Kun tietoturvatoimittaja vetää oman isännöidyn alustansa pois käytöstä, kannattaa kiinnittää huomiota. Näin kävi, kun 33 N-able N-central -nollapäivähaavoittuvuutta paljastettiin – joukko haavoittuvuuksia, jotka voivat altistaa hallinnoidut järjestelmät kaappaukselle. N-able otti isännöidyt N-central-palvelimensa pois käytöstä, ja asiakkaita kehotettiin tekemään samoin omien käyttöönottojensa kanssa.
Tässä artikkelissa käydään läpi, mitä raportoinnista tiedetään, miksi N-centralin kaltainen työkalu kantaa niin suurta riskiä ja mitä pienyritykset ja managed service provider (MSP) -asiakkaat voivat tehdä juuri nyt.
Mitä 33 N-central-haavoittuvuutta tarkoittavat
N-central on N-ablen etähallinta- ja valvonta-alusta (RMM). MSP:t käyttävät sen kaltaisia työkaluja tukemiensa yritysten tietokoneiden ja palvelimien valvontaan, päivittämiseen ja hallintaan. Raportin mukaan 33 äskettäin paljastettua haavoittuvuutta voivat mahdollistaa hallinnoitujen järjestelmien kaappauksen.
Termi "nollapäivä" on tässä olennaista. Se tarkoittaa, että haavoittuvuudet paljastettiin ennen kuin korjaukset olivat laajalti saatavilla, joten puolustajilla oli vähän tai ei lainkaan aikaa valmistautua. Siksi N-ablen vastaus oli ottaa isännöidyt palvelimet pois käytöstä sen sijaan, että olisi odotettu korjauskierrosta, ja siksi omia instanssejaan ylläpitäviä asiakkaita kehotettiin toimimaan samoin.
Lähdeartikkeli on lyhyt, joten jotkin yksityiskohdat ovat yhä vahvistamattomia tarkastelemassamme raportoinnissa, mukaan lukien se, miten kukin haavoittuvuus toimii ja onko joitakin niistä hyödynnetty käytännössä. Emme spekuloi kummallakaan seikalla. Lukijoiden tulisi pitää toimittajan omia tiedotteita ensisijaisena lähteenä tilanteen kehittyessä.
Miksi yksi RMM-kompromissi vyöryy moniin yrityksiin
RMM-alusta on suunniteltu siten, että sillä on syvä, luotettu pääsy hallinnoimiinsa laitteisiin. Se voi suorittaa skriptejä, työntää ohjelmistoja ja muuttaa asetuksia monissa laitteissa kerralla. Juuri se tekee siitä hyödyllisen MSP:lle ja juuri se tekee siitä houkuttelevan hyökkääjälle.
Riski syntyy keskittymisestä:
- Yksi konsoli, monta asiakasta. MSP voi hallinnoida kymmeniä tai satoja asiakasorganisaatioita yhdeltä alustalta. Kyseisen alustan hallinta voi tarkoittaa pääsyä niihin kaikkiin.
- Lähtökohtaisesti etuoikeutettu. RMM-agentit toimivat tyypillisesti korkeilla etuoikeuksilla päätelaitteissa, joten palvelinta hallitseva hyökkääjä perii kyseisen luottamuksen.
- Näkymätön loppuasiakkaalle. Pienyrityksellä, joka ulkoistaa IT:n, ei usein ole suoraa näkymää palveluntarjoajansa käyttämiin työkaluihin tai siihen, onko ne päivitetty.
Tämä on N-central-paljastuksen keskeinen opetus. Heikko kohta ei välillä olekaan oma verkko. Se voi olla hallintatyökalu yhden askeleen ylävirrassa, jonka joku muu ylläpitää.
Mitä N-able ja sen asiakkaat ovat toistaiseksi tehneet
Raportoinnin perusteella N-able otti isännöidyt N-central-palvelimensa pois käytöstä vastauksena paljastukseen. Asiakkaita kehotettiin toimimaan samoin, mikä oletettavasti tarkoittaa omien N-central-instanssien ottamista pois käytöstä, kunnes tilanne on ratkaistu.
Ydinhallinta-alustan vetäminen pois käytöstä on häiritsevä toimenpide. MSP:ille se voi tarkoittaa kyvyn menettämistä valvoa ja päivittää asiakasjärjestelmiä tietyn ajan. Heidän asiakkailleen se voi tarkoittaa hitaampia tukivastauksia. Tämä vaihtokauppa on merkki siitä, miten vakavasti toimittaja suhtautuu riskiin: tilapäinen näkyvyyden menetys arvioitiin paremmaksi kuin haavoittuvan alustan jättäminen alttiiksi.
Yksityiskohdat, kuten korjausten tai palautuksen aikataulut, eivät käyneet ilmi lähteestä, jonka pohjalta työskentelimme, joten tarkista N-ablen viralliset tiedotteet ajantasaisesta tilasta.
Mitä tämä tarkoittaa sinulle
Miten tämä vaikuttaa sinuun, riippuu siitä, missä asemassa olet.
Jos ylläpidät N-centralia itse tai työskentelet MSP:llä: suhtaudu toimittajan ohjeisiin kiireellisinä. Noudata N-ablen ohjeita instanssien ottamisesta pois käytöstä äläkä ota niitä takaisin käyttöön ennen kuin olet varmistanut, että suositellut korjaukset on asennettu.
Jos olet yritys, joka käyttää MSP:tä: et ehkä koskaan kirjaudu N-centraliin, mutta palveluntarjoajasi työkalut voivat koskettaa jokaista omistamaasi laitetta. Kysy palveluntarjoajaltasi, käyttävätkö he N-centralia, ovatko he noudattaneet N-ablen ohjeita ja miten he kertovat sinulle, jos järjestelmäsi ovat vaarantuneet.
Jos olet yksityishenkilö tai kotikäyttäjä: tämä ei todennäköisesti vaikuta sinuun suoraan, mutta se on hyvä muistutus siitä, että työnantajasi tai IT-palveluntarjoajasi käyttämä ohjelmisto voi olla osa myös sinun riskiäsi.
Tarkistuslista vaikutetuille käyttäjille: päivittäminen, käyttöoikeuksien tarkistaminen, ylläpitäjien valvonta
Jos organisaatiosi käyttää N-centralia joko suoraan tai palveluntarjoajan kautta, käy läpi nämä vaiheet:
- Vahvista päivitystila. Tarkista N-ablen virallisista tiedotteista korjaukset, jotka kattavat paljastetut haavoittuvuudet, ja varmista, että ne on asennettu ennen palvelun palauttamista.
- Noudata offline-ohjeita. Jos sinua kehotettiin ottamaan instanssisi pois käytöstä, pidä se poissa käytöstä, kunnes toimittaja ilmoittaa, että on turvallista jatkaa.
- Tarkista ylläpitäjien käyttöoikeudet. Listaa jokainen tili, jolla on ylläpitäjän oikeudet RMM-alustallasi. Poista tilit, jotka ovat käyttämättömiä, jaettuja tai tuntemattomia.
- Vaihda tunnistetiedot. Vaihda ylläpitäjien salasanat ja kaikki API-avaimet tai salaisuudet, jotka on tallennettu alustaan tai liitetty siihen, ja ota monivaiheinen tunnistautuminen käyttöön.
- Valvo ylläpitäjien toimintaa. Tarkista lokit odottamattomien kirjautumisten, uusien tilien, uusien skriptien tai ajoitettujen tehtävien sekä päätelaitteisiin työnnettyjen ohjelmistojen varalta, joita et ole valtuuttanut.
- Esitä MSP:llesi suoria kysymyksiä. Pyydä kirjallinen päivitys heidän altistumisestaan, siitä mitä he ovat tehneet ja miten he ilmoittavat sinulle mahdollisista löydöksistä.
- Rajoita altistumista. Rajoita mahdollisuuksien mukaan pääsyä hallintakonsoleihin niin, ettei niihin pääse avoimesta internetistä.
Keskeiset huomiot
N-able N-central -nollapäivähaavoittuvuudet ovat selkeä esimerkki toimitusketjuriskistä: yksi virheellinen hallintatyökalu voi saattaa monet organisaatiot samaan asemaan yhtä aikaa. Toimittajan päätös siirtyä offline-tilaan osoittaa, miten vakava altistuminen voi olla.
Käytännön seuraava askel on yksinkertainen. Vahvista päivitystila, tarkista, kenellä on ylläpitäjän käyttöoikeudet, ja seuraa ylläpitäjien toimintaa tiiviisti. Jos tukeudut MSP:hen, kysy heiltä N-centralista tänään sen sijaan, että odottaisit kerrottavan. Uusimpien ja tarkimpien tietojen osalta tukeudu N-ablen virallisiin tietoturvatiedotteisiin ja palveluntarjoajasi viestintään, sillä tämänkaltaisten tapahtumien ohjeistus voi muuttua nopeasti.
