Bitdefender a déployé de nouvelles fonctionnalités dans Bitdefender GravityZone, une plateforme de cybersécurité unifiée offrant des capacités de prévention, protection, détection et réponse pour les organisations de toutes tailles. Ces nouveautés s’inscrivent dans notre stratégie de sécurité multicouche et visent à simplifier le travail des analystes sécurité, administrateurs et utilisateurs.

Nouveautés pour les analystes en sécurité

Dans un environnement de cybersécurité en constante évolution, les analystes en sécurité ont pour mission de détecter tout signe d'attaques potentiellement sophistiquées afin de rendre visible l'invisible. Cette section décrit les nouvelles fonctionnalités conçues pour améliorer les capacités des analystes, en leur offrant des outils perfectionnés pour la détection, l'investigation et la réponse aux menaces.  

Regroupement MITRE ATT&CK dans PHASR

Proactive Hardening and Attack Surface Reduction (PHASR) renforce proactivement les systèmes en analysant les comportements utilisateurs afin de prévenir les attaques Living off the Land (LotL) et les menaces ciblées. Il applique des mécanismes de détection d’anomalies pour bloquer des actions spécifiques au niveau applicatif, réduisant ainsi la surface d’attaque sans perturber les opérations.

PHASR structure désormais sa bibliothèque de règles surveillées selon le cadre MITRE ATT&CK, avec une hiérarchie à quatre niveaux — Tactique, Technique, Sous-technique et Règle surveillée — directement accessible dans Gestion des risques > PHASR > Règles surveillées. Trois nouvelles colonnes alignées sur ATT&CK — Tactiques, Techniques et Sous-techniques — apparaissent désormais dans le tableau des règles surveillées. Chaque entrée Tactique peut être développée afin d’afficher les Techniques et Sous-techniques associées, ainsi que les règles surveillées correspondantes, leurs déclencheurs, profils comportementaux, recommandations et incidents.

Les panneaux contextuels ont également été mis à jour pour refléter cette hiérarchie et afficher des informations détaillées alignées sur ATT&CK pour le nœud sélectionné, plutôt qu’un simple résumé générique de règle.

De nouveaux filtres permettent d’effectuer des recherches ciblées selon n’importe quelle dimension ATT&CK afin d’identifier quelles règles couvrent une Tactique, Technique ou Sous-technique spécifique. Cela remplace le besoin de faire correspondre manuellement les noms de règles avec les identifiants ATT&CK dans une matrice externe.

Pour obtenir des informations complètes sur PHASR, nous vous invitons à regarder nos Masterclass ici.

Événements Windows bruts étendus pour EDR/XDR

Les événements bruts contrôlent quels événements sur les endpoints GravityZone traite et rend disponibles pour investigation, avec une configuration appliquée au niveau de l’entreprise via Configuration > Événements bruts et des données d’événements consultables depuis l’onglet Recherche > Historique.

Cette version étend la couverture des événements bruts Windows avec neuf nouveaux types d’événements couvrant l’activité des tâches du Background Intelligent Transfer Service (BITS), la gestion des comptes utilisateurs locaux, l’activité Windows Management Instrumentation (WMI) et la modification des stratégies de groupe.

La catégorie d’activité des tâches BITS introduit les événements Ajouter un fichier, Créer et Supprimer. La catégorie Utilisateur ajoute Créer un compte local et Supprimer un compte local. La catégorie d’activité WMI ajoute Méthode d'exécution WMI, nouvelle activité WMI et nouvelle liaison WMI. La catégorie Autre ajoute Modifier la stratégie de groupe.

Pour les organisations n’utilisant pas encore Proactive Hardening and Attack Surface Reduction (PHASR), les événements d’activité WMI offrent une visibilité aux analystes enquêtant sur les chemins d’exécution Living off the Land (LotL). La méthode d'exécution WMI et la nouvelle liaison WMI capturent deux des techniques les plus fréquemment observées utilisées par les attaquants pour invoquer WMI afin d’exécuter du code ou d’établir des abonnements persistants sans déposer de fichiers sur le disque. Les analystes peuvent interroger ces événements depuis l’onglet Recherche > Historique afin d’identifier des interactions WMI non autorisées liées à des processus parents suspects ou à des contextes utilisateurs inattendus.

Les nouveaux types d’événements sont désactivés par défaut et doivent être activés individuellement dans Configuration > Événements bruts avant que la télémétrie ne soit collectée et rendue disponible dans l’onglet Recherche > Historique.

Nouveautés pour les administrateurs 

Les administrateurs devant constamment jongler entre de nombreuses tâches et responsabilités, les outils conçus pour faciliter leur travail quotidien sont très appréciés. Cette section décrit les nouvelles fonctionnalités conçues pour faciliter la gestion des fonctionnalités chargées de la prévention, de la protection et de la détection dans une architecture de sécurité à plusieurs niveaux.

Licence unifiée : postes de travail et serveurs

Les licences GravityZone pour les produits business appliquaient historiquement une limite de serveurs — restreignant le nombre de serveurs protégés à 30 % ou 35 % du nombre total de postes licenciés — ainsi qu’un modèle de licence comptabilisant les postes de travail et les serveurs comme des types d’entités distincts. À partir du 11 mai 2026, ces deux contraintes sont supprimées pour les nouvelles licences et les renouvellements des produits suivants :

• GravityZone Small Business Security

• GravityZone Business Security

• GravityZone Business Security Premium

• GravityZone Business Security Enterprise

Dans le modèle révisé, la limite de serveurs de 30 %/35 % ne s’applique plus, et toutes les entités protégées — postes de travail et serveurs — sont comptabilisées uniformément comme des endpoints dans un total unique de postes licenciés. Les administrateurs dimensionnant des licences pour des environnements avec un ratio élevé de serveurs par rapport aux postes de travail n’auront plus besoin de prendre en compte la limite de pourcentage de serveurs lors du calcul du nombre de licences nécessaires, qu’il s’agisse d’un nouvel achat ou d’un renouvellement.

Intégration simplifiée des clients MSP (accès anticipé)

Les MSP opérant dans GravityZone gèrent la sécurité de plusieurs entreprises clientes sous un compte partenaire unique, en fournissant à chacune ses propres licences, politiques et configurations. MSP Simplified Customer Onboarding est une fonctionnalité en phase d’accès anticipé (EAP) qui introduit un workflow unifié de provisioning pour ces partenaires utilisant un abonnement mensuel, accessible via Menu utilisateur > Mon entreprise > Accès anticipé.

Le workflow est initié via le bouton Onboard company sur la page Entreprises. Après activation de l’option Accès anticipé et reconnexion à la console GravityZone, le bouton Onboard company apparaît sur la page Entreprises, à partir de laquelle le workflow est lancé.

Détails de l'entreprise collecte les informations de base du compte — nom, pays et secteur d’activité — et permet aux partenaires de renseigner les champs à partir d’un template enregistré. Mode de licence définit les services et add-ons que l’entreprise utilisera pour son propre usage. Politique présente une liste complète des fonctionnalités de sécurité disponibles et de leurs états d’activation ; la politique peut être clonée et modifiée directement avant la création de l’entreprise, et elle prend effet au moment de l’ajout.

Enfin, l’option Modèle permet d’enregistrer la configuration finalisée et de la réutiliser pour les onboardings suivants, réduisant ainsi les saisies répétitives sur des profils clients similaires. Cela diffère du workflow standard Ajouter une entreprise, dans lequel les licences, l’attribution des politiques et les modèles de configuration sont gérés comme des étapes séparées après la création.

Un bouton Commentaires sur la page Entreprises permet de transmettre des retours à l’équipe produit pendant toute la phase d’accès anticipé.

Module complémentaire Compliance Manager pour les abonnements mensuels PHASR

Compliance Managerfournit une évaluation en temps réel de la posture de conformité des endpoints grâce à des mappings intégrés reliant les exigences de référentiels tels que le RGPD, ISO 27001, NIS2 et NIST CSF 2.0 à des contrôles techniques sur les endpoints Windows et Linux, accompagnés de recommandations de remédiation exploitables et de rapports prêts pour les audits.

Cette mise à jour étend l’éligibilité de l’add-on Compliance Manager aux entreprises utilisant le type de produit Bitdefender PHASR avec un abonnement mensuel. La disponibilité de l’add-on est gérée au niveau du type de produit, ce qui signifie que les administrateurs contrôlent son activation pour un type de produit donné indépendamment des autres configurations. Étant donné que l’add-on est lié au type de produit et non à l’entreprise elle-même, un changement de type de produit nécessite une réactivation explicite de l’add-on — il n’est pas transféré automatiquement.

GravityZone IdP Proxy

GravityZone Identity Provider (IdP) est un service d’authentification centralisé prenant en charge le SSO pour les fournisseurs de services Bitdefender, en utilisant SAML 2.0 et System for Cross-domain Identity Management (SCIM) pour gérer et vérifier les identités numériques dans l’écosystème GravityZone.

Cette version introduit GravityZone IdP Proxy, un nouveau service opérant entre le fournisseur d’identité tiers existant d’une organisation et les services GravityZone nécessitant actuellement l’authentification native GravityZone IdP. Le proxy accepte les assertions SAML entrantes provenant du fournisseur externe, valide ces assertions et émet des jetons d’authentification reconnus par la couche de services GravityZone. La configuration s’effectue via un nouveau champ GravityZone IdP Proxy metadata URL dans la page Authentication, sous la section Single Sign-On using SAML. Il est accessible aussi bien pour la propre entreprise de l’administrateur que pour les entreprises qu’il gère.

Navigation par fil d'Ariane et liens directs pour les paramètres de politique

La page Politiques dans le GravityZone Control Center donne accès à la configuration des modules de sécurité pour les différents types d’endpoints, avec des paramètres répartis dans une structure hiérarchique de sections et sous-sections au sein de chaque politique.

Avec cette version, des breadcrumbs sont ajoutés en haut de chaque page de paramètres de politique, affichant le chemin actuel dans la structure de la politique. Chaque page dispose également d’une URL unique, pouvant être saisie directement dans un navigateur, partagée avec d’autres administrateurs ou revisitée via le bouton retour du navigateur. L’accès à un lien direct sans authentification redirige l’utilisateur vers la page de connexion ; la destination suivante dépend de la méthode d’authentification configurée pour l’entreprise.

Les utilisateurs s’authentifiant avec des identifiants GravityZone sont redirigés directement vers la page demandée après connexion. Les utilisateurs s’authentifiant via GravityZone Identity Provider ou un IdP tiers sont redirigés vers la page d’accueil par défaut du Control Center de l’entreprise et doivent naviguer séparément vers la page liée — un comportement cohérent avec le fonctionnement des deep links authentifiés via IdP ailleurs dans la console.

Prise en charge étendue des variables système pour les exclusions

La section Configuration des profils dans le menu principal de GravityZone vous permet de créer et gérer des collections de paramètres pouvant être assignées à une ou plusieurs politiques.

Avec cette mise à jour, %system% et %programdata% sont désormais des variables valides lors de la définition de chemins dans Politiques > Configuration des profils > Exclusions. Les deux variables sont résolues à l’exécution sur chaque endpoint cible : %system% correspond au répertoire système Windows (généralement C:\Windows\System32 ou C:\Windows\SysWOW64), et %programdata% correspond au répertoire de données applicatives partagé entre tous les utilisateurs (généralement C:\ProgramData). L’utilisation de variables plutôt que de chemins littéraux garantit que les règles d’exclusion restent valides sur des endpoints où les lecteurs système ou les chemins d’installation diffèrent des valeurs par défaut.

Nouvelles options de déploiement d'appliances et de capteurs

Cette version introduit deux mises à jour d’infrastructure concernant la distribution des images appliances et l’onboarding des sensors.

Les images des appliances virtuelles Security Server et XDR Network Sensor (NSVA) peuvent désormais être téléchargées au format QCOW2, ajoutant la prise en charge des environnements hyperviseurs basés sur KVM. Pour les déploiements Network Sensor, la console GravityZone affiche maintenant une commande SSH prête à l’emploi pendant la configuration du sensor ; l’exécution de cette commande sur l’appliance nouvellement installée établit directement la connexion à la console sans nécessiter que les administrateurs recherchent ou saisissent manuellement les détails de connexion.

Ransomware Mitigation

Le module Ransomware Mitigation détecte l’activité ransomware sur les endpoints, bloque les tentatives de chiffrement lorsque la politique l’autorise et conserve des sauvegardes de fichiers afin de permettre la restauration.

Cette version révise la terminologie dans la page Activité des ransomwares, étend la notification Ransomware Detection pour couvrir les événements reportés et ajoute un type d’événement dédié dans le rapport Audit de sécurité — améliorant collectivement la visibilité sur les détections enregistrées mais non activement bloquées.

Dans la page Activité des ransomwares, la colonne Fichiers chiffrés a été renommée Fichiers sauvegardés afin de refléter précisément que les copies conservées sont des sauvegardes et non des fichiers chiffrés par l’attaquant. Tous les labels associés dans le GravityZone Control Center ont été mis à jour en conséquence, et la tâche de remédiation précédemment nommée Restaurer les fichiers chiffrés est désormais Restaurer les fichiers sauvegardés. Une nouvelle colonne Action a également été ajoutée à cette page, affichant si chaque détection a été Bloquée ou Raportée ; cette colonne est renseignée uniquement pour les événements générés après cette version, les enregistrements antérieurs affichant une valeur vide.

Dans Notifications, la notification de détection des ransomwares se déclenche désormais pour les événements détectés et raportés, en plus des événements détectés et bloqués. Dans Rapports, le rapport d'audit de sécurité introduit Attaque à distance rapportée comme nouvelle valeur de Type d'événement, couvrant les détections de ransomwares pour lesquelles l’activité a été enregistrée mais aucune action de blocage n’a été effectuée.

Mises à jour des rapports de sites Web détectés

Le Contrôle de contenu applique des politiques de filtrage Web basées sur l’hôte, agissant sur le trafic Web sortant selon des règles définies par politique incluant le blocage, l’avertissement et, avec cette version, le mode Rapport seulement. Afin de refléter l’introduction de l’action Rapport seulement dans l'Analyse du traffic Web des paramètres de politique, la couche de reporting a été mise à jour dans trois domaines.

Le rapport anciennement intitulé Sites Web bloqués/avec avertissement s’intitule désormais Sites Web détectés, élargissant son périmètre aux événements de trafic Web pour lesquels aucune action de blocage n’a été appliquée. Sur la page de configuration du rapport, le champ Action prise inclut désormais une option de signalement, permettant aux administrateurs d’isoler les événements de trafic Web enregistrés sous l’action Rapport seulement. Dans le rapport lui-même, la colonne Sites Web bloqués/avec avertissement a été renommée Sites Web détectés afin de correspondre au nouveau titre du rapport et à la couverture élargie des événements.

Mises à jour de la section Réseau

La section Réseau fournit des fonctionnalités permettant de gérer toutes les entités disponibles dans votre réseau. Les entités sont définies comme des ordinateurs physiques, machines virtuelles, serveurs de sécurité, conteneurs et dossiers disponibles dans votre réseau.

Cette version introduit plusieurs mises à jour concernant la manière dont les administrateurs interagissent avec les entités et les actions dans la section Réseau :

• Glisser-déposer pour le déplacement des entités. Les entités peuvent désormais être déplacées en les faisant glisser depuis le tableau Réseau vers un emplacement cible dans l’arborescence, ou repositionnées directement dans le panneau de vue arborescente. Les mêmes règles et restrictions que celles régissant l’action Déplacer dans le menu principal Réseau s’appliquent aux opérations de glisser-déposer.
• Multi-sélection pour les actions d’isolation. Les actions Isoler l’endpoint et Retirer de l’isolation acceptent désormais la multi-sélection, permettant de traiter jusqu’à 1 000 endpoints en une seule action.
• Renommage de l’action mot de passe. L’action Modifier le mot de passe a été renommée Modifier le mot de passe de l’appliance de sécurité afin de décrire plus précisément son périmètre. Le libellé mis à jour est reflété dans toutes les zones où l’action apparaît, y compris Tâches et Activité de l'utilisateur.
• Amélioration des libellés des vues partagées. Les textes de l’interface dans les zones liées aux vues partagées ont été révisés pour plus de clarté.

Améliorations des API 

Les API du Centre de contrôle Bitdefender permettent aux développeurs d'automatiser les flux de travail professionnels. Ces API sont exposées via le protocole JSON-RPC 2.0. Vous trouverez des exemples d'utilisation et de la documentation dans notre Centre d'assistance, situé ici.   

Cette mise à jour introduit de nouveaux paramètres et méthodes API afin de prendre en charge Compliance Manager, la gestion mise à jour des tâches d’isolation des endpoints ainsi que de nouveaux événements de télémétrie Event Push.

Gestion des entreprises

• La méthode createCompany prend désormais en charge les paramètres manageComplianceManager et manageComplianceManagerResell pour les entreprises utilisant l’add-on Compliance Manager avec le type de produit Bitdefender PHASR.

Licences et inventaire réseau

• Les méthodes setMonthlySubscription, getLicenseInfo et getNetworkInventoryItems prennent désormais en charge les paramètres manageComplianceManager et manageComplianceManagerResell dans les mêmes conditions.
• Les méthodes getMonthlyUsage et getMonthlyUsagePerProductType retournent le nombre d’endpoints via le paramètre complianceMonthlyUsage lorsque l’add-on Compliance Manager est activé pour des entreprises utilisant le type de produit Bitdefender PHASR.

Incidents

• Les méthodes createIsolateEndpointTask et createRestoreEndpointFromIsolationTask ont été mises à jour vers la version 1.2. Les requêtes acceptent désormais un tableau endpointIds permettant de spécifier plusieurs endpoints dans un seul appel, tandis que les réponses retournent un tableau d’identifiants de tâches — un par entreprise associée aux endpoints listés. Un maximum de 1000 endpoints peut être soumis par appel pour chacune de ces opérations.

Event Push

• L’événement de détection d’activité des ransomwares inclut désormais un champ indiquant l’action appliquée suite à la détection.

Pour obtenir des informations complètes sur l'automatisation des flux de travail avec l'API Control Center, nous vous invitons à regarder nos Masterclass ici.

Résumé

La plateforme Bitdefender GravityZone est une solution unique qui répond à tous les besoins de votre organisation en matière de sécurité. À mesure que le paysage numérique évolue, Bitdefender reste proactif en fournissant des capacités de prévention, de protection, de détection et de réponse afin d'assurer la sécurité continue des organisations de toutes tailles à travers le monde.  

Pour en savoir plus sur la plateforme Bitdefender GravityZone, contactez-nous directement, ou un partenaire Bitdefender. Vous pouvez également commencer un essai gratuit en demandant une démonstration ici.