Quando un fornitore di sicurezza mette offline la propria piattaforma ospitata, vale la pena prestare attenzione. È ciò che è accaduto dopo la divulgazione di 33 vulnerabilità zero-day di N-able N-central, una serie di difetti che potrebbero esporre i sistemi gestiti a essere compromessi. N-able ha messo offline i propri server N-central ospitati, e ai clienti è stato detto di fare lo stesso con le proprie installazioni.
Questo articolo illustra quanto è noto dalle fonti giornalistiche, perché uno strumento come N-central comporta così tanto rischio e cosa possono fare subito le piccole imprese e i clienti dei managed service provider (MSP).
Cosa significano le 33 vulnerabilità di N-central
N-central è la piattaforma di remote monitoring and management (RMM) di N-able. Gli MSP utilizzano strumenti come questo per monitorare, aggiornare e amministrare i computer e i server delle aziende che supportano. Secondo il rapporto, le 33 vulnerabilità recentemente divulgate potrebbero consentire la compromissione dei sistemi gestiti.
Il termine "zero-day" è importante in questo contesto. Significa che le vulnerabilità sono state divulgate prima che le correzioni fossero ampiamente disponibili, quindi i difensori avevano poco o nessun tempo per prepararsi. È per questo che la risposta di N-able è stata mettere offline i server ospitati invece di attendere un ciclo di patch, e perché ai clienti che gestiscono proprie istanze è stato consigliato di fare altrettanto.
L'articolo di origine è breve, quindi alcuni dettagli rimangono non confermati nelle fonti che abbiamo esaminato, inclusi il funzionamento di ciascuna vulnerabilità e se alcune siano state sfruttate attivamente. Non faremo supposizioni su nessuno dei due punti. I lettori dovrebbero considerare gli avvisi ufficiali del fornitore come fonte autorevole man mano che la situazione si evolve.
Perché la compromissione di un RMM si propaga a molte aziende
Una piattaforma RMM è progettata per avere accesso profondo e affidabile alle macchine che gestisce. Può eseguire script, distribuire software e modificare impostazioni su molti dispositivi contemporaneamente. È esattamente ciò che la rende utile a un MSP, e esattamente ciò che la rende attraente per un attaccante.
Il rischio deriva dalla concentrazione:
- Una console, molti clienti. Un MSP può gestire decine o centinaia di organizzazioni clienti da un'unica piattaforma. Il controllo di quella piattaforma può significare accesso a tutte quante.
- Privilegiato per progettazione. Gli agenti RMM in genere vengono eseguiti con privilegi elevati sugli endpoint, quindi un attaccante che controlla il server eredita quella fiducia.
- Invisibile al cliente finale. Una piccola impresa che esternalizza l'IT spesso non ha una visione diretta degli strumenti utilizzati dal proprio fornitore, né se tali strumenti siano aggiornati.
Questa è la lezione centrale della divulgazione di N-central. Il punto debole potrebbe non essere affatto la vostra rete. Può essere uno strumento di gestione situato un passo a monte, gestito da qualcun altro.
Cosa hanno fatto finora N-able e i suoi clienti
In base alle fonti giornalistiche, N-able ha messo offline i propri server N-central ospitati in risposta alla divulgazione. Ai clienti è stato detto di fare altrettanto, il che presumibilmente significa mettere offline le proprie istanze N-central fino alla risoluzione della situazione.
Mettere offline una piattaforma di gestione centrale è un passo dirompente. Per gli MSP, può significare perdere la capacità di monitorare e applicare patch ai sistemi dei clienti per un certo periodo. Per i loro clienti, può significare risposte di supporto più lente. Questo compromesso è un segnale di quanto seriamente il fornitore consideri il rischio: una perdita temporanea di visibilità è stata giudicata preferibile rispetto a lasciare esposta una piattaforma vulnerabile.
Dettagli specifici come le tempistiche per le correzioni o il ripristino non erano dettagliati nella fonte da cui abbiamo lavorato, quindi consultate gli avvisi ufficiali di N-able per lo stato attuale.
Cosa significa per voi
Come questo vi riguardi dipende dalla vostra posizione.
Se gestite N-central direttamente o lavorate presso un MSP: trattate le indicazioni del fornitore come urgenti. Seguite le istruzioni di N-able per mettere offline le istanze, e non riattivatele finché non avete confermato che le correzioni raccomandate siano state applicate.
Se siete un'azienda che utilizza un MSP: potreste non accedere mai a N-central, ma gli strumenti del vostro fornitore potrebbero toccare ogni dispositivo che possedete. Chiedete al vostro fornitore se utilizza N-central, se ha seguito le indicazioni di N-able e come vi informerà se i vostri sistemi sono stati colpiti.
Se siete un utente individuale o domestico: è improbabile che questo vi riguardi direttamente, ma è un utile promemoria del fatto che anche il software utilizzato dal vostro datore di lavoro o dal vostro fornitore IT può far parte del vostro rischio.
Checklist per gli utenti colpiti: patching, revisione degli accessi, monitoraggio degli amministratori
Se la vostra organizzazione utilizza N-central, direttamente o tramite un fornitore, seguite questi passaggi:
- Confermate lo stato delle patch. Consultate gli avvisi ufficiali di N-able per le correzioni che coprono le vulnerabilità divulgate e verificate che siano applicate prima di ripristinare il servizio.
- Seguite le indicazioni sull'offline. Se vi è stato detto di mettere offline la vostra istanza, tenetela offline finché il fornitore non indica che è sicuro procedere.
- Rivedete l'accesso degli amministratori. Elencate ogni account con diritti di amministratore nella vostra piattaforma RMM. Rimuovete gli account inutilizzati, condivisi o sconosciuti.
- Ruotate le credenziali. Cambiate le password degli amministratori e qualsiasi chiave API o segreto memorizzato nella piattaforma o connesso ad essa, e imponete l'autenticazione a più fattori.
- Monitorate l'attività degli amministratori. Esaminate i log per individuare accessi inaspettati, nuovi account, nuovi script o attività pianificate e software distribuito agli endpoint che non avete autorizzato.
- Ponete domande dirette al vostro MSP. Richiedete un aggiornamento scritto sulla loro esposizione, su cosa hanno fatto e su come vi notificheranno eventuali riscontri.
- Limitate l'esposizione. Ove possibile, limitate l'accesso alle console di gestione in modo che non siano raggiungibili da internet aperto.
Punti chiave
Le vulnerabilità zero-day di N-able N-central sono un chiaro esempio di rischio della catena di approvvigionamento: uno strumento di gestione difettoso può mettere molte organizzazioni nella stessa posizione contemporaneamente. La decisione del fornitore di andare offline dimostra quanto seria possa essere tale esposizione.
Il prossimo passo pratico è semplice. Verificate lo stato delle patch, rivedete chi ha accesso amministrativo e monitorate attentamente l'attività degli amministratori. Se vi affidate a un MSP, chiedetegli di N-central oggi stesso invece di aspettare di essere informati. Per i dettagli più recenti e accurati, affidatevi agli avvisi di sicurezza ufficiali di N-able e alle comunicazioni del vostro fornitore, poiché le indicazioni su incidenti come questo possono cambiare rapidamente.
