Когато доставчик на решения за сигурност изключи собствената си хостинг платформа, си струва да обърнем внимание. Това се случи след разкриването на 33 zero-day уязвимости в N-able N-central — набор от недостатъци, които биха могли да изложат управляваните системи на риск от превземане. N-able изведе своите хостинг сървъри N-central офлайн и клиентите бяха инструктирани да направят същото със собствените си инсталации.
Тази публикация разглежда какво е известно от репортажите, защо инструмент като N-central носи толкова голям риск и какво могат да направят малките бизнеси и клиентите на доставчици на управлявани услуги (MSP) още сега.
Какво означават 33-те недостатъка в N-central
N-central е платформата за отдалечено наблюдение и управление (RMM) на N-able. MSP доставчиците използват подобни инструменти, за да наблюдават, актуализират и администрират компютрите и сървърите на бизнесите, които поддържат. Според доклада 33-те новоразкрити уязвимости биха могли да позволят превземане на управляваните системи.
Терминът „zero-day“ е от значение тук. Той означава, че недостатъците са разкрити, преди поправките да са били широко достъпни, така че защитниците са имали малко или никакво време да се подготвят. Ето защо реакцията на N-able беше да изведе хостинг сървърите офлайн, вместо да чака цикъл за пачове, и защо клиентите, които управляват собствени инстанции, бяха посъветвани да последват примера.
Изходната статия е кратка, така че някои подробности остават непотвърдени в репортажите, които прегледахме, включително как функционира всеки недостатък и дали някой от тях е бил експлоатиран в реални условия. Няма да спекулираме по нито един от тези въпроси. Читателите следва да се отнасят към официалните съвети на доставчика като авторитетен източник, докато ситуацията се развива.
Защо компрометирането на един RMM се разпространява към много бизнеси
Платформата RMM е проектирана да има дълбок, доверен достъп до машините, които управлява. Тя може да изпълнява скриптове, да разпространява софтуер и да променя настройки на много устройства наведнъж. Именно това я прави полезна за MSP доставчика и именно това я прави привлекателна за атакуващ.
Рискът произтича от концентрацията:
- Една конзола, много клиенти. Един MSP може да управлява десетки или стотици клиентски организации от една единствена платформа. Контролът върху тази платформа може да означава достъп до всички тях.
- Привилегирована по дизайн. RMM агентите обикновено работят с високи привилегии на крайните устройства, така че атакуващ, който контролира сървъра, наследява това доверие.
- Невидима за крайния клиент. Малък бизнес, който възлага ИТ на външен доставчик, често няма пряка видимост върху инструментите, които доставчикът му използва, нито върху това дали тези инструменти са пачнати.
Това е основният урок от разкритието за N-central. Слабото място може изобщо да не е вашата собствена мрежа. То може да е инструмент за управление, разположен една стъпка по-нагоре по веригата, управляван от някой друг.
Какво са направили N-able и техните клиенти досега
Въз основа на репортажите N-able изведе своите хостинг сървъри N-central офлайн в отговор на разкритието. Клиентите бяха инструктирани да последват примера, което вероятно означава извеждане на собствените им инстанции на N-central офлайн, докато ситуацията се разреши.
Извеждането на основна платформа за управление офлайн е disruptive стъпка. За MSP доставчиците това може да означава загуба на способността да наблюдават и пачват клиентски системи за определен период от време. За техните клиенти това може да означава по-бавни реакции на поддръжката. Този компромис е сигнал колко сериозно доставчикът възприема риска: временната загуба на видимост беше преценена като по-добра от оставянето на уязвима платформа изложена.
Конкретни подробности като срокове за поправки или възстановяване не бяха детайлизирани в източника, с който работихме, така че проверете официалните съвети на N-able за актуален статус.
Какво означава това за вас
Как това ви засяга зависи от позицията ви.
Ако управлявате N-central сами или работите в MSP: третирайте указанията на доставчика като спешни. Следвайте инструкциите на N-able за извеждане на инстанциите офлайн и не ги връщайте, докато не потвърдите, че препоръчаните поправки са приложени.
Ако сте бизнес, който използва MSP: може никога да не влизате в N-central, но инструментите на вашия доставчик може да докосват всяко устройство, което притежавате. Попитайте доставчика си дали използва N-central, дали е следвал указанията на N-able и как ще ви уведоми, ако системите ви са засегнати.
Ако сте физическо лице или домашен потребител: това е малко вероятно да ви засегне пряко, но е полезно напомняне, че софтуерът, който вашият работодател или ИТ доставчик използва, може също да бъде част от вашия риск.
Контролен списък за засегнати потребители: пачване, преглед на достъпа, мониторинг на администратори
Ако вашата организация използва N-central, пряко или чрез доставчик, преминете през тези стъпки:
- Потвърдете статуса на пачовете. Проверете официалните съвети на N-able за поправки, покриващи разкритите недостатъци, и проверете дали са приложени, преди да възстановите услугата.
- Следвайте указанията за офлайн режим. Ако ви е било казано да изведете инстанцията си офлайн, дръжте я офлайн, докато доставчикът не каже, че е безопасно да продължите.
- Прегледайте администраторския достъп. Избройте всеки акаунт с администраторски права във вашата RMM платформа. Премахнете акаунти, които са неизползвани, споделени или непознати.
- Ротирайте идентификационните данни. Сменете администраторските пароли и всички API ключове или тайни, съхранявани в или свързани с платформата, и наложете многофакторна автентикация.
- Наблюдавайте администраторската активност. Прегледайте логовете за неочаквани влизания, нови акаунти, нови скриптове или планирани задачи и софтуер, разпространен към крайни устройства, който не сте разрешили.
- Задайте директни въпроси на вашия MSP. Поискайте писмено обновяване относно тяхната експозиция, какво са направили и как ще ви уведомят за всякакви констатации.
- Ограничете експозицията. Където е възможно, ограничете достъпа до конзолите за управление, така че да не са достъпни от отворения интернет.
Изводи
Zero-day уязвимостите в N-able N-central са ясен пример за риск във веригата за доставки: един дефектен инструмент за управление може да постави много организации в еднакво положение наведнъж. Решението на доставчика да премине офлайн показва колко сериозна може да бъде тази експозиция.
Практическата следваща стъпка е проста. Проверете статуса на пачовете, прегледайте кой има администраторски достъп и наблюдавайте внимателно администраторската активност. Ако разчитате на MSP, попитайте го за N-central днес, вместо да чакате да ви бъде казано. За най-актуалните и точни подробности разчитайте на официалните съвети за сигурност на N-able и комуникациите на вашия доставчик, тъй като указанията при инциденти като този могат да се променят бързо.
