Amikor egy biztonsági szállító saját hosztolt platformját offline állítja, érdemes odafigyelni. Ez történt a 33 N-able N-central nulladik napi sebezhetőség nyilvánosságra hozatala után, amelyek olyan hibák, amelyek a kezelt rendszereket illetéktelen átvételnek tehetik ki. Az N-able offline állította hosztolt N-central szervereit, és az ügyfeleknek azt tanácsolták, hogy saját telepítéseikkel is tegyenek ugyanígy.
Ez a bejegyzés áttekinti, mi ismert a beszámolókból, miért hordoz olyan nagy kockázatot egy olyan eszköz, mint az N-central, és mit tehetnek most a kisvállalkozások és a felügyelt szolgáltató (MSP) ügyfelei.
Mit jelentenek a 33 N-central hiba
Az N-central az N-able távoli megfigyelő és kezelő (RMM) platformja. Az MSP-k hasonló eszközöket használnak az általuk támogatott vállalkozások számítógépeinek és szervereinek megfigyelésére, frissítésére és kezelésére. A jelentés szerint a 33 újonnan nyilvánosságra hozott sebezhetőség lehetővé teheti a kezelt rendszerek átvételét.
A „nulladik napi” kifejezés itt fontos. Azt jelenti, hogy a hibákat azelőtt hozták nyilvánosságra, hogy a javítások széles körben elérhetők lettek volna, így a védekezőknek kevés vagy semmi idejük nem volt felkészülni. Ezért volt az N-able válasza a hosztolt szerverek offline állítása a javítási ciklus kivárása helyett, és ezért tanácsolták az ügyfeleknek, hogy saját példányaikkal is tegyenek ugyanígy.
A forrás cikk rövid, így néhány részlet továbbra is megerősítetlen az általunk áttekintett beszámolókban, beleértve azt, hogy az egyes hibák hogyan működnek, és hogy bármelyiket kihasználták-e a gyakorlatban. Egyik ponttal kapcsolatban sem spekulálunk. Az olvasóknak a szállító saját tanácsadóit kell mérvadó forrásként kezelniük, ahogy a helyzet fejlődik.
Miért gyűrűzik egy RMM kompromittálás sok vállalkozásra
Egy RMM platformot arra terveztek, hogy mély, megbízható hozzáférése legyen az általa kezelt gépekhez. Szkripteket futtathat, szoftvereket telepíthet és beállításokat módosíthat egyszerre sok eszközön. Ez teszi pontosan hasznossá egy MSP számára, és ez teszi pontosan vonzóvá egy támadó számára.
A kockázat a koncentrációból ered:
- Egy konzol, sok ügyfél. Egy MSP egyetlen platformról több tucat vagy több száz ügyfélszervezetet kezelhet. A platform feletti ellenőrzés mindegyikükbe való behatolást jelenthet.
- Tervezetten privilegizált. Az RMM ügynökök jellemzően magas jogosultságokkal futnak a végpontokon, így a szervert irányító támadó örökli ezt a bizalmat.
- Láthatatlan a végfelhasználó számára. Egy kisvállalkozás, amely kiszervezi az IT-t, gyakran semmilyen közvetlen rálátással nem rendelkezik a szolgáltatója által használt eszközökre, vagy arra, hogy azokat javították-e.
Ez az N-central nyilvánosságra hozatalának alapvető tanulsága. A gyenge pont egyáltalán nem is a saját hálózatod lehet. Lehet egy kezelőeszköz egy lépéssel feljebb, amelyet valaki más üzemeltet.
Mit tett eddig az N-able és ügyfelei
A beszámolók alapján az N-able offline állította hosztolt N-central szervereit a nyilvánosságra hozatalra válaszul. Az ügyfeleknek azt mondták, hogy kövessék ezt, ami feltehetően azt jelenti, hogy saját N-central példányaikat is offline állítják, amíg a helyzet meg nem oldódik.
Egy alapvető kezelőplatform offline állítása zavaró lépés. Az MSP-k számára ez azt jelentheti, hogy egy ideig elveszítik az ügyfélrendszerek megfigyelésének és javításának képességét. Ügyfeleik számára ez lassabb támogatási válaszokat jelenthet. Ez a kompromisszum jelzi, mennyire komolyan veszi a szállító a kockázatot: a láthatóság ideiglenes elvesztését jobbnak ítélték, mint egy sebezhető platform kitettségét hagyni.
Az olyan részleteket, mint a javítások vagy a helyreállítás idővonala, nem részletezték az általunk használt forrásban, ezért ellenőrizd az N-able hivatalos tanácsadóit a jelenlegi állapotért.
Mit jelent ez számodra
Az, hogy ez hogyan érint, attól függ, hol vagy.
Ha te magad üzemeltetsz N-centralt, vagy MSP-nél dolgozol: kezeld a szállítói útmutatást sürgősként. Kövesd az N-able utasításait a példányok offline állítására vonatkozóan, és ne indítsd újra őket, amíg meg nem erősítetted, hogy az ajánlott javítások telepítve vannak.
Ha olyan vállalkozás vagy, amely MSP-t használ: lehet, hogy soha nem jelentkezel be az N-centralba, de a szolgáltatód eszközei minden általad birtokolt eszközt elérhetnek. Kérdezd meg a szolgáltatódat, hogy használnak-e N-centralt, követték-e az N-able útmutatását, és hogyan fogják jelezni, ha a rendszereidet érintette a dolog.
Ha magánszemély vagy otthoni felhasználó vagy: ez valószínűleg nem érint közvetlenül, de hasznos emlékeztető, hogy a munkáltatód vagy IT-szolgáltatód által használt szoftver is része lehet a kockázatodnak.
Ellenőrzőlista az érintett felhasználóknak: javítás, hozzáférés-átvizsgálás, adminisztrátori megfigyelés
Ha a szervezeted N-centralt használ, közvetlenül vagy szolgáltatón keresztül, haladj végig ezeken a lépéseken:
- Erősítsd meg a javítás állapotát. Ellenőrizd az N-able hivatalos tanácsadóit a nyilvánosságra hozott hibákat lefedő javításokért, és ellenőrizd, hogy telepítve vannak-e a szolgáltatás visszaállítása előtt.
- Kövesd az offline útmutatást. Ha azt mondták, hogy állítsd offline a példányodat, tartsd offline, amíg a szállító azt nem mondja, hogy biztonságos továbblépni.
- Vizsgáld át az adminisztrátori hozzáférést. Sorold fel az RMM platformodon adminisztrátori jogokkal rendelkező összes fiókot. Távolítsd el a nem használt, megosztott vagy ismeretlen fiókokat.
- Cseréld le a hitelesítő adatokat. Változtasd meg az adminisztrátori jelszavakat és a platformban tárolt vagy ahhoz kapcsolódó API-kulcsokat vagy titkokat, és kényszerítsd ki a többtényezős hitelesítést.
- Figyeld az adminisztrátori tevékenységet. Vizsgáld át a naplókat váratlan bejelentkezések, új fiókok, új szkriptek vagy ütemezett feladatok, valamint az általad nem engedélyezett végpontokra telepített szoftverek után.
- Tegyél fel közvetlen kérdéseket az MSP-dnek. Kérj írásos frissítést arról, hogy milyen kitettségük van, mit tettek, és hogyan fognak értesíteni bármilyen megállapításról.
- Korlátozd a kitettséget. Ahol lehetséges, korlátozd a kezelőkonzolokhoz való hozzáférést, hogy ne legyenek elérhetők a nyílt internetről.
Tanulságok
Az N-able N-central nulladik napi sebezhetőségei világos példái az ellátási lánc kockázatának: egy hibás kezelőeszköz egyszerre sok szervezetet hozhat ugyanabba a helyzetbe. A szállító döntése az offline állításról megmutatja, mennyire komoly lehet ez a kitettség.
A gyakorlati következő lépés egyszerű. Erősítsd meg a javítás állapotát, vizsgáld át, ki rendelkezik adminisztrátori hozzáféréssel, és figyeld szorosan az adminisztrátori tevékenységet. Ha MSP-re támaszkodsz, kérdezd meg tőlük ma az N-centralról, ahelyett hogy megvárnád, amíg értesítenek. A legfrissebb és legpontosabb részletekért támaszkodj az N-able hivatalos biztonsági tanácsadóira és a szolgáltatód közleményeire, mivel az ilyen incidensekkel kapcsolatos útmutatás gyorsan változhat.
