Pulpit Defendera mówi, jak nam idzie.
Nie mówi, co teraz zrobić.
Secure Score to ocena. „107 wykrytych urządzeń, 75 aktywnych” to statystyka. Incydent oznaczony jako Informational to szum. Żadna z tych liczb nie kończy się czynnością - wniosek zostaje po stronie człowieka, który i tak ma dziś inne rzeczy do zrobienia.
Microsoft Defender Threat & Vulnerability Management daje Wam surowy strumień CVE - po angielsku, bez historii, bez wskazania kto ma to naprawić i czy naprawił. Stąd cztery pytania, na które trzeba odpowiedzieć samemu, a zada je zarząd, audytor i regulator:
- Od kiedy ta podatność jest u nas otwarta?
- Czyje to urządzenie i kto za nie odpowiada?
- Kto się tym zajął i kiedy odebrał wykonanie?
- Czy to na pewno zniknęło, czy tylko ktoś tak napisał?
Ten sam Defender.
Cztery rzeczy, których mu brakuje.
Axtron Risk nie skanuje niczego samodzielnie - to robi Defender. Dokłada warstwę, w której wynik skanu staje się materiałem do pracy i do audytu.
Wymiar czasu
Co było widoczne którego dnia i kiedy dokładnie zniknęło. Historia skanów per urządzenie, a nie tylko stan na teraz.
Rozliczalność
Kto założył zadanie, co dokładnie zlecono tego dnia i kto odebrał realizację. Zapisywana jest data i osoba, nie sama flaga.
Kontekst spoza Defendera
Katalog CISA KEV oddziela podatność, dla której exploit tylko istnieje, od tej, którą naprawdę wykorzystuje się dziś w atakach. EPSS (model FIRST) dodaje prawdopodobieństwo wykorzystania w ciągu 30 dni - widać, co łatać, zanim trafi do KEV. Biuletyny RSS dopisują przy każdym numerze CVE, na ilu Waszych urządzeniach jest jeszcze otwarty.
Materiał na audyt
Raport miesięczny z metodyką i zastrzeżeniami, gotowy do wydruku. Odpowiedź na pytanie audytora, zanim padnie.
Nie chodzi o branżę.
Chodzi o sytuację.
Axtron Risk powstał w sektorze finansowym, bo tam wymagania wobec dowodów są najostrzejsze. Ale problem, który rozwiązuje, ma każdy, kto musi się z podatności wytłumaczyć komuś z zewnątrz.
Od kilkudziesięciu do kilkuset urządzeń
Za dużo, żeby panować nad tym w arkuszu. Za mało, żeby utrzymywać własny SOC i osobny etat do zarządzania podatnościami.
Microsoft 365 już u Was jest
Defender for Business z Microsoft 365 Business Premium wystarczy w zupełności - tak samo jak Defender for Endpoint w planie 1 czy 2. Nie trzeba kupować skanera ani instalować kolejnego agenta na stacjach.
Ktoś pyta Was o dowody
Audytor ISO 27001, kontrola NIS2, ubezpieczyciel cyber, klient korporacyjny w ankiecie bezpieczeństwa albo własny zarząd. Każdy z nich chce dat i nazwisk, nie zrzutu ekranu z portalu.
Sektor finansowy - przypadek szczególny
Banki i instytucje finansowe dostają dodatkowo materiał pod DORA i Rekomendację D KNF. To stamtąd ten system pochodzi, ale nic w nim nie zakłada bankowości.
Grupa spółek albo firma IT z klientami
Jedna instalacja obsługuje wiele podmiotów z rozdzieleniem dostępu. Dostawca usług IT może prowadzić na niej kilku klientów jako usługę zarządzaną.
Bez zespołu bezpieczeństwa
System jest po polsku i prowadzi za rękę: raport dzienny mówi, czym się dziś zająć, a diagnostyka mówi, kiedy nie ufać liczbom.
Trzy rzeczy, których
nie da się wyklikać
95%. Nie z oświadczenia. Z kolejnego skanu.
W chwili założenia zadania system zapisuje migawkę - dokładną listę podatności urządzenia z tego dnia. Migawka już się nie zmienia, nawet gdy kolejne skany zmienią stan urządzenia.
Każdy kolejny import z Defendera porównuje migawkę z aktualnym stanem i pokazuje, ile ze zgłoszonych pozycji faktycznie zniknęło. Dla audytora to różnica między deklaracją wykonawcy a dowodem z pomiaru.
potwierdzone kolejnym skanem
Raport, który przyznaje się do luk w danych
Sześć rozdziałów: stan na koniec okresu, praca wykonana w okresie, dotrzymanie terminów polityki, zadania naprawcze z potwierdzeniem skanem, zaległe aktualizacje oraz metodyka i zastrzeżenia. Wydruk lub zapis do PDF z poziomu przeglądarki, z miejscem na podpis sporządzającego i zatwierdzającego.
Termin z polityki naprawczej - domyślnie 14 dni dla krytycznych i 30 dla wysokich - jest ustawieniem instalacji, nie wartością narzuconą przez dostawcę. System mierzy dotrzymanie Waszego terminu, zapisanego w Waszej polityce.
Zanim zapytacie, czy te liczby są prawdziwe
Sześć kontrolek z jawnym kryterium: czy zapis ostatniego przebiegu doszedł do końca, czy dane nie są starsze niż dwa dni, czy któraś stacja Windows nie ma ani jednej podatności (co zwykle znaczy błąd zapisu, a nie bezpieczną stację), które dni nie miały importu, które wiersze są szacowane, a nie zmierzone, i czy któryś przebieg nie wisi.
Czerwona kropka przy menu zapala się z każdego ekranu, gdy zasilanie danych jest zepsute.
Ekrany, na których
pracuje się naprawdę
Zrzuty pochodzą z działającej instalacji on-premise zasilanej danymi z Microsoft Defendera, nie z makiety. Nazwy firmy, urządzeń i osób są zanonimizowane.
Widok zarządu
Uproszczony ekran dla dyrektora: zasoby IT, otwarte decyzje ryzyka, skuteczność skanu, średni czas naprawy z 30 dni.
Raport dzienny
Lista urządzeń posortowana po realnym wyniku ryzyka, nie po alfabecie. Punkt wyjścia do pracy na dany dzień.
Karta urządzenia
Właściwości, podatności, zainstalowane oprogramowanie, zadania, notatki i trend z 30 dni w jednym miejscu.
Zadania naprawcze
Pełna pętla naprawcza wewnątrz Axtrona, z kolumną potwierdzenia skanem. JIRA jest opcją, nie warunkiem.
Oprogramowanie
Wykaz pakietów z liczbą podatnych urządzeń - skala jednej aktualizacji bez chodzenia po stacjach.
Dostęp i role
Trzy role: Podgląd dla zarządu i audytora, Analityk, Administrator. Konto można zawęzić do wybranych spółek.
Materiał na audyt,
nie deklaracja zgodności
Konkretne artefakty, które system wytwarza sam z siebie i które można położyć na stole - niezależnie od tego, który standard akurat Was dotyczy.
ISO 27001, kontrola A.8.8
Zarządzanie podatnościami technicznymi: udokumentowany proces wykrywania, oceny i usuwania, z datami i osobami. Audytor dostaje historię, nie zapewnienie.
NIS2
Dla podmiotów kluczowych i ważnych: obsługa podatności jako element zarządzania ryzykiem, z dowodem, że proces faktycznie działa, a nie istnieje na papierze.
DORA i Rekomendacja D KNF
Dla sektora finansowego: ciągła identyfikacja podatności, rozliczalność działań w obszarze IT i raportowanie na poziomie zarządu.
RODO, art. 32
Regularne testowanie i ocena skuteczności środków technicznych. System pokazuje, że to testowanie ma datę, zakres i wynik.
Dowód zamiast oświadczenia
Potwierdzenie naprawy pochodzi z kolejnego pomiaru, nie z deklaracji wykonawcy. Migawki zlecenia nie da się przepisać wstecz.
Kompletność danych na widoku
Raport podaje, ile dni okresu miało pomiar. Audytor dostaje tę informację od Was, zanim znajdzie ją sam.
Czego Axtron Risk nie robi
To nie jest system GRC. Nie prowadzi rejestru ryzyk korporacyjnych, nie mapuje wszystkich kontroli ISO 27001 i nie zastąpi ankiet kontrolnych. Dostarcza dowód w jednym obszarze - zarządzania podatnościami technicznymi - i robi to na tyle dokładnie, żeby wytrzymał audyt. Jeśli szukacie pełnego GRC, powiem to na pierwszej rozmowie, a nie na trzeciej.
On-premise.
Jedno źródło danych wystarczy na start.
Defender jako jedyne źródło
Defender for Business z Microsoft 365 Business Premium albo Defender for Endpoint w planie 1 lub 2 - każdy z tych wariantów wystarczy, bo system opiera się na warstwie podatności wspólnej dla wszystkich. Zero dodatkowych licencji na start. Jeśli używacie Tenable albo Qualys, integrację z nimi można dołożyć jako osobny moduł.
Instalacja u Was, nie w chmurze dostawcy
Dane o podatnościach nie opuszczają Waszej sieci. Brak powierzenia danych podmiotowi zewnętrznemu i brak zgłoszenia outsourcingu chmurowego.
Pełna pętla naprawcza bez JIRA
Zadanie powstaje i żyje w Axtronie, ze statusami i odbiorem realizacji. JIRA jest opcją dla tych, którzy już jej używają, nie warunkiem korzystania z systemu.
Jedna instalacja dla wielu podmiotów
Multi-tenant z rozdzieleniem dostępu per spółka - dla grupy kapitałowej, zrzeszenia albo firmy IT, która prowadzi kilku klientów jako usługę zarządzaną.
Od rozmowy do pierwszego raportu
30 minut na działającym systemie, na danych pokazowych. Bez dostępu do Waszego środowiska i bez zobowiązań - na tym etapie oceniacie tylko, czy to rozwiązuje Wasz problem.
Jeśli chcecie zobaczyć własne dane: Wasz administrator zakłada u siebie rejestrację aplikacji z uprawnieniem wyłącznie do odczytu podatności. Cofa ją w każdej chwili. Bez agenta na stacjach i bez zmian w konfiguracji Defendera.
Pierwszy pełny import i pierwszy raport na Waszych danych. Od tego dnia zaczyna się budować historia, której portal Defendera nie przechowuje.
Codzienny import z harmonogramu, miesięczny raport na koniec okresu, diagnostyka zasilania dostępna w każdej chwili.
Model licencji
Licencja roczna na instalację on-premise, bez opłat od liczby skanów i bez opłat od liczby wykrytych podatności. Wycena zależy od liczby urządzeń i liczby podmiotów w instalacji - podaję ją na pierwszej rozmowie, nie po trzech spotkaniach.
Pytanie, które i tak zadacie
Kupujecie oprogramowanie on-premise od małego dostawcy, więc ktoś u Was zapyta, co się stanie, gdy dostawcy zabraknie. W sektorze finansowym wymaga tego wprost DORA, wszędzie indziej to zwykła ostrożność. Odpowiadam, zanim pytanie padnie.
Instalacja działa bez nas
System stoi na Waszym serwerze i nie zależy od infrastruktury dostawcy. Nasza niedostępność nie zatrzymuje ani importu, ani raportów.
Dane są Wasze i przenośne
Baza stoi u Was, w standardowym silniku. Eksport danych w dowolnym momencie, bez proszenia dostawcy o zgodę.
Depozyt kodu źródłowego
Escrow kodu do zapisania w umowie, jeśli Wasz dział ryzyka tego wymaga.
Dokumentacja jedzie z systemem
Instrukcja użytkownika i dokumentacja techniczna są częścią dostawy, nie usługą dodatkową.
Zanim umówimy rozmowę
Nie jesteśmy bankiem. To narzędzie jest dla nas?
Tak. Powstało pod wymagania sektora finansowego, bo tam są najostrzejsze, ale nic w nim nie zakłada bankowości. Jeśli macie Defendera i kogoś, komu trzeba pokazać, że podatności są pilnowane - audytora, ubezpieczyciela, klienta albo zarząd - jesteście w grupie docelowej.
Czy musimy mieć JIRA?
Nie. Zadanie naprawcze powstaje i zamyka się w Axtronie, ze statusami, odbiorem realizacji i potwierdzeniem skanem. JIRA jest opcją dla tych, którzy już jej używają.
Skąd wiecie, która podatność jest realnie groźna, a nie tylko wysoko punktowana?
Z trzech źródeł poza Defenderem. Katalog CISA KEV zbiera podatności, dla których potwierdzono wykorzystanie w prawdziwych atakach - to inna informacja niż „exploit istnieje”, którą daje Defender. EPSS (model FIRST, aktualizowany codziennie) podaje prawdopodobieństwo, że podatność zostanie wykorzystana w ciągu 30 dni: KEV mówi, co już się dzieje, EPSS - co najpewniej się stanie. Razem ustalają kolejność łatania: najpierw KEV, potem wysoki EPSS, dopiero potem sama waga i liczba podatności. Trzecie źródło to kanał biuletynów RSS, w którym adresy wpisujecie sami: przy każdym numerze CVE z biuletynu widać od razu, na ilu Waszych urządzeniach jest jeszcze otwarty. Serwer bez wyjścia do internetu wczytuje KEV i EPSS z pliku - ten tryb powstał właśnie pod instalację odciętą od sieci.
Mamy tylko Defender for Business z Microsoft 365 Business Premium. Zadziała?
Tak - i to jest dokładnie ten wariant, na którym system był budowany i testowany. Defender for Business udostępnia samą warstwę podatności, więc celowo tylko na niej się opieramy. Bogatsze plany (Defender for Endpoint 1 i 2) dokładają więcej szczegółów o urządzeniach, ale nic, bez czego system by nie działał. Przypisanego użytkownika ustalamy z grafu ekspozycji, więc macie go również w wariancie podstawowym - a tam, gdzie graf nikogo nie wskaże, zostaje puste miejsce zamiast zgadywania.
Czy potrzebny jest do tego Intune?
Axtron go nie wymaga. Warunkiem jest tylko to, żeby urządzenia były widoczne w Defenderze - a sposób ich podłączenia (skrypt lokalny, zasady grupy, Intune) zależy od Was. Jeśli Intune macie, system porównuje z nim listę urządzeń: bierze stamtąd właściciela komputera, pokazuje sprzęt, który jest w Intune, a nie przysyła danych do Defendera, i nie liczy podwójnie komputerów przemianowanych przy rejestracji. Bez Intune import działa tak samo, a właściciela ustala z grafu ekspozycji. W Microsoft 365 Business Premium Intune jest w tej samej licencji, a przy telefonach z Androidem i iOS to zwykle jedyna droga, żeby w ogóle trafiły do Defendera.
Czy trzeba coś instalować na stacjach?
Nie. Dane pobierane są z API Microsoftu, na podstawie rejestracji aplikacji z uprawnieniem do odczytu. Na stacjach nie pojawia się żaden dodatkowy agent.
Czy nasze dane wychodzą poza organizację?
Nie. Instalacja stoi na Waszym serwerze, baza również. Serwer tylko pobiera, niczego nie wysyła: Wasze własne dane z API Microsoftu (Defender, a jeśli go macie - Intune), katalog CISA KEV, codzienne wyniki EPSS (FIRST), bazę położenia adresów IP DB-IP oraz kanały RSS, których adresy wpisujecie sami. KEV, EPSS i bazę DB-IP można wczytać z pliku, więc serwerowi wystarczy wtedy samo połączenie z Microsoftem.
Prowadzimy IT dla kilku klientów. Da się obsłużyć ich na jednej instalacji?
Tak. System jest wielopodmiotowy: konto zawężone do jednego klienta widzi wyłącznie jego urządzenia, zadania i raporty, także w sumach na pulpicie. Raport miesięczny powstaje osobno dla każdego podmiotu.
Co widzi zarząd, a co administrator?
Rola Podgląd czyta wszystkie ekrany i nie zmienia niczego - jest przeznaczona dla zarządu i audytora. Analityk zakłada zadania i odbiera realizację. Administrator dodatkowo zarządza kontami.
Co, jeśli od zgłoszenia naprawy nie było jeszcze skanu?
System pokazuje ostrzeżenie zamiast wyniku. Brak potwierdzenia z powodu braku pomiaru to co innego niż brak naprawy i raport tych dwóch sytuacji nie miesza.
Ile to kosztuje?
Licencja roczna na instalację, bez opłat od liczby skanów i podatności. Konkretną kwotę podaję na pierwszej rozmowie, po ustaleniu liczby urządzeń i podmiotów.
Musimy dać Wam dostęp do naszego tenanta, żeby cokolwiek zobaczyć?
Nie. Pierwsza rozmowa to pokaz na działającej instalacji, bez dotykania Waszego środowiska. Dopiero jeśli zechcecie zobaczyć własne dane, Wasz administrator sam zakłada u siebie rejestrację aplikacji z uprawnieniem wyłącznie do odczytu podatności - i cofa ją, kiedy chce. Nikt z zewnątrz nie dostaje konta w Waszym tenancie.
30 minut.
Działający system.
Zero dostępu do Waszej sieci.
Bez prezentacji sprzedażowej i bez proszenia o dostęp do Waszego środowiska. Pokazuję działającą instalację na danych pokazowych i odpowiadam na pytania. Jeśli to nie jest to, czego potrzebujecie, dowiecie się tego w 30 minut, a nie po trzech spotkaniach. Jeśli jest - dopiero wtedy rozmawiamy o pilotażu na Waszych danych, który uruchamia Wasz własny administrator.
Wszystkie zrzuty ekranu na tej stronie pochodzą z działającej instalacji on-premise, zasilanej danymi z Microsoft Defendera. Nazwy firmy, urządzeń i osób są zanonimizowane.