Bitdefender запускає GravityZone Exposure Management для картографування шляхів атак і зниження ризиків

Відкрита для атак служба, неоновлена робоча станція й обліковий запис із надмірними привілеями можуть здаватися окремими проблемами в черзі завдань із безпеки. Для зловмисника вони можуть утворювати маршрут до тієї самої критично важливої системи. Bitdefender допомагає побачити ці зв’язки за допомогою GravityZone Exposure Management — нового рішення, про запуск якого оголосили 27 жовтня. Воно поєднує виявлення внутрішніх і зовнішніх загроз, аналіз шляхів атак та адаптивне посилення захисту.

Рішення призначене для команд із кібербезпеки, яким потрібно визначати, які вразливості усувати насамперед, не створюючи ще однієї консолі для адміністрування. Побудоване на платформі GravityZone, воно об’єднує пошук вразливостей, оцінювання їхніх наслідків і зменшення можливостей для їх використання зловмисниками.

Від переліку вразливостей до маршруту, яким може пройти зловмисник

Традиційне керування вразливостями часто починається з великого переліку виявлених проблем. Оцінки серйозності допомагають упорядкувати цей перелік, але самі по собі не пояснюють, чи дає певна вразливість доступ до важливого ресурсу або чи поєднується вона з проблемою ідентифікації в іншій частині середовища.

GravityZone Exposure Management об’єднує дані про вразливості операційних систем і сторонніх програм, ненадійні конфігурації та ризиковану поведінку користувачів. Можливості керування зовнішньою поверхнею атаки розширюють цю картину, охоплюючи доступні з інтернету ресурси, зокрема відкриті субдомени, неправильно налаштовані служби та тіньову ІТ-інфраструктуру.

Компонент аналізу шляхів атак встановлює зв’язки між цими виявленими проблемами. Він відображає загрози, ідентифікаційні дані та критично важливі ресурси, щоб фахівці із захисту могли з’ясувати, як початкове проникнення може привести до важливішої цілі. Практичне запитання полягає в тому, яке усунення проблеми перерве цей маршрут, а не в тому, яке окреме сповіщення має найвищу оцінку.

У технічному поясненні функції Attack Path Bitdefender описує граф, побудований на основі наявних телеметричних даних GravityZone. Облікові записи й пристрої показано як пов’язані вузли, а також наведено пояснення методів, які можуть уможливити переміщення між ними. Перегляд найкоротшого шляху допомагає аналітикам визначити прямий маршрут, водночас зберігаючи альтернативні гілки для розслідування.

Ці графи відображають потенційну вразливість, а не свідчать про те, що зловмисник уже переміщується мережею. Це розрізнення важливе: корисна модель шляхів атак допомагає планувати превентивні заходи, тоді як виявлення інцидентів і реагування на них і надалі потребують окремих доказів і робочих процесів.

Посилення захисту на основі аналізу поведінки допомагає протидіяти зловживанню легітимними інструментами

Саме виявлення проблем не знижує ризиків. Нове рішення також містить PHASR — технологію Bitdefender для проактивного посилення захисту та зменшення поверхні атаки. Вона вивчає закономірності легітимної діяльності й використовує їх, щоб визначати, які обмеження запроваджувати.

Це допомагає розв’язати складну проблему захисту: зловмисники часто користуються інструментами, від яких залежать і адміністратори. Наприклад, PowerShell може бути потрібен для важливого технічного обслуговування або допомогти зловмиснику виконувати команди. Блокування інструмента всюди може порушити роботу, а його необмежене використання в усіх системах залишає можливості для зловживань.

PHASR використовує поведінкові базові профілі, щоб визначити, де доступ до таких інструментів необхідний, а де його можна обмежити. Згідно з документацією Bitdefender щодо PHASR, профілі формуються окремо для кожної пари «користувач — пристрій». Адміністратори можуть переглядати рекомендації в режимі Direct Control або скористатися Autopilot, щоб автоматично застосовувати їх. Зазвичай навчання триває від 30 до 60 днів, хоча наявна історія EDR може скоротити цей період.

Вибір способу роботи має істотне значення. Команда може спочатку переглянути запропоновані обмеження й перевірити їхній вплив на важливі робочі процеси, перш ніж переходити до більшої автоматизації. Навчання на основі поведінки допомагає ухвалити це рішення, але для успішного впровадження також потрібно визначити відповідальних за програми й порядок роботи з винятками.

Чому невеликим командам із кібербезпеки складно перетворити видимість загроз на конкретні дії

Bitdefender пояснює запуск рішення розривом між виявленням вразливостей і їх послідовним усуненням. В опитуванні компанії, проведеному серед 1 200 фахівців із кібербезпеки й згаданому в оголошенні, 38% респондентів назвали складність підтримки правил посилення захисту та винятків однією з проблем. Далі йшов ризик порушення роботи — 35,4%, а брак ресурсів назвали 34,6% опитаних.

Ці результати допомагають зрозуміти, чому привабливо об’єднати виявлення, визначення пріоритетів і посилення захисту в одному робочому процесі. Команда, можливо, уже знає, що обліковий запис має надмірні привілеї або що сервер потребує уваги. Складніше визначити, що змінювати насамперед, хто відповідатиме за зміни та чи не завадить обмеження легітимній роботі.

Андрей Флореску, президент і генеральний директор Bitdefender Business Solutions Group, зазначив в оголошенні, що ШІ та автоматизоване сканування полегшують зловмисникам виявлення неоновленого сервера або користувача з надмірними привілеями, які можуть стати точкою проникнення. Запропонована Bitdefender відповідь — поєднати ширший огляд загроз із посиленням захисту, яке адаптується до змін у діяльності.

Для покупців цінність залежатиме від того, чи допоможе таке поєднання скоротити кількість шляхів, якими можна скористатися для атаки, і швидше усувати проблеми. Панель із дедалі більшою кількістю виявлених проблем корисна лише тоді, коли команди можуть перетворити ці дані на зміни, які можна перевірити.

Розгортання, ліцензування та обмеження пакета

В анонсі запуску зазначено, що продукт доступний для Windows новим і наявним клієнтам, а підтримку інших операційних систем планують додати згодом. Bitdefender пропонує продукт як доповнення до GravityZone Business Security Enterprise і тарифних планів вищого рівня, а також як окреме рішення, яке можна використовувати разом із наявним засобом захисту кінцевих пристроїв.

У документації з розгортання Exposure Management серед включених можливостей зазначено PHASR, Risk Management і керування зовнішньою поверхнею атаки; Attack Path і Unified Identities позначено як функції раннього доступу. Організаціям варто розрізняти доступ до пропозиції загалом і ступінь готовності та доступність кожного її компонента.

У тій самій документації проведено ще одне важливе розмежування: AI Visibility and Control і Patch Management — це окремі додаткові модулі. Виявлення відсутнього виправлення, рекомендація щодо його встановлення та розгортання цього виправлення — пов’язані завдання, але покупцям варто уточнити, які саме дії підтримує обрана ними ліцензія.

Більш комплексний підхід до превентивного захисту

GravityZone Exposure Management відображає ширшу тенденцію до оцінювання вразливостей з урахуванням контексту. Значущість пристрою з погляду безпеки частково залежить від того, до чого він може отримати доступ; значущість облікового запису — від того, що дають змогу робити його привілеї. Поєднання цих взаємозв’язків може допомогти точніше спрямовувати превентивні заходи.

Найбільше це рішення стане в пригоді команді безпеки, яка вже має більше результатів перевірок, ніж може належно опрацювати, і потребує чіткішої послідовності дій. Аналіз шляхів атаки допомагає визначити, де варто втрутитися, а посилення захисту на основі поведінки може обмежити інструменти й привілеї, доступні на цих шляхах. Успіх визначається тим, чи зменшують такі заходи рівень ризику, водночас не заважаючи виконувати необхідну для роботи бізнесу діяльність.