Când un furnizor de securitate își scoate propria platformă găzduită offline, merită să acordăm atenție. Este ceea ce s-a întâmplat după divulgarea a 33 de vulnerabilități zero-day în N-able N-central, un set de deficiențe care ar putea expune sistemele administrate la preluarea controlului. N-able și-a scos serverele N-central găzduite offline, iar clienții au fost îndemnați să facă același lucru cu propriile implementări.
Acest articol acoperă ceea ce se cunoaște din relatări, de ce un instrument precum N-central implică atât de mult risc și ce pot face întreprinderile mici și clienții furnizorilor de servicii administrate (MSP) chiar acum.
Ce înseamnă cele 33 de deficiențe din N-central
N-central este platforma de monitorizare și management la distanță (RMM) a N-able. MSP-urile folosesc instrumente precum acesta pentru a monitoriza, actualiza și administra computerele și serverele companiilor pe care le deservesc. Potrivit raportului, cele 33 de vulnerabilități nou divulgate ar putea permite preluarea controlului asupra sistemelor administrate.
Termenul „zero-day" contează aici. Înseamnă că deficiențele au fost divulgate înainte ca remedierile să fie disponibile pe scară largă, astfel încât apărătorii au avut puțin sau deloc timp să se pregătească. De aceea răspunsul N-able a fost să scoată serverele găzduite offline în loc să aștepte un ciclu de patch-uri și de aceea clienții care rulează propriile instanțe au fost sfătuiți să procedeze la fel.
Articolul sursă este scurt, așa că unele detalii rămân neconfirmate în relatările pe care le-am examinat, inclusiv modul în care funcționează fiecare deficiență și dacă vreuna a fost exploatată în sălbăticie. Nu vom specula pe niciunul dintre aceste puncte. Cititorii ar trebui să trateze propriile avize ale furnizorului ca sursă autoritară pe măsură ce situația evoluează.
De ce o compromitere RMM se propagă la multe companii
O platformă RMM este proiectată să aibă acces profund și de încredere la mașinile pe care le administrează. Poate rula scripturi, poate implementa software și poate modifica setări pe multe dispozitive simultan. Exact acest lucru o face utilă pentru un MSP și exact acest lucru o face atractivă pentru un atacator.
Riscul provine din concentrare:
- O singură consolă, mulți clienți. Un MSP poate administra zeci sau sute de organizații cliente dintr-o singură platformă. Controlul acelei platforme poate însemna acces la toate acestea.
- Privilegiat prin design. Agenții RMM rulează de obicei cu privilegii ridicate pe endpoint-uri, astfel încât un atacator care controlează serverul moștenește această încredere.
- Invizibil pentru clientul final. O întreprindere mică care externalizează IT-ul adesea nu are vizibilitate directă asupra instrumentelor pe care le folosește furnizorul său sau asupra faptului dacă acele instrumente sunt actualizate.
Aceasta este lecția principală a divulgării N-central. Punctul vulnerabil poate să nu fie deloc rețeaua ta. Poate fi un instrument de management situat cu un pas în amonte, administrat de altcineva.
Ce au făcut N-able și clienții săi până acum
Pe baza relatărilor, N-able și-a scos serverele N-central găzduite offline ca răspuns la divulgare. Clienții au fost îndemnați să procedeze la fel, ceea ce probabil înseamnă să-și scoată propriile instanțe N-central offline până la rezolvarea situației.
Scoaterea offline a unei platforme centrale de management este un pas disruptiv. Pentru MSP-uri, poate însemna pierderea capacității de a monitoriza și aplica patch-uri sistemelor clienților pentru o perioadă de timp. Pentru clienții lor, poate însemna răspunsuri de suport mai lente. Acest compromis este un semnal al cât de serios vede furnizorul riscul: o pierdere temporară a vizibilității a fost considerată mai bună decât lăsarea unei platforme vulnerabile expuse.
Detalii specifice precum termenele pentru remedieri sau restabilire nu au fost detaliate în sursa pe care am folosit-o, așa că verificați avizele oficiale ale N-able pentru starea actuală.
Ce înseamnă acest lucru pentru dumneavoastră
Cum vă afectează acest lucru depinde de poziția dumneavoastră.
Dacă rulați N-central dumneavoastră sau lucrați la un MSP: tratați îndrumările furnizorului ca urgente. Urmați instrucțiunile N-able privind scoaterea instanțelor offline și nu le readuceți online până când nu ați confirmat că remedierile recomandate sunt aplicate.
Dacă sunteți o companie care folosește un MSP: s-ar putea să nu vă autentificați niciodată în N-central, dar instrumentele furnizorului dumneavoastră pot atinge fiecare dispozitiv pe care îl dețineți. Întrebați-vă furnizorul dacă folosește N-central, dacă a urmat îndrumările N-able și cum vă va anunța dacă sistemele dumneavoastră au fost afectate.
Dacă sunteți un utilizator individual sau casnic: este puțin probabil să vă afecteze direct, dar este un memento util că software-ul pe care îl folosește angajatorul sau furnizorul dumneavoastră de IT poate face parte și din riscul dumneavoastră.
Listă de verificare pentru utilizatorii afectați: aplicarea patch-urilor, revizuirea accesului, monitorizarea administratorilor
Dacă organizația dumneavoastră folosește N-central, direct sau printr-un furnizor, parcurgeți acești pași:
- Confirmați starea patch-urilor. Verificați avizele oficiale ale N-able pentru remedieri care acoperă deficiențele divulgate și verificați că sunt aplicate înainte de a restabili serviciul.
- Urmați îndrumările privind scoaterea offline. Dacă vi s-a spus să vă scoateți instanța offline, mențineți-o offline până când furnizorul spune că este sigur să continuați.
- Revizuiți accesul administratorilor. Enumerați fiecare cont cu drepturi de administrator în platforma dumneavoastră RMM. Eliminați conturile neutilizate, partajate sau necunoscute.
- Rotiți credențialele. Schimbați parolele de administrator și orice chei API sau secrete stocate în platformă sau conectate la aceasta și impuneți autentificarea multi-factor.
- Monitorizați activitatea administratorilor. Revizuiți jurnalele pentru autentificări neașteptate, conturi noi, scripturi sau sarcini programate noi și software implementat pe endpoint-uri pe care nu l-ați autorizat.
- Adresați întrebări directe MSP-ului dumneavoastră. Solicitați o actualizare scrisă privind expunerea lor, ce au făcut și cum vă vor notifica despre orice constatare.
- Limitați expunerea. Acolo unde este posibil, restricționați accesul la consolele de management astfel încât să nu fie accesibile din internetul deschis.
Concluzii cheie
Vulnerabilitățile zero-day din N-able N-central sunt un exemplu clar de risc de lanț de aprovizionare: un singur instrument de management defectuos poate pune multe organizații în aceeași poziție simultan. Decizia furnizorului de a merge offline arată cât de serioasă poate fi această expunere.
Următorul pas practic este simplu. Verificați starea patch-urilor, revizuiți cine are acces de administrator și urmăriți îndeaproape activitatea administratorilor. Dacă vă bazați pe un MSP, întrebați-l despre N-central astăzi, în loc să așteptați să vi se spună. Pentru cele mai recente și precise detalii, bazați-vă pe avizele oficiale de securitate ale N-able și pe comunicările furnizorului dumneavoastră, deoarece îndrumările privind incidente ca acesta se pot schimba rapid.
