Gdy dostawca rozwiązań bezpieczeństwa wyłącza własną hostowaną platformę, warto zwrócić na to uwagę. To właśnie się stało po ujawnieniu 33 luk typu zero-day w N-able N-central — zestawu podatności, które mogą narazić zarządzane systemy na przejęcie. N-able wyłączyło swoje hostowane serwery N-central, a klientów poinformowano, aby zrobili to samo ze swoimi własnymi wdrożeniami.

Ten artykuł omawia, co wiadomo z doniesień, dlaczego narzędzie takie jak N-central niesie ze sobą tak duże ryzyko oraz co małe firmy i klienci dostawców usług zarządzanych (MSP) mogą zrobić już teraz.

Co oznaczają 33 luki w N-central

N-central to platforma do zdalnego monitorowania i zarządzania (RMM) firmy N-able. Dostawcy MSP używają podobnych narzędzi do monitorowania, aktualizowania i administrowania komputerami i serwerami firm, którym świadczą usługi. Według doniesień 33 nowo ujawnione podatności mogą pozwolić na przejęcie zarządzanych systemów.

Termin „zero-day" ma tutaj znaczenie. Oznacza, że luki zostały ujawnione, zanim poprawki były szeroko dostępne, więc obrońcy mieli niewiele czasu na przygotowanie się lub nie mieli go wcale. Dlatego reakcją N-able było wyłączenie hostowanych serwerów, a nie czekanie na cykl wydawania poprawek, i dlatego klientom prowadzącym własne instancje zalecono to samo.

Artykuł źródłowy jest zwięzły, więc niektóre szczegóły pozostają niepotwierdzone w przejrzanych przez nas doniesieniach, w tym sposób działania każdej z luk oraz to, czy którakolwiek z nich została wykorzystana w rzeczywistych atakach. Nie będziemy spekulować na żaden z tych tematów. Czytelnicy powinni traktować własne biuletyny bezpieczeństwa dostawcy jako źródło autorytatywne w miarę rozwoju sytuacji.

Dlaczego przejęcie jednego RMM kaskadowo dotyka wiele firm

Platforma RMM jest zaprojektowana tak, aby mieć głęboki, zaufany dostęp do maszyn, którymi zarządza. Może uruchamiać skrypty, wdrażać oprogramowanie i zmieniać ustawienia na wielu urządzeniach jednocześnie. To właśnie czyni ją użyteczną dla MSP i właśnie to czyni ją atrakcyjną dla atakującego.

Ryzyko wynika z koncentracji:

  • Jedna konsola, wielu klientów. MSP może zarządzać dziesiątkami lub setkami organizacji klienckich z jednej platformy. Kontrola nad tą platformą może oznaczać dostęp do nich wszystkich.
  • Uprzywilejowanie z założenia. Agenci RMM zazwyczaj działają z wysokimi uprawnieniami na endpointach, więc atakujący, który przejmie kontrolę nad serwerem, dziedziczy to zaufanie.
  • Niewidoczne dla klienta końcowego. Mała firma, która outsourcuje IT, często nie ma bezpośredniego wglądu w narzędzia używane przez jej dostawcę ani w to, czy są one aktualizowane.

To jest główna lekcja z ujawnienia N-central. Słabym punktem może wcale nie być twoja własna sieć. Może nim być narzędzie do zarządzania znajdujące się o krok wyżej, prowadzone przez kogoś innego.

Co N-able i jego klienci zrobili do tej pory

Na podstawie doniesień N-able wyłączyło swoje hostowane serwery N-central w odpowiedzi na ujawnienie. Klientów poinformowano, aby zrobili to samo, co przypuszczalnie oznacza wyłączenie własnych instancji N-central do czasu rozwiązania sytuacji.

Wyłączenie podstawowej platformy zarządzania to zakłócający krok. Dla dostawców MSP może to oznaczać utratę możliwości monitorowania i aktualizowania systemów klientów przez pewien czas. Dla ich klientów może to oznaczać wolniejsze reakcje wsparcia. Ten kompromis jest sygnałem, jak poważnie dostawca postrzega ryzyko: tymczasową utratę widoczności uznano za lepszą niż pozostawienie narażonej platformy wystawionej na działanie.

Konkretne szczegóły, takie jak terminy poprawek lub przywrócenia usług, nie zostały opisane w źródle, z którego korzystaliśmy, więc sprawdzaj oficjalne biuletyny N-able, aby poznać aktualny stan.

Co to oznacza dla Ciebie

Jak to na ciebie wpłynie, zależy od twojej pozycji.

Jeśli sam prowadzisz N-central lub pracujesz w MSP: traktuj wskazówki dostawcy jako pilne. Postępuj zgodnie z instrukcjami N-able dotyczącymi wyłączania instancji i nie przywracaj ich, dopóki nie potwierdzisz zastosowania zalecanych poprawek.

Jeśli jesteś firmą korzystającą z MSP: możesz nigdy nie logować się do N-central, ale narzędzia twojego dostawcy mogą dotykać każdego urządzenia, które posiadasz. Zapytaj dostawcę, czy używa N-central, czy zastosował się do wskazówek N-able i w jaki sposób poinformuje cię, jeśli twoje systemy zostały dotknięte.

Jeśli jesteś osobą prywatną lub użytkownikiem domowym: jest mało prawdopodobne, aby to miało na ciebie bezpośredni wpływ, ale to przydatne przypomnienie, że oprogramowanie używane przez twojego pracodawcę lub dostawcę IT może być również częścią twojego ryzyka.

Lista kontrolna dla dotkniętych użytkowników: aktualizacje, przegląd dostępu, monitorowanie administratorów

Jeśli twoja organizacja używa N-central, bezpośrednio lub przez dostawcę, przejdź przez następujące kroki:

  1. Potwierdź status poprawek. Sprawdź oficjalne biuletyny N-able dotyczące poprawek obejmujących ujawnione luki i zweryfikuj, czy zostały zastosowane przed przywróceniem usługi.
  2. Postępuj zgodnie ze wskazówkami dotyczącymi wyłączenia. Jeśli zalecono ci wyłączenie instancji, pozostaw ją wyłączoną, dopóki dostawca nie stwierdzi, że można bezpiecznie kontynuować.
  3. Przejrzyj dostęp administratorów. Wylistuj każde konto z uprawnieniami administratora w twojej platformie RMM. Usuń konta nieużywane, współdzielone lub nieznane.
  4. Zmień poświadczenia. Zmień hasła administratorów oraz wszelkie klucze API lub sekrety przechowywane w platformie lub z nią powiązane, i wymuszaj uwierzytelnianie wieloskładnikowe.
  5. Monitoruj aktywność administratorów. Przejrzyj logi pod kątem nieoczekiwanych logowań, nowych kont, nowych skryptów lub zadań zaplanowanych oraz oprogramowania wdrożonego na endpointy bez twojej autoryzacji.
  6. Zadawaj dostawcy MSP bezpośrednie pytania. Poproś o pisemną aktualizację dotyczącą ich ekspozycji, tego, co zrobili i w jaki sposób powiadomią cię o jakichkolwiek ustaleniach.
  7. Ogranicz ekspozycję. Tam, gdzie to możliwe, ogranicz dostęp do konsol zarządzania, aby nie były osiągalne z otwartego internetu.

Wnioski

Luki typu zero-day w N-able N-central są wyraźnym przykładem ryzyka łańcucha dostaw: jedno wadliwe narzędzie do zarządzania może postawić wiele organizacji w tej samej sytuacji jednocześnie. Decyzja dostawcy o wyłączeniu pokazuje, jak poważna może być ta ekspozycja.

Praktyczny następny krok jest prosty. Zweryfikuj status poprawek, przejrzyj, kto ma dostęp administratora, i uważnie obserwuj aktywność administratorów. Jeśli polegasz na MSP, zapytaj ich o N-central już dziś, zamiast czekać, aż cię poinformują. Aby uzyskać najnowsze i najdokładniejsze szczegóły, opieraj się na oficjalnych biuletynach bezpieczeństwa N-able i komunikacji twojego dostawcy, ponieważ wskazówki dotyczące takich incydentów mogą się szybko zmieniać.