Was ist neu in GravityZone Mai 2026 (v 6.73)

Neuheiten in GravityZone Mai 2026 (v 6.73)

Neuigkeiten für Sicherheitsanalysten
In einer dynamischen Cybersicherheitslandschaft sind Sicherheitsanalysten dafür verantwortlich, alle Anzeichen potenzieller raffinierter Angriffe aufzudecken, um das Unsichtbare sichtbar zu machen. In diesem Abschnitt werden neue Funktionen beschrieben, die die Fähigkeiten von Analysten verbessern und erweiterte Tools für die Erkennung, Untersuchung und Reaktion auf Bedrohungen bieten.

PHASR MITRE ATT& CK Gruppierung
Proactive Hardening and Attack Surface Reduction (PHASR) härtet Systeme proaktiv ab, indem es das Benutzerverhalten analysiert, um Living off the Land (LotL)-Angriffe und gezielte Bedrohungen zu verhindern. Durch die Erkennung von Anomalien werden maßgeschneiderte Aktionen auf Anwendungsebene blockiert, wodurch die Angriffsfläche verringert wird, ohne den Betrieb zu unterbrechen.

PHASR strukturiert seine Bibliothek mit überwachten Regeln jetzt anhand des MITRE ATT& CK-Frameworks und führt eine vierstufige Hierarchie ein - Taktik, Technik, Untertechnik und überwachte Regel - direkt in Risk Management > PHASR > Überwachte Regeln. Drei neue ATT& CK-Spalten - Taktiken, Techniken und Untertechniken - sind jetzt in der Tabelle der überwachten Regeln vorhanden. Jeder Taktik-Eintrag wird um Techniken und Untertechniken erweitert, wobei jeder Knoten die überwachten Regeln anzeigt, die auf dieser Ebene arbeiten, zusammen mit den zugehörigen Auslösern, Verhaltensprofilen, Empfehlungen und Vorfällen.

Die kontextbezogenen Seitenpanels wurden aktualisiert, um diese Hierarchie widerzuspiegeln, und geben nun ATT& CK-ausgerichtete Details für den ausgewählten Knoten anstelle einer allgemeinen Regelzusammenfassung zurück.

Neue Filtersteuerungen unterstützen Abfragen über alle ATT& CK-Dimensionen hinweg, so dass Analysten feststellen können, welche Regeln eine bestimmte Taktik, Technik oder Untertechnik betreffen. Dies ersetzt den früheren Arbeitsschritt der manuellen Zuordnung von Regelnamen zu ATT& CK-Identifikatoren in einer externen Matrix, so dass die PHASR-Regelabdeckung und die Klassifizierung der gegnerischen Methode während einer Untersuchung in derselben Ansicht erscheinen.

Erweiterte Windows Raw Events für EDR/XDR
Raw Events steuert, welche Endpunkt-Ereignisse GravityZone verarbeitet und für Untersuchungen zur Verfügung stellt. Die Konfiguration erfolgt auf Unternehmensebene über Konfiguration > Raw Events und die Ereignisdaten können über die Registerkarte Suche > Historisch abgefragt werden.

Mit dieser Version wird die Abdeckung von Windows-Rohereignissen um neun neue Ereignistypen erweitert, die Aktivitäten des Background Intelligent Transfer Service (BITS), die Verwaltung lokaler Benutzerkonten, Aktivitäten der Windows Management Instrumentation (WMI) und Änderungen von Gruppenrichtlinien umfassen.

Die Aktivitätskategorie BITS-Jobs führt die Ereignisse Datei hinzufügen, Erstellen und Löschen ein. Die Kategorie Benutzer fügt die Ereignisse Lokales Konto erstellen und Lokales Konto löschen hinzu. Die Aktivitätskategorie WMI fügt WMI-Ausführungsmethode, WMI neue Aktivität und WMI neue Bindung hinzu. Die Kategorie Sonstiges enthält Gruppenrichtlinien ändern.

Für Unternehmen, die noch nicht mit Proactive Hardening and Attack Surface Reduction (PHASR) arbeiten, bieten die WMI-Aktivitätsereignisse Analysten, die die Ausführungspfade von Living off the Land (LotL) untersuchen, einen Einblick. WMI-Ausführungsmethode und WMI-Neubindung erfassen zwei der am häufigsten beobachteten Techniken, mit denen Angreifer WMI aufrufen, um Code auszuführen oder dauerhafte Abonnements zu erstellen, ohne Dateien auf der Festplatte abzulegen. Analysten können diese Ereignisse über die Registerkarte Suchen > Historisch abfragen, um nicht autorisierte WMI-Interaktionen zu identifizieren, die mit verdächtigen übergeordneten Prozessen oder unerwarteten Benutzerkontexten verbunden sind.

Die neuen Ereignistypen sind standardmäßig deaktiviert und müssen einzeln unter Konfiguration >Rohereignisse aktiviert werden, bevor die Telemetrie gesammelt und auf der Registerkarte Suche >Historisch verfügbar gemacht wird.

Neuigkeiten für Administratoren
Da Administratoren ständig mit zahlreichen Aufgaben und Verantwortlichkeiten jonglieren müssen, werden Tools, die ihnen die tägliche Arbeit erleichtern, sehr geschätzt. In diesem Abschnitt werden neue Funktionen beschrieben, die die Verwaltung von Funktionen zur Prävention, zum Schutz und zur Erkennung in einer Defense-in-Depth-Sicherheitsarchitektur erleichtern sollen.

Vereinheitlichte Lizenzierung: Workstations und Server
Bei GravityZone-Lizenzen für Unternehmensprodukte gab es in der Vergangenheit ein Server-Limit, das die Anzahl der geschützten Server auf 30 % oder 35 % der lizenzierten Gesamtzahl der Arbeitsplätze beschränkte. Ab dem 11. Mai 2026 werden beide Beschränkungen für neue Lizenzen und Verlängerungen für die folgenden Produkte aufgehoben:

• GravityZone Small Business Security
• GravityZone Sicherheit für Unternehmen
• GravityZone Business Security Premium
• GravityZone Business Security Unternehmen

Mit dem überarbeiteten Modell entfällt die 30%/35%ige Serverbegrenzung, und alle geschützten Einheiten - Workstations und Server gleichermaßen - werden einheitlich als Endpunkte für einen einzigen Arbeitsplatz gezählt. Administratoren, die Lizenzen für Umgebungen mit einem hohen Server-zu-Arbeitsplatz-Verhältnis dimensionieren, müssen die prozentuale Servergrenze bei der Berechnung der erforderlichen Arbeitsplätze nicht mehr berücksichtigen, egal ob sie neue Lizenzen erwerben oder bestehende verlängern.

Vereinfachtes Kunden-Onboarding für MSPs (Early Access)
Managed Service Provider (MSP), die in GravityZone arbeiten, verwalten die Sicherheit für mehrere Kundenunternehmen unter einem einzigen Partnerkonto und stellen für jedes Unternehmen eigene Lizenzen, Richtlinien und Konfigurationen bereit. MSP Simplified Customer Onboarding ist eine Funktion der Early-Access-Phase (EAP), mit der ein einheitlicher Provisionierungs-Workflow für diese Partner im Rahmen eines monatlichen Abonnements eingeführt wird, der unter Benutzermenü > Mein Unternehmen >Frühzeitiger Zugriff verfügbar ist.
Der Workflow wird über die Schaltfläche Unternehmen einbinden auf der Seite Unternehmen eingeleitet. Nach der Aktivierung von Early Access und dem erneuten Einloggen in die GravityZone-Konsole erscheint die Schaltfläche Unternehmen einsteigen auf der Seite Unternehmen, von wo aus der Workflow gestartet wird.

Unternehmensdetails erfasst grundlegende Kontodaten - Name, Land und Branche - und ermöglicht es Partnern, Felder aus einer gespeicherten Vorlage auszufüllen. Unter Lizenzierung werden die Dienste und Add-ons definiert, die das Unternehmen für seine eigene Nutzung in Anspruch nimmt. Die Richtlinie kann geklont und inline geändert werden, bevor der Firmendatensatz erstellt wird, und sie wird im Moment des Hinzufügens wirksam.

Mit der Option "Vorlage" schließlich kann die fertige Konfiguration gespeichert und für spätere Anmeldungen wiederverwendet werden, wodurch sich wiederholende Eingaben bei ähnlichen Kundenprofilen verringern. Dies unterscheidet sich vom Standardablauf "Unternehmen hinzufügen", bei dem die Lizenzierung, die Zuweisung von Richtlinien und die Erstellung von Konfigurationsvorlagen als separate Schritte nach der Erstellung durchgeführt werden.

Compliance Manager Add-on für monatliche PHASR-Abonnements
Compliance Manager bietet eine Echtzeitbewertung der Konformität von Endpunkten durch integrierte Zuordnungen, die Anforderungen aus Frameworks wie GDPR, ISO 27001, NIS2 und NIST CSF 2.0 mit technischen Kontrollen auf Windows- und Linux-Endpunkten verknüpfen, zusammen mit umsetzbaren Anleitungen für Abhilfemaßnahmen und auditfähigen Berichten.

Mit diesem Update wird die Berechtigung für Compliance Manager-Add-ons auf Unternehmen ausgeweitet, die den Bitdefender PHASR-Produkttyp im Rahmen eines monatlichen Abonnements nutzen. Die Verfügbarkeit des Add-ons wird auf der Ebene des Produkttyps verwaltet, d.h. Administratoren steuern, ob es für einen bestimmten Produkttyp unabhängig von anderen Konfigurationen aktiv ist. Da das Add-on an den Produkttyp und nicht an den Unternehmensdatensatz gebunden ist, muss das Add-on bei einer Änderung des Produkttyps explizit wieder aktiviert werden - es wird nicht automatisch übertragen.

GravityZone IdP-Proxy
GravityZone Identity Provider (IdP) ist ein zentraler Authentifizierungsdienst, der SSO für Bitdefender-Dienstanbieter unterstützt und SAML 2.0 und System for Cross-Domain Identity Management (SCIM) verwendet, um digitale Identitäten im gesamten GravityZone-Ökosystem zu verwalten und zu überprüfen.

Mit dieser Version wird GravityZone IdP Proxy eingeführt, ein neuer Dienst, der zwischen dem bestehenden Identitätsanbieter eines Unternehmens und GravityZone-Diensten geschaltet wird, die derzeit eine native GravityZone-IdP-Authentifizierung erfordern. Der Proxy akzeptiert eingehende SAML-Assertions vom externen Anbieter, validiert diese Assertions und gibt Authentifizierungstoken aus, die von der GravityZone-Dienstschicht erkannt werden. Die Konfiguration erfolgt über ein neues Metadaten-URL-Feld für den GravityZone-IdP-Proxy auf der Seite Authentifizierung unter dem Abschnitt Single Sign-On mit SAML. Es ist sowohl für das eigene Unternehmen des Administrators als auch für alle von ihm verwalteten Unternehmen zugänglich.

Brotkrümelnavigation und direkte Links für Richtlinieneinstellungen
Die Seite Richtlinien im GravityZone-Kontrollzentrum bietet Zugriff auf die Konfiguration der Sicherheitsmodule für alle Endpunkttypen, wobei die Einstellungen über eine hierarchische Struktur von Abschnitten und Unterabschnitten innerhalb jeder Richtlinie verteilt sind.

Mit dieser Version werden oben auf jeder Seite mit Richtlinieneinstellungen Breadcrumbs hinzugefügt, die den aktuellen Pfad innerhalb der Richtlinienstruktur anzeigen. Jede Seite erhält außerdem eine eindeutige URL, die direkt in einen Browser eingegeben, an andere Administratoren weitergegeben oder über die Schaltfläche "Zurück" des Browsers erneut aufgerufen werden kann. Beim Zugriff auf einen direkten Link ohne Authentifizierung wird der Benutzer zur Anmeldeseite weitergeleitet; das weitere Ziel hängt von der für das Unternehmen konfigurierten Authentifizierungsmethode ab.
Benutzer, die sich mit GravityZone-Anmeldedaten authentifizieren, werden nach der Anmeldung direkt zur gewünschten Seite weitergeleitet. Benutzer, die sich über GravityZone Identity Provider oder einen IdP eines Drittanbieters authentifizieren, werden auf die Standard-Startseite des Control Centers des Unternehmens umgeleitet und müssen separat zur verlinkten Seite navigieren - ein Verhalten, das mit der Funktionsweise von IdP-authentifizierten Deep Links an anderen Stellen der Konsole übereinstimmt.

Erweiterte Unterstützung von Systemvariablen für Ausschlüsse
Der Abschnitt Konfigurationsprofile im GravityZone-Hauptmenü ermöglicht es Ihnen, Sammlungen von Einstellungen zu erstellen und zu verwalten, die Sie einer oder mehreren Richtlinien zuweisen können.

Mit diesem Update sind %system% und %programdata% jetzt gültige Variablen, wenn Sie Pfade in Richtlinien > Konfigurationsprofile > Ausschlüsse definieren. Beide Variablen werden zur Laufzeit auf jedem Zielendpunkt aufgelöst: %system% verweist auf das Windows-Systemverzeichnis (in der Regel C:\\Windows\\System32 oder C:\\Windows\\SysWOW64), und %programdata% verweist auf das für alle Benutzer freigegebene Anwendungsdatenverzeichnis (in der Regel C:\\ProgramData). Durch die Verwendung von Variablen anstelle von wörtlichen Pfaden wird sichergestellt, dass Ausschlussregeln an Endpunkten gültig bleiben, an denen Systemlaufwerke oder Installationspfade vom Standard abweichen.

Neue Optionen für die Appliance- und Sensorbereitstellung
Mit dieser Version werden zwei Infrastruktur-Updates für die Verteilung von Appliance-Images und das Onboarding von Sensoren eingeführt.

Die Images der virtuellen Appliances Security Server und XDR Network Sensor (NSVA) können jetzt im QCOW2-Format heruntergeladen werden, wodurch die Unterstützung für KVM-basierte Hypervisor-Umgebungen hinzugefügt wird. Bei Netzwerksensor-Implementierungen zeigt die GravityZone-Konsole jetzt während der Sensoreinrichtung einen SSH-Befehl an, der sofort ausgeführt werden kann. Wenn dieser Befehl auf der neu installierten Appliance ausgeführt wird, wird die Verbindung zur Konsole direkt hergestellt, ohne dass Administratoren die Verbindungsdetails manuell suchen oder eingeben müssen.

Ransomware-Schutz
Das Modul Ransomware Mitigation erkennt Ransomware-Aktivitäten auf Endpunkten, blockiert Verschlüsselungsversuche, sofern die Richtlinien dies zulassen, und speichert Dateisicherungen zur Unterstützung der Wiederherstellung.

In dieser Version wurde die Terminologie auf der Seite Ransomware-Aktivität überarbeitet, die Benachrichtigung über die Erkennung von Ransomware auf gemeldete Ereignisse ausgedehnt und ein spezieller Ereignistyp zum Sicherheitsüberprüfungsbericht hinzugefügt - dies verbessert die Sichtbarkeit von Erkennungen, die protokolliert, aber nicht aktiv blockiert werden.
Auf der Seite Ransomware-Aktivität wurde die Spalte Verschlüsselte Dateien in Gesicherte Dateien umbenannt, um genau zu zeigen, dass es sich bei den aufbewahrten Kopien um Sicherungskopien und nicht um vom Angreifer verschlüsselte Dateien handelt. Alle zugehörigen Bezeichnungen im GravityZone-Kontrollzentrum wurden entsprechend aktualisiert, und die Abhilfemaßnahme, die zuvor Verschlüsselte Dateien wiederherstellen hieß, heißt jetzt Gesicherte Dateien wiederherstellen. Auf derselben Seite wurde eine neue Spalte Aktion hinzugefügt, die anzeigt, ob eine Erkennung blockiert oder gemeldet wurde. Diese Spalte wird nur für Ereignisse ausgefüllt, die nach dieser Version erzeugt wurden.

In Benachrichtigungen wird die Benachrichtigung über die Ransomware-Erkennung jetzt nicht nur bei erkannten und blockierten Ereignissen, sondern auch bei erkannten und gemeldeten Ereignissen ausgelöst. In Berichten führt der Sicherheitsüberprüfungsbericht den neuen Ereignistyp "Gemeldeter Remote-Angriff" ein, der Ransomware-Erkennungen abdeckt, bei denen die Aktivität aufgezeichnet wurde, aber keine Blockierungsmaßnahmen ergriffen wurden.

Updates für den Bericht über entdeckte Websites
Content Control wendet Host-basierte Web-Filtering-Richtlinien an und reagiert auf ausgehenden Web-Verkehr gemäß den Regeln der einzelnen Richtlinien, die Blockierung, Warnung und, mit dieser Version, die Durchsetzung nur in Form von Berichten umfassen. Um die Einführung der Aktion "Nur Bericht" unter Web Traffic Scan in den Richtlinieneinstellungen widerzuspiegeln, wurde die Berichtsebene in drei Bereichen aktualisiert.

Der Bericht mit dem früheren Titel "Blockierte/Warnende Websites" heißt jetzt "Erkannte Websites", wodurch sein Anwendungsbereich auf Webtraffic-Ereignisse erweitert wird, bei denen keine Durchsetzungsmaßnahmen ergriffen wurden. Auf der Berichtskonfigurationsseite enthält das Feld Ergriffene Aktion jetzt die Option Berichtet, die es Administratoren ermöglicht, Webtraffic-Ereignisse zu isolieren, die unter der Aktion Nur Bericht protokolliert wurden. Innerhalb des Berichts wurde die Spalte "Gesperrte/verwarnte Websites" in "Erkannte Websites" umbenannt, um dem neuen Titel des Berichts und der breiteren Ereignisabdeckung zu entsprechen.

Aktualisierungen im Bereich Netzwerk
Der Abschnitt "Netzwerk" bietet Funktionen zur Verwaltung aller in Ihrem Netzwerk verfügbaren Einheiten. Entitäten sind definiert als physische Computer, virtuelle Maschinen, Sicherheitsserver, Container und Ordner, die in Ihrem Netzwerk verfügbar sind.

Mit dieser Version werden mehrere Aktualisierungen für die Interaktion von Administratoren mit Entitäten und Aktionen innerhalb des Netzwerkbereichs eingeführt:

• Ziehen und Ablegen für die Verschiebung von Entitäten Entitäten können jetzt durch Ziehen aus der Netzwerktabelle an eine Zielposition in der Struktur verschoben oder direkt im Strukturansichtsfenster neu positioniert werden. Für die Drag-and-Drop-Operationen gelten dieselben Regeln und Einschränkungen wie für die Aktion "Verschieben" im Hauptmenü "Netzwerk".
• Multi-Auswahl für Isolierungsaktionen. Die Aktionen "Endpunkt isolieren" und "Aus der Isolierung entfernen" akzeptieren jetzt eine Mehrfachauswahl, so dass bis zu 1.000 Endpunkte in einer einzigen Aktion verarbeitet werden können.
• Umbenannte Passwort-Aktion Die Aktion "Passwort ändern" wurde in "Passwort der Sicherheits-Appliance ändern" umbenannt, um ihren Anwendungsbereich genauer zu beschreiben. Die aktualisierte Bezeichnung wird in allen Bereichen angezeigt, in denen die Aktion erscheint, einschließlich Aufgaben und Benutzeraktivitäten.
• Verbesserung des Wortlauts der gemeinsamen Ansichten. Der Oberflächentext in Bereichen, die sich auf gemeinsame Ansichten beziehen, wurde überarbeitet, um mehr Klarheit zu schaffen.

API-Verbesserungen
Bitdefender Control Center APIs ermöglichen es Entwicklern, Geschäftsabläufe zu automatisieren. Diese APIs werden über das JSON-RPC 2.0-Protokoll bereitgestellt. Sie finden Anwendungsbeispiele und Dokumentation in unserem Support Center, das Sie hier finden.

Mit diesem Update werden neue API-Parameter und -Methoden zur Unterstützung des Compliance Managers, eine aktualisierte Handhabung von Endpunkt-Isolierungsaufgaben und eine neue Event-Push-Telemetrie eingeführt.