker för att minska dem. Den nya lösningen innehåller också PHASR, Bitdefenders teknik för proaktiv härdning och minskning av attackytan. Tekniken lär sig mönster i legitim aktivitet och använder dem för att vägleda begränsningar.

Detta tar sig an en svår utmaning för försvarare: angripare använder ofta verktyg som administratörer också är beroende av. PowerShell kan till exempel användas för nödvändigt underhåll eller hjälpa en inkräktare att köra kommandon. Att blockera ett verktyg överallt kan störa verksamheten, medan det att lämna det obegränsat överallt skapar fortsatt möjlighet till missbruk.

PHASR använder beteendebaslinjer för att identifiera var åtkomst till sådana verktyg är nödvändig och var den kan begränsas. Enligt Bitdefenders dokumentation om PHASR är profilerna specifika för kombinationer av användare och enhet. Administratörer kan granska rekommendationer i läget Direct Control eller använda Autopilot för att tillämpa dem automatiskt. Inlärningen tar vanligtvis 30 till 60 dagar, men befintlig EDR-historik kan förkorta perioden.

Valet av arbetssätt har stor betydelse. Ett team kan börja med att granska föreslagna begränsningar och testa hur de påverkar viktiga arbetsflöden innan man går vidare mot mer automatisering. Beteendebaserat lärande underlättar beslutet, men ansvarsfördelning för program och hantering av undantag är fortfarande en del av en lyckad implementering.

Varför säkerhetsteam med begränsade resurser har svårt att omsätta insyn i handling

Bitdefender beskriver lanseringen utifrån gapet mellan att identifiera svagheter och att åtgärda dem konsekvent. I en företagsundersökning bland 1 200 cybersäkerhetsspecialister, som nämns i tillkännagivandet, uppgav 38 % att arbetsbördan med att underhålla härdningsregler och undantag var en utmaning. Därefter följde oro för störningar i verksamheten, som angavs av 35,4 %, medan resursbrist nämndes av 34,6 %.

Resultaten bidrar till att förklara varför det är attraktivt att koppla samman upptäckt, prioritering och härdning i ett och samma arbetsflöde. Ett team kanske redan vet att ett konto har alltför omfattande behörigheter eller att en server behöver ses över. Den svårare uppgiften är att avgöra vad som ska ändras först, vem som ansvarar för ändringen och om en begränsning kommer att störa legitimt arbete.

Andrei Florescu, vd och chef för Bitdefender Business Solutions Group, uppgav i tillkännagivandet att AI och automatiserad skanning gör det lättare för motståndare att hitta en ouppdaterad server eller en användare med alltför omfattande behörigheter som skulle kunna ge dem ett fotfäste. Bitdefenders föreslagna svar är att kombinera en bredare överblick över exponeringar med en härdning som anpassas när aktiviteten förändras.

För köpare beror värdet på om den kombinationen leder till färre angreppsvägar som går att utnyttja och snabbare åtgärder. En växande översikt över upptäckta problem är bara användbar om teamen kan omsätta den i förändringar som går att verifiera.

Driftsättning, licensiering och paketets begränsningar

I lanseringsmeddelandet anges att produkten finns för Windows för både nya och befintliga kunder, medan stöd för fler operativsystem planeras. Bitdefender erbjuder produkten som ett tillägg till GravityZone Business Security Enterprise och högre nivåer, samt som ett fristående alternativ som kan användas parallellt med en befintlig lösning för slutpunktssäkerhet.

I dokumentationen för driftsättning av exponeringshantering listas PHASR, Risk Management och hantering av extern attackyta bland de inkluderade funktionerna. Attack Path och Unified Identities anges som funktioner med tidig åtkomst. Organisationer bör skilja mellan tillgång till hela erbjudandet och hur mogna och tillgängliga de enskilda komponenterna är.

Samma dokumentation gör ytterligare en viktig åtskillnad: AI Visibility and Control och Patch Management är separata tillägg. Att hitta en saknad säkerhetsuppdatering, rekommendera åtgärder och installera uppdateringen är närbesläktade uppgifter, men köpare bör kontrollera vilka åtgärder den licens de valt faktiskt stöder.

Ett mer sammanhängande arbetssätt för förebyggande säkerhet

GravityZone Exposure Management speglar en bredare utveckling mot att bedöma svagheter i sitt sammanhang. En enhets säkerhetsmässiga betydelse beror delvis på vad den kan nå; ett kontos betydelse beror på vad dess behörigheter gör möjligt. Genom att sammanföra dessa samband kan det förebyggande arbetet riktas mer effektivt.

Det mest lämpade användningsfallet är ett säkerhetsteam som redan har fler upptäckta problem än det rimligen kan hantera och behöver en tydligare prioriteringsordning. Analys av angreppsvägar kan hjälpa teamet att förstå var det bör ingripa, medan beteendeanpassad säkerhetshärdning kan begränsa vilka verktyg och behörigheter som finns tillgängliga längs dessa vägar. Framgång mäts i om insatserna minskar exponeringen samtidigt som verksamheten kan fortsätta utföra det arbete den behöver.