عندما تقوم شركة أمنية بإخراج منصتها المستضافة من الخدمة، فإن الأمر يستحق الاهتمام. هذا ما حدث بعد الكشف عن 33 ثغرة يوم-صفر في N-able N-central، وهي مجموعة من العيوب التي قد تعرّض الأنظمة المُدارة للاستيلاء عليها. أخرجت N-able خوادم N-central المستضافة لديها من الخدمة، وطُلب من العملاء فعل الشيء نفسه مع عمليات النشر الخاصة بهم.
يغطي هذا المقال ما هو معروف من التقارير، ولماذا تحمل أداة مثل N-central الكثير من المخاطر، وما يمكن للشركات الصغيرة وعملاء مزودي الخدمات المُدارة (MSP) فعله الآن.
ماذا تعني عيوب N-central الـ 33
N-central هي منصة المراقبة والإدارة عن بُعد (RMM) التابعة لـ N-able. يستخدم مزودو الخدمات المُدارة أدوات مثلها لمراقبة أجهزة الكمبيوتر والخوادم الخاصة بالشركات التي يدعمونها وتحديثها وإدارتها. وفقًا للتقرير، فإن الثغرات الـ 33 المكتشفة حديثًا قد تسمح بالاستيلاء على الأنظمة المُدارة.
مصطلح "يوم-صفر" مهم هنا. فهو يعني أن العيوب تم الكشف عنها قبل أن تكون الإصلاحات متاحة على نطاق واسع، لذا لم يكن لدى المدافعين سوى القليل من الوقت أو لم يكن لديهم أي وقت للاستعداد. هذا هو السبب في أن استجابة N-able كانت إخراج الخوادم المستضافة من الخدمة بدلاً من انتظار دورة تصحيح، ولماذا نُصح العملاء الذين يديرون نسخهم الخاصة بفعل الشيء نفسه.
المقال المصدر موجز، لذا تبقى بعض التفاصيل غير مؤكدة في التقارير التي راجعناها، بما في ذلك كيفية عمل كل عيب وما إذا كان قد تم استغلال أي منها في الواقع. لن نضارب بالتكهنات في أي من النقطتين. يجب على القراء اعتبار تنبيهات البائع نفسها المصدر الموثوق مع تطور الوضع.
لماذا يتسلسل اختراق واحد لمنصة RMM إلى العديد من الشركات
صُممت منصة RMM لتكون لها وصول عميق وموثوق إلى الأجهزة التي تديرها. يمكنها تشغيل النصوص البرمجية ودفع البرامج وتغيير الإعدادات عبر العديد من الأجهزة في وقت واحد. هذا بالضبط ما يجعلها مفيدة لمزود الخدمات المُدارة، وهذا بالضبط ما يجعلها جذابة للمهاجم.
تأتي المخاطر من التركيز:
- وحدة تحكم واحدة، العديد من العملاء. قد يدير مزود الخدمات المُدارة العشرات أو المئات من المؤسسات العميلة من منصة واحدة. السيطرة على تلك المنصة قد تعني الوصول إليها جميعًا.
- مميزة بحكم التصميم. عادةً ما تعمل وكلاء RMM بامتيازات عالية على نقاط النهاية، لذا فإن المهاجم الذي يتحكم في الخادم يرث تلك الثقة.
- غير مرئية للعميل النهائي. غالبًا ما لا يكون لدى الشركة الصغيرة التي تستعين بمصادر خارجية لتقنية المعلومات رؤية مباشرة للأدوات التي يستخدمها مزودها، أو لما إذا كانت تلك الأدوات مصححة.
هذا هو الدرس الأساسي من الكشف عن N-central. قد لا تكون نقطة الضعف في شبكتك الخاصة على الإطلاق. يمكن أن تكون أداة إدارة تقع على بُعد خطوة واحدة في المنبع، يديرها شخص آخر.
ما فعلته N-able وعملاؤها حتى الآن
بناءً على التقارير، أخرجت N-able خوادم N-central المستضافة لديها من الخدمة استجابةً للكشف. طُلب من العملاء فعل الشيء نفسه، مما يعني على الأرجح إخراج نسخ N-central الخاصة بهم من الخدمة حتى يتم حل الموقف.
إخراج منصة إدارة أساسية من الخدمة خطوة مُعطِّلة. بالنسبة لمزودي الخدمات المُدارة، يمكن أن يعني فقدان القدرة على مراقبة أنظمة العملاء وتصحيحها لفترة من الوقت. بالنسبة لعملائهم، يمكن أن يعني استجابات دعم أبطأ. هذه المقايضة هي إشارة إلى مدى جدية البائع في نظرته للمخاطر: فقدان مؤقت للرؤية اعتُبر أفضل من ترك منصة ضعيفة مكشوفة.
تفاصيل مثل الجداول الزمنية للإصلاحات أو الاستعادة لم تكن مفصلة في المصدر الذي عملنا منه، لذا تحقق من التنبيهات الرسمية لـ N-able للحصول على الوضع الحالي.
ماذا يعني هذا لك
كيف يؤثر هذا عليك يعتمد على موقعك.
إذا كنت تدير N-central بنفسك أو تعمل في مزود خدمات مُدارة: تعامل مع إرشادات البائع كأمر عاجل. اتبع تعليمات N-able بشأن إخراج النسخ من الخدمة، ولا تعدها حتى تتأكد من تطبيق الإصلاحات الموصى بها.
إذا كنت شركة تستخدم مزود خدمات مُدارة: قد لا تسجل الدخول إلى N-central أبدًا، لكن أدوات مزودك قد تلمس كل جهاز تملكه. اسأل مزودك عما إذا كان يستخدم N-central، وما إذا كان قد اتبع إرشادات N-able، وكيف سيخبرك إذا تأثرت أنظمتك.
إذا كنت فردًا أو مستخدمًا منزليًا: من غير المرجح أن يؤثر هذا عليك مباشرة، لكنه تذكير مفيد بأن البرامج التي يستخدمها صاحب عملك أو مزود تقنية المعلومات لديك يمكن أن تكون جزءًا من مخاطرك أيضًا.
قائمة مراجعة للمستخدمين المتأثرين: التصحيح، ومراجعة الوصول، ومراقبة المسؤولين
إذا كانت مؤسستك تستخدم N-central، مباشرة أو من خلال مزود، فاعمل من خلال هذه الخطوات:
- تأكد من حالة التصحيح. تحقق من التنبيهات الرسمية لـ N-able للحصول على إصلاحات تغطي العيوب المكتشفة وتحقق من تطبيقها قبل استعادة الخدمة.
- اتبع إرشادات عدم الاتصال. إذا طُلب منك إخراج نسختك من الخدمة، فأبقها خارج الخدمة حتى يقول البائع إنه من الآمن المضي قدمًا.
- راجع وصول المسؤولين. اسرد كل حساب له حقوق مسؤول في منصة RMM الخاصة بك. احذف الحسابات غير المستخدمة أو المشتركة أو غير المألوفة.
- قم بتدوير بيانات الاعتماد. غيّر كلمات مرور المسؤولين وأي مفاتيح API أو أسرار مخزنة في المنصة أو متصلة بها، وفرض المصادقة متعددة العوامل.
- راقب نشاط المسؤولين. راجع السجلات بحثًا عن عمليات تسجيل دخول غير متوقعة، وحسابات جديدة، ونصوص برمجية جديدة أو مهام مجدولة، وبرامج مدفوعة إلى نقاط النهاية لم تأذن بها.
- اطرح أسئلة مباشرة على مزود الخدمات المُدارة. اطلب تحديثًا مكتوبًا عن تعرضهم، وما فعلوه، وكيف سيبلغونك بأي نتائج.
- حد من التعرض. حيثما أمكن، قيّد الوصول إلى وحدات تحكم الإدارة بحيث لا تكون قابلة للوصول من الإنترنت المفتوح.
النقاط الرئيسية
ثغرات يوم-صفر في N-able N-central هي مثال واضح على مخاطر سلسلة التوريد: أداة إدارة واحدة معيبة يمكن أن تضع العديد من المؤسسات في نفس الموقف في وقت واحد. قرار البائع بالانتقال إلى عدم الاتصال يُظهر مدى خطورة ذلك التعرض.
الخطوة العملية التالية بسيطة. تحقق من حالة التصحيح، وراجع من لديه وصول المسؤول، وراقب نشاط المسؤولين عن كثب. إذا كنت تعتمد على مزود خدمات مُدارة، فاسأله عن N-central اليوم بدلاً من انتظار إخبارك. للحصول على أحدث التفاصيل وأكثرها دقة، اعتمد على التنبيهات الأمنية الرسمية لـ N-able واتصالات مزودك، لأن الإرشادات حول حوادث مثل هذه يمكن أن تتغير بسرعة.
