Ketika sebuah vendor keamanan menarik platform hosted miliknya sendiri secara offline, itu patut diperhatikan. Itulah yang terjadi setelah terungkapnya 33 kerentanan zero-day N-able N-central, sekumpulan cacat yang dapat mengekspos sistem yang dikelola terhadap pengambilalihan. N-able menarik server N-central hosted miliknya secara offline, dan pelanggan diminta melakukan hal yang sama dengan deployment mereka sendiri.
Postingan ini membahas apa yang diketahui dari pemberitaan, mengapa alat seperti N-central membawa begitu banyak risiko, dan apa yang dapat dilakukan usaha kecil dan klien managed service provider (MSP) saat ini.
Apa arti 33 cacat N-central
N-central adalah platform remote monitoring and management (RMM) milik N-able. MSP menggunakan alat seperti ini untuk memantau, memperbarui, dan mengelola komputer serta server dari bisnis yang mereka dukung. Menurut laporan tersebut, 33 kerentanan yang baru diungkapkan dapat memungkinkan sistem yang dikelola diambil alih.
Istilah "zero-day" penting di sini. Artinya cacat tersebut diungkapkan sebelum perbaikan tersedia secara luas, sehingga para defender memiliki sedikit atau tidak ada waktu untuk bersiap. Itulah sebabnya respons N-able adalah menarik server hosted secara offline alih-alih menunggu siklus patch, dan mengapa pelanggan yang menjalankan instance mereka sendiri disarankan untuk mengikuti langkah yang sama.
Artikel sumbernya singkat, sehingga beberapa detail masih belum terkonfirmasi dalam pemberitaan yang kami tinjau, termasuk bagaimana masing-masing cacat bekerja dan apakah ada yang telah dieksploitasi di lapangan. Kami tidak akan berspekulasi pada kedua hal tersebut. Pembaca sebaiknya memperlakukan advisory resmi vendor sebagai sumber otoritatif seiring perkembangan situasi.
Mengapa satu kompromi RMM berdampak berantai ke banyak bisnis
Platform RMM dirancang untuk memiliki akses yang mendalam dan tepercaya ke mesin-mesin yang dikelolanya. Platform ini dapat menjalankan skrip, mendorong perangkat lunak, dan mengubah pengaturan di banyak perangkat sekaligus. Itulah yang membuatnya berguna bagi MSP, dan itulah yang membuatnya menarik bagi penyerang.
Risikonya berasal dari konsentrasi:
- Satu konsol, banyak pelanggan. Sebuah MSP dapat mengelola puluhan atau ratusan organisasi klien dari satu platform. Kendali atas platform itu dapat berarti jangkauan ke semuanya.
- Berhak istimewa secara desain. Agen RMM biasanya berjalan dengan hak istimewa tinggi di endpoint, sehingga penyerang yang mengendalikan server mewarisi kepercayaan tersebut.
- Tak terlihat oleh pelanggan akhir. Usaha kecil yang mengalihdayakan TI sering kali tidak memiliki pandangan langsung ke alat yang digunakan penyedianya, atau ke apakah alat tersebut di-patch.
Inilah pelajaran inti dari pengungkapan N-central. Titik lemahnya mungkin bukan jaringan Anda sendiri sama sekali. Bisa jadi itu adalah alat manajemen yang berada satu langkah di hulu, yang dijalankan oleh orang lain.
Apa yang telah dilakukan N-able dan pelanggannya sejauh ini
Berdasarkan pemberitaan, N-able menarik server N-central hosted miliknya secara offline sebagai respons terhadap pengungkapan tersebut. Pelanggan diminta untuk mengikuti, yang agaknya berarti menarik instance N-central mereka sendiri secara offline hingga situasi terselesaikan.
Menarik platform manajemen inti secara offline adalah langkah yang mengganggu. Bagi MSP, itu bisa berarti kehilangan kemampuan untuk memantau dan mem-patch sistem klien untuk sementara waktu. Bagi klien mereka, itu bisa berarti respons dukungan yang lebih lambat. Pertukaran itu adalah sinyal betapa seriusnya vendor memandang risiko tersebut: kehilangan visibilitas sementara dinilai lebih baik daripada membiarkan platform yang rentan terekspos.
Detail seperti tenggat waktu untuk perbaikan atau pemulihan tidak dirinci dalam sumber yang kami gunakan, jadi periksa advisory resmi N-able untuk status terkini.
Apa Artinya Bagi Anda
Bagaimana hal ini memengaruhi Anda bergantung pada posisi Anda.
Jika Anda menjalankan N-central sendiri atau bekerja di MSP: perlakukan panduan vendor sebagai hal yang mendesak. Ikuti instruksi N-able tentang menarik instance secara offline, dan jangan mengembalikannya hingga Anda mengonfirmasi bahwa perbaikan yang direkomendasikan telah diterapkan.
Jika Anda adalah bisnis yang menggunakan MSP: Anda mungkin tidak pernah masuk ke N-central, tetapi perkakas penyedia Anda mungkin menyentuh setiap perangkat yang Anda miliki. Tanyakan kepada penyedia Anda apakah mereka menggunakan N-central, apakah mereka telah mengikuti panduan N-able, dan bagaimana mereka akan memberi tahu Anda jika sistem Anda terdampak.
Jika Anda adalah individu atau pengguna rumahan: hal ini kemungkinan besar tidak memengaruhi Anda secara langsung, tetapi ini adalah pengingat berguna bahwa perangkat lunak yang digunakan atasan atau penyedia TI Anda juga bisa menjadi bagian dari risiko Anda.
Checklist untuk pengguna terdampak: patching, tinjauan akses, pemantauan admin
Jika organisasi Anda menggunakan N-central, secara langsung atau melalui penyedia, jalankan langkah-langkah berikut:
- Konfirmasi status patch. Periksa advisory resmi N-able untuk perbaikan yang mencakup cacat yang diungkapkan dan verifikasi bahwa perbaikan tersebut telah diterapkan sebelum memulihkan layanan.
- Ikuti panduan offline. Jika Anda diminta untuk menarik instance Anda secara offline, biarkan tetap offline hingga vendor menyatakan aman untuk melanjutkan.
- Tinjau akses administrator. Daftarkan setiap akun dengan hak admin di platform RMM Anda. Hapus akun yang tidak digunakan, dibagikan, atau tidak dikenal.
- Rotasi kredensial. Ubah kata sandi administrator dan kunci API atau rahasia apa pun yang disimpan di atau terhubung ke platform, dan terapkan autentikasi multi-faktor.
- Pantau aktivitas admin. Tinjau log untuk login tak terduga, akun baru, skrip baru atau tugas terjadwal, dan perangkat lunak yang didorong ke endpoint yang tidak Anda otorisasi.
- Ajukan pertanyaan langsung kepada MSP Anda. Minta pembaruan tertulis tentang eksposur mereka, apa yang telah mereka lakukan, dan bagaimana mereka akan memberi tahu Anda tentang temuan apa pun.
- Batasi eksposur. Jika memungkinkan, batasi akses ke konsol manajemen agar tidak dapat dijangkau dari internet terbuka.
Poin Penting
Kerentanan zero-day N-able N-central adalah contoh jelas risiko rantai pasokan: satu alat manajemen yang cacat dapat menempatkan banyak organisasi pada posisi yang sama sekaligus. Keputusan vendor untuk offline menunjukkan betapa seriusnya eksposur tersebut.
Langkah praktis berikutnya sederhana. Verifikasi status patch, tinjau siapa yang memiliki akses administrator, dan pantau aktivitas admin dengan cermat. Jika Anda bergantung pada MSP, tanyakan kepada mereka tentang N-central hari ini daripada menunggu diberi tahu. Untuk detail terbaru dan paling akurat, andalkan advisory keamanan resmi N-able dan komunikasi penyedia Anda, karena panduan tentang insiden seperti ini dapat berubah dengan cepat.
