Όταν ένας προμηθευτής ασφαλείας θέτει εκτός λειτουργίας τη δική του φιλοξενούμενη πλατφόρμα, αξίζει να δώσετε προσοχή. Αυτό συνέβη μετά την αποκάλυψη 33 ευπαθειών zero-day του N-able N-central, ενός συνόλου αδυναμιών που θα μπορούσαν να εκθέσουν διαχειριζόμενα συστήματα σε κατάληψη. Η N-able έθεσε εκτός λειτουργίας τους φιλοξενούμενους διακομιστές N-central και οι πελάτες ενημερώθηκαν να κάνουν το ίδιο με τις δικές τους εγκαταστάσεις.

Αυτό το άρθρο καλύπτει όσα είναι γνωστά από τη σχετική αναφορά, γιατί ένα εργαλείο όπως το N-central ενέχει τόσο μεγάλο κίνδυνο και τι μπορούν να κάνουν άμεσα οι μικρές επιχειρήσεις και οι πελάτες παρόχων διαχειριζόμενων υπηρεσιών (MSP).

Τι σημαίνουν οι 33 ευπάθειες του N-central

Το N-central είναι η πλατφόρμα απομακρυσμένης παρακολούθησης και διαχείρισης (RMM) της N-able. Οι MSP χρησιμοποιούν εργαλεία όπως αυτό για να παρακολουθούν, να ενημερώνουν και να διαχειρίζονται τους υπολογιστές και τους διακομιστές των επιχειρήσεων που υποστηρίζουν. Σύμφωνα με την αναφορά, οι 33 νεοαποκαλυφθείσες ευπάθειες θα μπορούσαν να επιτρέψουν την κατάληψη διαχειριζόμενων συστημάτων.

Ο όρος «zero-day» έχει σημασία εδώ. Σημαίνει ότι οι αδυναμίες αποκαλύφθηκαν πριν γίνουν ευρέως διαθέσιμες διορθώσεις, οπότε οι αμυνόμενοι είχαν ελάχιστο ή καθόλου χρόνο για προετοιμασία. Γι' αυτό η αντίδραση της N-able ήταν να θέσει εκτός λειτουργίας τους φιλοξενούμενους διακομιστές αντί να περιμένει έναν κύκλο ενημερώσεων, και γι' αυτό συμβουλεύτηκαν οι πελάτες που εκτελούν δικές τους εγκαταστάσεις να πράξουν το ίδιο.

Το άρθρο πηγής είναι σύντομο, οπότε ορισμένες λεπτομέρειες παραμένουν αβεβαίωτες στην αναφορά που εξετάσαμε, συμπεριλαμβανομένου του τρόπου λειτουργίας κάθε ευπάθειας και του κατά πόσον κάποιες έχουν αξιοποιηθεί σε πραγματικές συνθήκες. Δεν θα κάνουμε εικασίες για κανένα από τα δύο σημεία. Οι αναγνώστες θα πρέπει να θεωρούν τις επίσημες ανακοινώσεις του προμηθευτή ως την αυθεντική πηγή καθώς η κατάσταση εξελίσσεται.

Γιατί μια παραβίαση RMM επηρεάζει αλυσιδωτά πολλές επιχειρήσεις

Μια πλατφόρμα RMM είναι σχεδιασμένη να έχει βαθιά, έμπιστη πρόσβαση στα μηχανήματα που διαχειρίζεται. Μπορεί να εκτελεί σενάρια, να ωθεί λογισμικό και να αλλάζει ρυθμίσεις σε πολλές συσκευές ταυτόχρονα. Αυτό ακριβώς την καθιστά χρήσιμη για έναν MSP, και ακριβώς αυτό την καθιστά ελκυστική για έναν επιτιθέμενο.

Ο κίνδυνος προέρχεται από τη συγκέντρωση:

  • Μία κονσόλα, πολλοί πελάτες. Ένας MSP μπορεί να διαχειρίζεται δεκάδες ή εκατοντάδες οργανισμούς πελατών από μία μόνο πλατφόρμα. Ο έλεγχος αυτής της πλατφόρμας μπορεί να σημαίνει πρόσβαση σε όλους τους.
  • Προνομιακή εκ σχεδιασμού. Οι πράκτορες RMM συνήθως εκτελούνται με υψηλά προνόμια στα τελικά σημεία, οπότε ένας επιτιθέμενος που ελέγχει τον διακομιστή κληρονομεί αυτή την εμπιστοσύνη.
  • Αόρατη στον τελικό πελάτη. Μια μικρή επιχείρηση που αναθέτει την IT σε εξωτερικό πάροχο συχνά δεν έχει άμεση ορατότητα στα εργαλεία που χρησιμοποιεί ο πάροχός της, ούτε στο κατά πόσον αυτά τα εργαλεία είναι ενημερωμένα.

Αυτό είναι το βασικό δίδαγμα από την αποκάλυψη του N-central. Το αδύναμο σημείο μπορεί να μην είναι καθόλου το δικό σας δίκτυο. Μπορεί να είναι ένα εργαλείο διαχείρισης που βρίσκεται ένα βήμα πιο πάνω στη ροή, το οποίο διαχειρίζεται κάποιος άλλος.

Τι έχουν κάνει μέχρι στιγμής η N-able και οι πελάτες της

Με βάση την αναφορά, η N-able έθεσε εκτός λειτουργίας τους φιλοξενούμενους διακομιστές N-central ως απάντηση στην αποκάλυψη. Οι πελάτες ενημερώθηκαν να πράξουν το ίδιο, το οποίο προφανώς σημαίνει να θέσουν εκτός λειτουργίας τις δικές τους εγκαταστάσεις N-central έως ότου επιλυθεί η κατάσταση.

Το να τεθεί εκτός λειτουργίας μια βασική πλατφόρμα διαχείρισης είναι ένα ανασταλτικό βήμα. Για τους MSP, μπορεί να σημαίνει απώλεια της δυνατότητας παρακολούθησης και ενημέρωσης συστημάτων πελατών για ένα χρονικό διάστημα. Για τους πελάτες τους, μπορεί να σημαίνει πιο αργές αποκρίσεις υποστήριξης. Αυτή η ανταλλαγή είναι ένδειξη του πόσο σοβαρά αντιμετωπίζει τον κίνδυνο ο προμηθευτής: μια προσωρινή απώλεια ορατότητας κρίθηκε προτιμότερη από το να παραμείνει εκτεθειμένη μια ευάλωτη πλατφόρμα.

Λεπτομέρειες όπως χρονοδιαγράμματα για διορθώσεις ή αποκατάσταση δεν αναφέρονταν λεπτομερώς στην πηγή από την οποία εργαστήκαμε, οπότε ελέγξτε τις επίσημες ανακοινώσεις της N-able για την τρέχουσα κατάσταση.

Τι σημαίνει αυτό για εσάς

Το πώς σας επηρεάζει αυτό εξαρτάται από τη θέση σας.

Αν εκτελείτε εσείς το N-central ή εργάζεστε σε MSP: αντιμετωπίστε τις οδηγίες του προμηθευτή ως επείγουσες. Ακολουθήστε τις οδηγίες της N-able για τη θέση των εγκαταστάσεων εκτός λειτουργίας και μην τις επαναφέρετε έως ότου επιβεβαιώσετε ότι έχουν εφαρμοστεί οι συνιστώμενες διορθώσεις.

Αν είστε επιχείρηση που χρησιμοποιεί MSP: μπορεί να μην συνδεθείτε ποτέ στο N-central, αλλά τα εργαλεία του παρόχου σας μπορεί να αγγίζουν κάθε συσκευή που διαθέτετε. Ρωτήστε τον πάροχό σας αν χρησιμοποιεί N-central, αν έχει ακολουθήσει τις οδηγίες της N-able και πώς θα σας ενημερώσει αν τα συστήματά σας επηρεάστηκαν.

Αν είστε μεμονωμένος χρήστης ή χρήστης στο σπίτι: είναι απίθανο να σας επηρεάσει άμεσα, αλλά είναι μια χρήσιμη υπενθύμιση ότι το λογισμικό που χρησιμοποιεί ο εργοδότης σας ή ο πάροχος IT σας μπορεί να αποτελεί μέρος του κινδύνου σας, επίσης.

Λίστα ελέγχου για επηρεαζόμενους χρήστες: ενημερώσεις, έλεγχος πρόσβασης, παρακολούθηση διαχειριστών

Αν ο οργανισμός σας χρησιμοποιεί N-central, άμεσα ή μέσω παρόχου, ακολουθήστε αυτά τα βήματα:

  1. Επιβεβαιώστε την κατάσταση ενημερώσεων. Ελέγξτε τις επίσημες ανακοινώσεις της N-able για διορθώσεις που καλύπτουν τις αποκαλυφθείσες ευπάθειες και επαληθεύστε ότι έχουν εφαρμοστεί πριν επαναφέρετε την υπηρεσία.
  2. Ακολουθήστε τις οδηγίες εκτός λειτουργίας. Αν σας ζητήθηκε να θέσετε την εγκατάστασή σας εκτός λειτουργίας, κρατήστε την εκτός λειτουργίας έως ότου ο προμηθευτής πει ότι είναι ασφαλές να συνεχίσετε.
  3. Ελέγξτε την πρόσβαση διαχειριστών. Καταγράψτε κάθε λογαριασμό με δικαιώματα διαχειριστή στην πλατφόρμα RMM σας. Αφαιρέστε λογαριασμούς που είναι αχρησιμοποίητοι, κοινοί ή άγνωστοι.
  4. Αλλάξτε διαπιστευτήρια. Αλλάξτε τους κωδικούς πρόσβασης διαχειριστών και τυχόν κλειδιά API ή μυστικά που είναι αποθηκευμένα στην πλατφόρμα ή συνδεδεμένα με αυτήν, και επιβάλετε έλεγχο ταυτότητας πολλαπλών παραγόντων.
  5. Παρακολουθήστε τη δραστηριότητα διαχειριστών. Ελέγξτε τα αρχεία καταγραφής για απρόσμενες συνδέσεις, νέους λογαριασμούς, νέα σενάρια ή προγραμματισμένες εργασίες και λογισμικό που ωθήθηκε σε τελικά σημεία χωρίς την έγκρισή σας.
  6. Κάντε άμεσες ερωτήσεις στον MSP σας. Ζητήστε γραπτή ενημέρωση για την έκθεσή τους, τι έχουν κάνει και πώς θα σας ειδοποιήσουν για τυχόν ευρήματα.
  7. Περιορίστε την έκθεση. Όπου είναι δυνατόν, περιορίστε την πρόσβαση στις κονσόλες διαχείρισης ώστε να μην είναι προσβάσιμες από το ανοιχτό διαδίκτυο.

Βασικά συμπεράσματα

Οι ευπάθειες zero-day του N-able N-central αποτελούν ένα σαφές παράδειγμα κινδύνου εφοδιαστικής αλυσίδας: ένα ελαττωματικό εργαλείο διαχείρισης μπορεί να θέσει πολλούς οργανισμούς στην ίδια θέση ταυτόχρονα. Η απόφαση του προμηθευτή να τεθεί εκτός λειτουργίας δείχνει πόσο σοβαρή μπορεί να είναι αυτή η έκθεση.

Το πρακτικό επόμενο βήμα είναι απλό. Επαληθεύστε την κατάσταση ενημερώσεων, ελέγξτε ποιος έχει δικαιώματα διαχειριστή και παρακολουθείτε στενά τη δραστηριότητα διαχειριστών. Αν βασίζεστε σε έναν MSP, ρωτήστε τον για το N-central σήμερα αντί να περιμένετε να σας ενημερώσουν. Για τις πιο πρόσφατες και ακριβείς λεπτομέρειες, βασιστείτε στις επίσημες ανακοινώσεις ασφαλείας της N-able και στις επικοινωνίες του παρόχου σας, καθώς η καθοδήγηση για περιστατικά όπως αυτό μπορεί να αλλάξει γρήγορα.