Το είδα πρώτη φορά σε ένα γρήγορο διάλειμμα, στο κινητό, ανάμεσα σε δύο meetings, και σχεδόν το προσπέρασα. «AI-Readiness recommendations» δίπλα σε TPM, VBS, HVCI, LAPS. Η πρώτη μου σκέψη, ειλικρινά, ήταν κάτι σαν «άλλο ένα sticker». Έχω δει τόσα «AI-powered» να κολλάνε σε πράγματα που δεν έχουν καμία σχέση με μοντέλα μηχανικής μάθησης, που το αντανακλαστικό μου πια είναι δυσπιστία πρώτα, ενδιαφέρον μετά. Το ξανακοίταξα το βράδυ, πιο ήρεμα, με καφέ αυτή τη φορά αντί για βιαστικό scroll, και κάτι άλλαξε.

Γιατί το TPM και το LAPS δεν είναι καινούργια πράγματα, τα “κουβαλάω” μαζί μου, μεταφορικά, από τότε που έκανα τα πρώτα μου hardening projects, πριν καν υπάρχει καν λόγος να μιλάμε για NIS2. Οπότε το ερώτημα δεν ήταν «τι είναι αυτά», αλλά «γιατί τώρα, γιατί μαζί, και γιατί με αυτή την ετικέτα». Κι εκεί, νομίζω, κρύβεται κάτι πιο ουσιαστικό απ’ όσο δείχνει με την πρώτη ματιά.

Τι λέει, στην πράξη, το MC1466750

Χωρίς πολλά λόγια: η Microsoft βάζει τέσσερις νέες συστάσεις στο Secure Score, μέσα από το Defender for Endpoint. Ψάχνουν λοιπόν, Windows συσκευές που δεν έχουν τα παρακάτω:

  • Trusted Platform Module (TPM) 2.0: Αποθηκεύει κρυπτογραφικά κλειδιά σε hardware, θεμέλιο για BitLocker, Windows Hello και attestation ακεραιότητας συσκευής.
  • Virtualization-based Security (VBS): Απομονώνει κρίσιμες διεργασίες σε προστατευμένο hypervisor container, εμποδίζοντας malware να παρακάμψει τον πυρήνα του OS.
  • Hypervisor-Protected Code Integrity (HVCI), το γνωστό μας Memory Integrity: Επιβάλλει code integrity μέσω VBS, αποτρέποντας φόρτωση μη υπογεγραμμένων ή κακόβουλων kernel-mode drivers.
  • Windows LAPS: Εξαλείφει κοινούς local admin κωδικούς, μειώνοντας δραστικά επιφάνεια lateral movement και pass-the-hash επιθέσεων.

Τίποτα εξωπραγματικό έως εδώ. Τέσσερα controls που τα ξέρουμε, τα βλέπουμε σε κάθε baseline, και που παρ’ όλα αυτά, σε πάρα πολλά tenants που έχω δει (όχι μόνο δικά μου, και φίλων συναδέλφων που τα συζητάμε), μένουν μισοτελειωμένα. Το Public Preview ξεκινάει αρχές με μέσα Σεπτεμβρίου και το GA (Worldwide, GCC, GCC High, DoD) μέσα με τέλη του ίδιου μήνα και δεν χρειάζεται καμία ενέργεια για να τα δεις να εμφανίζονται, απλώς θα εμφανιστούν.

Και εδώ μια πρακτική λεπτομέρεια που, αν δεν την πεις εγκαίρως, θα σου τη ζητήσουν αργότερα με ύφος: το Secure Score ποσοστό σου θα κουνηθεί. Αν έχεις κενά, θα πέσει και κανείς δεν το θέλει, αλλά αν είσαι ήδη καλυμμένος, θα ανέβει λιγάκι. Το έχω ξαναζήσει αυτό, με άλλες προσθήκες συστάσεων στο παρελθόν, και ο κανόνας που κράτησα είναι απλός: ενημερώνω μέ ένα email 2-3 γραμμών την διοίκηση πριν το rollout, όχι μετά. Ένα ξαφνικό -6% στο Secure Score χωρίς προειδοποίηση δημιουργεί ερωτήματα που δεν χρειάζεται κανείς μας, ειδικά αν συμπίπτει με review περιόδου.

Νέες συστάσεις Secure Score για AI-Readiness στο Microsoft Defender portal

📷 Εικόνα 1: Microsoft Defender portal → Exposure management → Recommendations → Devices → Misconfigurations, φιλτραρισμένες με το tag AI-Readiness. Οι τέσσερις νέες συστάσεις εμφανίζονται μαζί με τα διαθέσιμα points και τον αριθμό επηρεαζόμενων συσκευών.

Γιατί «AI-Readiness» και όχι απλά «hardening», που θα ήταν πιο τίμιο όνομα

Δεν νομίζω ότι το TPM «σταματάει» κάποιο AI attack, ούτε ότι το LAPS ξέρει τι είναι ένα LLM. Ας το ξεκαθαρίσουμε όμως αυτό πρώτα, γιατί κάποιος θα διαβάσει τον τίτλο και θα περιμένει κάτι πιο…εντυπωσιακό. Δεν είναι όμως.

Αυτό που νομίζω ότι πραγματικά συμβαίνει είναι πιο “βαρετό”, αλλά και πιο σωστό: όταν ο αντίπαλος έχει εργαλεία που μαζεύουν credentials πιο γρήγορα, κάνουν lateral movement πιο αποδοτικά και προσαρμόζουν malware δυναμικά για να ξεφύγουν από detection, το κόστος του να μην έχεις TPM ή VBS/HVCI ανεβαίνει απότομα. Δεν είναι ότι η συσκευή έγινε ξαφνικά πιο ευάλωτη, είναι ότι ο χρόνος που έχεις για να το προλάβεις μικραίνει…ΠΟΛΥ! Παλιά, ένα κενό στο hardening σήμαινε ίσως μέρες παραπάνω μέχρι να το εκμεταλλευτεί κάποιος. Τώρα, δεν είμαι σίγουρος ότι έχεις καν ώρες.

Το LAPS είναι το πιο απτό παράδειγμα, γιατί το έχω δει με τα μάτια μου, όχι σε παρουσίαση. Ίδιος local admin κωδικός (1234) σε δεκάδες μηχανήματα σημαίνει ότι ένα credential dump σε ένα endpoint ισοδυναμεί με κλειδί για όλο το κτίριο, άν όχι όλο τον οργανισμό. Αυτό δεν χρειάζεται AI για να συμβεί, χρειάζεται απλώς λίγα λεπτά. Αλλά όταν τα «λίγα λεπτά» γίνονται «δευτερόλεπτα», η ανοχή που είχες χθες δεν υπάρχει πια σήμερα.

Οπότε: το «AI-Readiness» δεν είναι νέα τεχνολογία, είναι μάλλον ένα πιο πειστικό όνομα για κάτι που έπρεπε να λέγεται απλά «τα βασικά, γιατί τα παραμελήσαμε ξανά». Και παραδόξως, αυτό με πείθει περισσότερο από το να το έλεγαν έτσι.

Τι κάνει το καθένα, χωρίς να σε πνίξω σε τεχνικά

Το TPM 2.0 είναι απλά το κομμάτι hardware που κρατάει τα κλειδιά με τρόπο που δεν μπορείς εύκολα να αγγίξεις από έξω, tamper-resistant το λένε. Χωρίς αυτό, το BitLocker και το Windows Hello for Business δουλεύουν, τεχνικά, αλλά χάνουν το σημείο τους, γιατί δεν έχεις πια εκείνο το ασφαλές σημείο αναφοράς. Είναι λίγο σαν να έχεις χρηματοκιβώτιο χωρίς κλειδαριά.

Το VBS παίρνει hardware virtualization και φτιάχνει ένα κομμάτι μέσα στο λειτουργικό που είναι, ουσιαστικά, ξεχωριστό απ’ όλα τα υπόλοιπα. Δεν το βλέπεις, δεν το νιώθεις, αλλά είναι η βάση πάνω στην οποία στηρίζεται μετά το Credential Guard και άλλα παρόμοια.

Το HVCI, ή Memory Integrity αν προτιμάς το πιο φιλικό όνομα, χρησιμοποιεί αυτό το VBS για να λέει «μόνο υπογεγραμμένος κώδικας τρέχει σε kernel mode, τελεία». Είναι από τα πιο αποτελεσματικά πράγματα που έχουμε απέναντι σε kernel-level malware, και εδώ θα σου πω κάτι από πρώτο χέρι: το ενεργοποίησα κάποτε βιαστικά σε ένα μικρό μέρος συσκευών που είχαν έναν παλιό driver για barcode scanner σε αποθήκη, και το πρωί είχα δέκα τηλέφωνα ότι «δεν διαβάζει τίποτα το HHT/σκάνερ». Δεν ήταν το HVCI χαλασμένο. Ήταν ο driver ασύμβατος, και το HVCI έκανε ακριβώς τη δουλειά του, μπλόκαρε κάτι μη υπογεγραμμένο. Απλώς εγώ δεν είχα κάνει το pilot που έπρεπε…

Το LAPS, τέλος, φροντίζει οι local admin κωδικοί να μην είναι ίδιοι παντού. Χωρίς αυτό, ένα credential dump σε οποιοδήποτε endpoint γίνεται αμέσως πάσο για όλο τον IT στόλο οπως Desktops/Laptops κλπ.

Και τα τέσσερα έχουν κάτι κοινό, αν το ψάξεις λίγο: δεν εμποδίζουν κάποιον να προσπαθήσει. Εμποδίζουν το τι μπορεί να κάνει αφού έχει ήδη μπει κάπου. Αυτό τα κάνει, κατά τη γνώμη μου, πιο σημαντικά απ’ όσο τους αναγνωρίζουμε συνήθως.

Πώς τα βρίσκεις στο δικό σου tenant

Η διαδικασία είναι σκόπιμα απλή, καμία ρύθμιση δεν χρειάζεται για να εμφανιστούν οι συστάσεις. Αυτό που χρειάζεται είναι εσύ να πας να τις δεις με προσοχή, γιατί ξέρουμε όλοι πόσο εύκολο είναι μια νέα γραμμή στο Secure Score να χαθεί ανάμεσα σε δεκάδες άλλες.

Λεπτομέρεια σύστασης Secure Score για ενεργοποίηση Memory Integrity HVCI

📷 Εικόνα 2: Λεπτομέρεια σύστασης «Enable Memory Integrity (HVCI)» με τη λίστα επηρεαζόμενων συσκευών και το remediation guidance.

Μετά το rollout, Microsoft Defender portal → Exposure management → Recommendations, φίλτρο με το tag AI-Readiness, και τις βλέπεις. Κάθε σύσταση σε πάει κατευθείαν στη λίστα συσκευών που τη χρειάζονται, οπότε δεν χρειάζεται να ψάχνεις χειροκίνητα ποιες είναι οι «ένοχες».

Και ξαναλέω αυτό που έμαθα με τον δύσκολο τρόπο παραπάνω: pilot πρώτα, σε μικρό ελεγχόμενο group, με σαφή τρόπο rollback. Το γράφει και η ίδια η Microsoft στην ανακοίνωση, οπότε δεν είναι κάτι που εφηύρα εγώ, αλλά αξίζει να το πάρεις κυριολεκτικά αν έχεις παλιότερο εξοπλισμό ή εξειδικευμένο λογισμικό στη γραμμή παραγωγής, όπου ένας driver από το 2017 μπορεί ακόμα να είναι σε χρήση επειδή απλά «δουλεύει».

Το κομμάτι που εύκολα ξεχνιέται: οι τεκμηριωμένες εξαιρέσεις

Δεν θα μπορέσεις να φέρεις το 100% των συσκευών σου σε αυτά τα baselines, ρεαλιστικά μιλώντας. Θα υπάρχουν παλιά μηχανήματα χωρίς TPM 2.0, virtual machines όπου το VBS δεν εφαρμόζεται με τον ίδιο τρόπο, ή εφαρμογές που δεν συνεργάζονται καλά με το HVCI. Αυτό δεν είναι πρόβλημα από μόνο του. Πρόβλημα είναι όταν η εξαίρεση μένει άτυπη, στο μυαλό κάποιου μηχανικού, και όχι καταγεγραμμένη κάπου.

Η ίδια η ανακοίνωση το λέει καθαρά: «document and manage approved exceptions when security controls cannot be enabled because of validated business or compatibility requirements». Αυτή η πρόταση, από μόνη της, είναι ουσιαστικά μια οδηγία GRC μέσα σε ένα τεχνικό announcement, και αξίζει να την πάρεις κυριολεκτικά.

Πού μπαίνει αυτό στο NIS2 και στο ISO 27001

Εδώ ξεφεύγω λίγο από το τεχνικό και μπαίνω στο κομμάτι που, ας το πω ειλικρινά, με απασχολεί περισσότερο τις τελευταίες μέρες.

Οι τέσσερις συστάσεις είναι, χωρίς να το λέει ρητά η Microsoft, ένα έτοιμο configuration baseline. Και το A.8.9 του ISO 27001 δεν ζητάει τίποτα εξωτικό, ζητάει ακριβώς αυτό: ένα καθορισμένο baseline και έναν τρόπο να μετράς την απόκλιση από αυτό. Το Secure Score, τώρα, σου δίνει το νούμερο έτοιμο. Δεν χρειάζεται να το φτιάξεις μόνος σου σε ένα Excel, κάτι που, ας μην κρυβόμαστε, έχουμε κάνει όλοι κάποια στιγμή.

Το LAPS ειδικά με πάει κατευθείαν στο A.5.17, Authentication Information. Έχω περάσει audit όπου η ερώτηση ήταν σχεδόν κυριολεκτικά «δείξε μου πώς διαχειρίζεσαι τους local admin κωδικούς σου», και η χειρότερη δυνατή απάντηση εκεί μέσα είναι κάτι σαν «τον ξέρουμε εμείς, είναι ο ίδιος παντού». Δεν είναι finding, είναι κόκκινη σημαία.

Το κομμάτι που, νομίζω, ξεχνιέται πιο εύκολα είναι οι εξαιρέσεις. Ρεαλιστικά, δεν θα φτάσεις ποτέ 100% σε αυτά τα τέσσερα baselines. Θα υπάρχει πάντα κάποιο παλιό μηχάνημα, κάποια εφαρμογή που δεν συνεργάζεται με HVCI, κάποιο legacy σύστημα που κανείς δεν τολμάει να αγγίξει γιατί «αν το χαλάσουμε σταματάει η γραμμή». Αυτό από μόνο του δεν είναι πρόβλημα. Πρόβλημα γίνεται όταν η εξαίρεση μένει άτυπη, σε ένα μυαλό μηχανικού που ίσως φύγει σε δύο χρόνια, αντί να είναι γραμμένη κάπου με ημερομηνία επανεξέτασης. Η ίδια η ανακοίνωση το λέει, «document and manage approved exceptions», και για μένα αυτό είναι η πιο σημαντική γραμμή σε όλο το MC, πιο σημαντική κι από τα ίδια τα controls.

Και το ότι το Secure Score «θα δείχνει πρόοδο» καθώς διορθώνεις πράγματα, ταιριάζει με το A.8.16 και με τη γενική λογική της συνεχούς βελτίωσης. Ένα γράφημα πριν/μετά είναι ακριβώς αυτό που θα ήθελα να δω σε επόμενο audit, όχι επειδή το λέει κάποιο πρότυπο, αλλά επειδή πραγματικά βοηθάει να αποδείξεις ότι κάτι κινείται, όχι μόνο ότι υπάρχει πολιτική.

Τι θα κάνω εγώ, πρακτικά

Δεν περιμένω το GA για να ξεκινήσω. Θα ενημερώσω πρώτα το help desk, γιατί δεν θέλω κανείς να πανικοβληθεί (όπως γίνεται συνήθως σε μια αλλαγή) όταν δει το Secure Score να πέφτει και να νομίζει ότι κάτι χάλασε. Μετά θα τρέξω το παρακάτω query στο Intune για συσκευές χωρίς TPM 2.0,

# Detection script - επιστρέφει exit code 1 αν λείπει TPM 2.0
$tpm = Get-Tpm
if ($tpm.TpmPresent -and $tpm.TpmEnabled -and $tpm.TpmActivated -and $tpm.ManufacturerVersionFull20) {
    Write-Output "Compliant: TPM 2.0 present, enabled, activated"
    exit 0
} else {
    Write-Output "Non-compliant: TPM 2.0 missing or not fully enabled"
    exit 1
}

πριν καν εμφανιστεί επίσημα η σύσταση, απλώς για να ξέρω το μέγεθος πριν μου το πει το εργαλείο. Και θα ξεκινήσω pilot για HVCI σε πολύ μικρό group, με σαφή τρόπο να το γυρίσω πίσω αν κάτι στραβώσει, γιατί έχω ήδη πληρώσει το «μάθημα» μια φορά και δεν σκοπεύω να το ξαναπληρώσω.

Τίποτα εδώ δεν είναι εντυπωσιακό. Είναι, μάλλον, το αντίθετο, είναι βαρετή, επαναλαμβανόμενη δουλειά. Αλλά είναι ακριβώς αυτή η βαρετή δουλειά που, όταν τη δει κάποιος σωρευτικά σε ένα audit, κάνει τη διαφορά ανάμεσα σε ένα πρόγραμμα ασφάλειας που δείχνει καλά μόνο στα χαρτιά και σε ένα που πραγματικά κρατάει.

Και κάτι τελευταίο

Ξεκίνησα δύσπιστος με την ετικέτα «AI-Readiness», το παραδέχτηκα ήδη. Το συμπέρασμα στο οποίο καταλήγω με πείθει, όμως όχι για τον λόγο που αρχικά ανέμενα: όχι επειδή το AI άλλαξε κάτι θεμελιώδες σε αυτά τα controls, αλλά επειδή μου θύμισε πόσο εύκολα βάζουμε στο ράφι πράγματα που θεωρούμε «τελειωμένα». Το TPM, το VBS, το HVCI, το LAPS, δεν χρειάζονταν καινούργιο όνομα για να είναι σημαντικά. Χρειαζόμασταν απλώς κάποιον να μας τα ξαναφέρει μπροστά.

Αν κάτσεις να δεις τις δικές σου συσκευές μέσα στον Σεπτέμβριο, πες μου πόσες κοκκίνισαν. Στοιχηματίζω πως θα σε εκπλήξει ο αριθμός, όχι απαραίτητα ευχάριστα…