Quando um fornecedor de segurança tira sua própria plataforma hospedada do ar, vale a pena prestar atenção. Foi o que aconteceu após a divulgação de 33 vulnerabilidades zero-day do N-able N-central, um conjunto de falhas que poderia expor sistemas gerenciados a tomadas de controle. A N-able tirou do ar seus servidores N-central hospedados, e os clientes foram instruídos a fazer o mesmo com suas próprias implantações.
Este artigo aborda o que se sabe a partir das reportagens, por que uma ferramenta como o N-central carrega tanto risco, e o que pequenas empresas e clientes de provedores de serviços gerenciados (MSP) podem fazer agora.
O que as 33 falhas do N-central significam
O N-central é a plataforma de monitoramento e gerenciamento remoto (RMM) da N-able. Os MSPs usam ferramentas como essa para monitorar, atualizar e administrar os computadores e servidores das empresas que atendem. De acordo com o relatório, as 33 vulnerabilidades recém-divulgadas poderiam permitir a tomada de controle de sistemas gerenciados.
O termo "zero-day" importa aqui. Significa que as falhas foram divulgadas antes de correções estarem amplamente disponíveis, de modo que os defensores tiveram pouco ou nenhum tempo para se preparar. É por isso que a resposta da N-able foi tirar os servidores hospedados do ar em vez de esperar por um ciclo de patches, e por que os clientes que executam suas próprias instâncias foram aconselhados a fazer o mesmo.
O artigo de origem é breve, então alguns detalhes permanecem não confirmados nas reportagens que revisamos, incluindo como cada falha funciona e se alguma foi explorada ativamente. Não vamos especular sobre nenhum desses pontos. Os leitores devem tratar os próprios avisos do fornecedor como a fonte autoritativa à medida que a situação evolui.
Por que o comprometimento de um RMM se propaga para muitas empresas
Uma plataforma RMM é projetada para ter acesso profundo e confiável às máquinas que gerencia. Ela pode executar scripts, distribuir software e alterar configurações em muitos dispositivos de uma só vez. É exatamente isso que a torna útil para um MSP, e exatamente isso que a torna atraente para um atacante.
O risco vem da concentração:
- Um console, muitos clientes. Um MSP pode gerenciar dezenas ou centenas de organizações clientes a partir de uma única plataforma. O controle dessa plataforma pode significar alcance a todas elas.
- Privilegiado por design. Os agentes RMM normalmente são executados com altos privilégios nos endpoints, então um atacante que controla o servidor herda essa confiança.
- Invisível para o cliente final. Uma pequena empresa que terceiriza o TI geralmente não tem visão direta das ferramentas que seu provedor usa, nem de se essas ferramentas estão corrigidas.
Esta é a lição central da divulgação do N-central. O ponto fraco pode não ser a sua própria rede. Pode ser uma ferramenta de gerenciamento situada um passo acima na cadeia, operada por outra pessoa.
O que a N-able e seus clientes fizeram até agora
Com base nas reportagens, a N-able tirou do ar seus servidores N-central hospedados em resposta à divulgação. Os clientes foram instruídos a fazer o mesmo, o que presumivelmente significa tirar do ar suas próprias instâncias do N-central até que a situação seja resolvida.
Tirar do ar uma plataforma central de gerenciamento é uma medida disruptiva. Para os MSPs, pode significar perder a capacidade de monitorar e corrigir sistemas de clientes por um período. Para seus clientes, pode significar respostas de suporte mais lentas. Essa troca é um sinal de quão seriamente o fornecedor encara o risco: uma perda temporária de visibilidade foi considerada melhor do que deixar uma plataforma vulnerável exposta.
Detalhes específicos, como prazos para correções ou restauração, não foram detalhados na fonte em que nos baseamos, então consulte os avisos oficiais da N-able para o status atual.
O que isso significa para você
Como isso afeta você depende da sua posição.
Se você opera o N-central por conta própria ou trabalha em um MSP: trate as orientações do fornecedor como urgentes. Siga as instruções da N-able sobre tirar as instâncias do ar, e não as traga de volta até ter confirmado que as correções recomendadas foram aplicadas.
Se você é uma empresa que usa um MSP: você pode nunca fazer login no N-central, mas as ferramentas do seu provedor podem tocar todos os dispositivos que você possui. Pergunte ao seu provedor se eles usam o N-central, se seguiram as orientações da N-able e como informarão você se seus sistemas foram afetados.
Se você é um usuário individual ou doméstico: é improvável que isso afete você diretamente, mas é um lembrete útil de que o software que seu empregador ou provedor de TI usa também pode fazer parte do seu risco.
Lista de verificação para usuários afetados: aplicação de patches, revisão de acessos, monitoramento de administradores
Se sua organização usa o N-central, diretamente ou por meio de um provedor, siga estas etapas:
- Confirme o status dos patches. Verifique os avisos oficiais da N-able para correções que cubram as falhas divulgadas e confirme que foram aplicadas antes de restaurar o serviço.
- Siga as orientações de indisponibilidade. Se você foi instruído a tirar sua instância do ar, mantenha-a offline até que o fornecedor diga que é seguro prosseguir.
- Revise o acesso de administrador. Liste todas as contas com direitos de administrador em sua plataforma RMM. Remova contas não utilizadas, compartilhadas ou desconhecidas.
- Rotacione credenciais. Altere senhas de administrador e quaisquer chaves de API ou segredos armazenados na plataforma ou conectados a ela, e imponha autenticação multifator.
- Monitore a atividade de administradores. Revise os logs em busca de logins inesperados, novas contas, novos scripts ou tarefas agendadas, e software distribuído para endpoints que você não autorizou.
- Faça perguntas diretas ao seu MSP. Solicite uma atualização por escrito sobre sua exposição, o que eles fizeram e como notificarão você sobre quaisquer descobertas.
- Limite a exposição. Quando possível, restrinja o acesso aos consoles de gerenciamento para que não sejam alcançáveis pela internet aberta.
Principais conclusões
As vulnerabilidades zero-day do N-able N-central são um exemplo claro de risco de cadeia de suprimentos: uma ferramenta de gerenciamento falha pode colocar muitas organizações na mesma situação ao mesmo tempo. A decisão do fornecedor de ficar offline mostra quão séria essa exposição pode ser.
O próximo passo prático é simples. Verifique o status dos patches, revise quem tem acesso de administrador e acompanhe de perto a atividade de administradores. Se você depende de um MSP, pergunte a eles sobre o N-central hoje, em vez de esperar ser informado. Para os detalhes mais recentes e precisos, conte com os avisos de segurança oficiais da N-able e as comunicações do seu provedor, já que as orientações sobre incidentes como este podem mudar rapidamente.
