Tenable Identity Exposure On-Premises – Versionshinweise 2023

• Anwendung von schwachen Passwortrichtlinien auf Benutzer

  • Verbesserte Leistung in Szenarien mit hohem Workload.

  • Einführung von zwei neuen Begründungen zur besseren Erläuterung von zwei Fällen, in denen man meinen könnte, dass das GPO gilt, dies jedoch nicht der Fall ist:

    • Eine Organisationseinheit, die Computer enthält, kann die GPO-Vererbung blockieren.

    • Eine Sicherheitsfilterung verhindert, dass das GPO auf Computer angewendet wird.

• Letzte Änderung des AAD-SSO-Kontokennworts überprüfen behebt jetzt Abweichungen, wenn sie sich auf gelöschte AD-Objekte beziehen.

• Gefährliche Kerberos-Delegierung verarbeitet jetzt vorhandene, aber leere Attribute für die ressourcenbasierte eingeschränkte Delegierung (Resource-Based Constrained Delegation, RBCD).

• Konten, die eine Prä-Windows 2000 kompatible Zugriffssteuerung verwenden (C-PRE-WIN2000-ACCESS-MEMBERS) meldet jetzt alle problematischen bekannten Prinzipale der Gruppe „Prä-Windows 2000 kompatibler Zugriff“.

• Eliminierung von falsch positiven Ergebnissen im Tenable Identity Exposure-GPO für diese IoEs: Berechtigung für sehr sensible GPO-Objekte und -Dateien prüfen und Domänencontroller werden von nicht legitimen Benutzern verwaltet.

• Tenable Identity Exposure schränkt jetzt die Zulassungslistenoption für die Organisationseinheit auf den IoE-Konten mit nie ablaufenden Passwörtern im Backend ein, um die Menge der generierten Protokolle zu reduzieren.

• Indicators of Exposure können nun wieder in deutscher Sprache angezeigt werden.

• Tenable Identity Exposure zeigt in der CSV-Exportdatei keine tenable_ad_date-Tags mehr an.

• Weniger falsch positive/falsch negative Ergebnisse für Tenable Identity Exposure-Angriffe für die folgenden IoAs: Identitätswechsel bei sAMAccountName, Kerberoasting, OS Credential Dumping: LSASS-Speicher, DCShadow und Extrahierung des DPAPI-Domänensicherungsschlüssels.

• OS Credential Dumping: LSASS-Speicher – Zeigt genauere Prozess- und Benutzernameninformationen an, wenn die Informationen in der Benutzeroberfläche und in Warnungen angezeigt werden.

• Password Spraying verpasst keine Angriffe mehr, wenn Tenable Identity Exposure keine IP-Adresse über das AD-Objekt des DNS-Eintrags abgleichen kann.

• MassiveComputersRecon – Die nicht relevante Option „In der Zulassungsliste enthaltene Ziel-Domänencontroller“ wurde entfernt.

• IoA-Skript

  • In Tenable Identity Exposure wurde die Resilienz des IoA-Setup-Skripts für nachfolgende Installationen des Skripts verbessert.

  • Das Skript Register-TenableIOA kann jetzt wieder mit runas von einem in die Domäne eingebundenen Server ausgeführt werden.

• Das Deckblatt des Indicator of Attack-PDF-Berichts enthält keine fehlerhafte Kopfzeile mehr.

• Die Umbenennung des Tenable Identity Exposure-GPO hat keine Auswirkungen mehr auf die Funktion für automatische Updates der Indicator of Attack-Konfiguration von Tenable Identity Exposure.

• Die Angriffserkennung in Tenable Identity Exposure ist jetzt präziser und führt zu weniger falsch negativen und falsch positiven Ergebnissen.

• Bei der IoA-Installation werden Sicherheitsereignisse wieder protokolliert.

• Tenable Identity Exposure zeigt Attribute in der Ansicht zur Untersuchung eines Indicators of Attack ordnungsgemäß mit einem Dollarzeichen ($) an.

• Bei Installation der IoAs auf einem Windows 2022-Domänencontroller muss der Server nicht mehr neu gestartet werden.

• Tenable Identity Exposure verschiebt jetzt nicht mehr eine IoA-Konfiguration auf dem PDC in ein gelöschtes GPO. Stattdessen wird jetzt die installierte IoA-Konfiguration verwendet, um robustere automatische IoA-Updates zu ermöglichen.

• Tenable Identity Exposure erfordert jetzt weniger Berechtigungen, um die gleiche Indicator of Attack-Analyse zu erhalten.

• Zeigt genauere Bezeichnungen für SQL-Laufwerke an.

• Unterstützt nicht-englische Sprachen.

• Ermöglicht es Ihnen, auf die Schaltfläche „Zurück“ zu klicken, um zurückzugehen und die Installationsoptionen zu ändern.

• Schlägt automatisch fehl, wenn ein vorhandener SQL-Server erkannt wird, der zuvor auf dem Storage Manager installiert wurde.

• Nach dem Löschen eines Verzeichnisses aktualisiert der Angriffspfad jetzt sein Tier0-Diagramm.

• Auf der Seite wird jetzt eine einzige Menüleiste angezeigt.

• Der Angriffspfad-Dienst kann jetzt während seiner Initialisierung mehrere große Sicherheitsbeschreibungen verarbeiten.

• Die Tenable Identity Exposure-(Konformitäts-)Bewertung über die öffentliche API schließt jetzt deaktivierte Prüfungen für das bereitgestellte Profil aus. Dies hatte zu einer falschen Bewertung über die öffentliche API geführt. Der Prozess wurde jetzt verbessert und steht in Einklang mit der Konformitätsbewertung in der Tenable Identity Exposure-Benutzeroberfläche.

• Authentifizierung – Erfolgreiche Login-Versuche werden jetzt im Anschluss an ihre Validierung von Tenable Identity Exposure protokolliert.

• Sicherheit – GraphQL-Vorschläge werden nicht mehr angezeigt.

• Widgets im Tenable Identity Exposure-Dashboard zeigen jetzt „0“ anstelle von „Keine Daten“ an, wenn keine Abweichungen festgestellt werden.

• Verbesserungen bei der Authentifizierung des Kerberos-Dienstkontos, wenn Tenable Identity Exposure Daten für privilegierte Analysen sammelt.

• Die Abhängigkeit der RabbitMQ-Bibliothek wurde aktualisiert, um CVE-2022-37026 zu beheben.

• In Tenable Identity Exposure wurde die Leistung beim Umgang mit mehrwertigen Attributen mit zahlreichen Einträgen verbessert.

• In Tenable Identity Exposure wurde die SYSVOL-Fehlertoleranz verbessert, z. B. gegen ungültige Zugriffe.

• Tenable Identity Exposure gibt erneut die LDAP-Objekte an, die nicht mehr im Gültigkeitsbereich enthalten sind (z. B. aufgrund von Berechtigungen).

• DNS-Einträge werden mit ihren korrekten IPv6-Adressen angezeigt.

• Tenable Identity Exposure listet nicht mehr die Sicherheitsprofile auf, auf die ein Benutzer keinen Zugriff hat.

• Tenable Cloud-Service – Tenable Identity Exposure gibt genauere Fehlermeldungen aus, wenn es keine Verbindung zum Tenable Cloud-Service herstellen oder sich nicht bei diesem authentifizieren kann.

  

• Lizenz – Tenable Identity Exposure stützt sich jetzt bei der Zählung der aktiven Benutzer nur auf die AD-Objekte, deren objectClass ausschließlich User ist. ObjectClasses, die User enthalten, wie z. B. MSMQ-Migrated-User oder strongAuthenticationUser, werden nicht mehr berücksichtigt.

• Trail Flow – Sie können jetzt das SDDL-Feld kopieren, wenn Sie ein nicht abgesichertes HTTP-Protokoll verwenden (relevant für einige On-Premises-Bereitstellungen, die entweder HTTP oder ein nicht anerkanntes HTTPS-Zertifikat verwenden).

• Tenable Identity Exposure API-Referenzportal – Unwichtiger Eintrag (Ereignisse) wurde entfernt.

• API – Verstärkte Validierung von ganzzahligen Eingaben und entsprechende Behandlung des Fehlers als Ungültige Anforderung (Bad Request) statt als Interner Serverfehler (Internal server error).

• Tenable Identity Exposure verarbeitet fremde Sicherheitsprinzipale besser, wenn es sich dabei auch um nicht aufgelöste Sicherheitsprinzipale handelt.

• Tenable Identity Exposure ersetzt die \0a-Sequenzen in AD-Attributen beim Senden über SYSLOG durch ein Leerzeichen.

• In einigen Grenzfällen können jetzt Rollen mit entfernten Verzeichnissen bearbeitet werden.

• Tenable Identity Exposure verknüpft nicht aufgelöste Sicherheitsprinzipale in der Angriffspfad-Funktion mit der richtigen Domäne.

In Tenable Identity Exposure wurde eine Korrelationslogik behoben, die Auswirkungen auf die folgenden Indicators of Attack (IoA) hatte: DCSync, DCShadow, Änderung des DC-Passworts, DNSAdmins-Ausnutzung, Extrahierung des Domänensicherungsschlüssels, Massiver Aufklärungsangriff auf Computern, NTDS-Extrahierung, Credential Dumping: LSASS-Speicher, Identitätswechsel bei SAM-Namen und Zerologon-Ausnutzung.

Indicators of Exposure (IoE)

• Anwendung von schwachen Passwortrichtlinien auf Benutzer zeigt eine verbesserte Leistung bei der Durchführung der ersten Sicherheitsüberprüfung.

• Unzureichende Härtung gegen Ransomware verfügt über verbesserte Resilienz bei der Meldung von Abweichungen.

• Gefährliche sensible Berechtigungen weist eine verbesserte Analyseleistung auf.