Когда поставщик средств безопасности отключает собственную облачную платформу, на это стоит обратить внимание. Именно это произошло после раскрытия 33 уязвимостей нулевого дня в N-able N-central — набора недостатков, которые могли подвергнуть управляемые системы риску захвата. N-able отключила свои облачные серверы N-central, а клиентам было рекомендовано поступить так же со своими собственными развёртываниями.

В этой статье рассматривается то, что известно из сообщений, почему такой инструмент, как N-central, несёт в себе столько риска, и что малые предприятия и клиенты поставщиков управляемых услуг (MSP) могут сделать прямо сейчас.

Что означают 33 уязвимости N-central

N-central — это платформа удалённого мониторинга и управления (RMM) от N-able. MSP используют подобные инструменты для мониторинга, обновления и администрирования компьютеров и серверов обслуживаемых ими компаний. Согласно отчёту, 33 недавно раскрытые уязвимости могли позволить захватить управляемые системы.

Термин «нулевой день» здесь важен. Он означает, что уязвимости были раскрыты до того, как исправления стали широкодоступны, поэтому у защитников было мало времени на подготовку или не было вовсе. Именно поэтому реакцией N-able стало отключение облачных серверов, а не ожидание цикла выпуска исправлений, и поэтому клиентам, использующим собственные экземпляры, было рекомендовано поступить аналогично.

Исходная статья краткая, поэтому некоторые детали остаются неподтверждёнными в рассмотренных нами сообщениях, включая то, как работает каждая уязвимость и были ли какие-либо из них использованы в реальных атаках. Мы не будем строить предположений ни по одному из этих пунктов. Читателям следует рассматривать собственные рекомендации поставщика как авторитетный источник по мере развития ситуации.

Почему компрометация одной RMM каскадно затрагивает множество компаний

Платформа RMM по своей конструкции имеет глубокий доверенный доступ к управляемым ею машинам. Она может запускать скрипты, распространять программное обеспечение и изменять настройки на множестве устройств одновременно. Именно это делает её полезной для MSP и именно это делает её привлекательной для злоумышленника.

Риск возникает из-за концентрации:

  • Одна консоль, множество клиентов. MSP может управлять десятками или сотнями клиентских организаций с единой платформы. Контроль над этой платформой может означать доступ ко всем ним.
  • Привилегированность по умолчанию. Агенты RMM обычно работают с высокими привилегиями на конечных точках, поэтому злоумышленник, контролирующий сервер, наследует это доверие.
  • Невидимость для конечного клиента. Малое предприятие, передающее ИТ на аутсорсинг, часто не имеет прямого представления об инструментах, используемых его провайдером, или о том, обновлены ли эти инструменты.

Это главный урок раскрытия N-central. Слабое место может быть вовсе не в вашей собственной сети. Им может оказаться инструмент управления, находящийся на один шаг выше по цепочке и управляемый кем-то другим.

Что N-able и её клиенты сделали на данный момент

Судя по сообщениям, N-able отключила свои облачные серверы N-central в ответ на раскрытие. Клиентам было рекомендовано поступить так же, что, предположительно, означает отключение собственных экземпляров N-central до разрешения ситуации.

Отключение основной платформы управления — это серьёзный шаг. Для MSP это может означать потерю возможности мониторинга и обновления клиентских систем на определённый период. Для их клиентов это может означать более медленные ответы службы поддержки. Этот компромисс является сигналом того, насколько серьёзно поставщик оценивает риск: временная потеря видимости была сочтена лучшим вариантом, чем оставление уязвимой платформы открытой.

Такие детали, как сроки выпуска исправлений или восстановления, не были раскрыты в исходном материале, с которым мы работали, поэтому проверяйте официальные рекомендации N-able для получения актуальной информации о статусе.

Что это значит для вас

То, как это вас затрагивает, зависит от вашей роли.

Если вы самостоятельно используете N-central или работаете в MSP: отнеситесь к рекомендациям поставщика как к срочным. Следуйте инструкциям N-able по отключению экземпляров и не включайте их обратно, пока не убедитесь, что рекомендуемые исправления применены.

Если вы компания, пользующаяся услугами MSP: вы можете никогда не входить в N-central, но инструменты вашего провайдера могут затрагивать каждое ваше устройство. Спросите своего провайдера, использует ли он N-central, последовал ли он рекомендациям N-able и как он сообщит вам, если ваши системы были затронуты.

Если вы частное лицо или домашний пользователь: маловероятно, что это затронет вас напрямую, но это полезное напоминание о том, что программное обеспечение, используемое вашим работодателем или ИТ-провайдером, тоже может быть частью вашего риска.

Контрольный список для затронутых пользователей: установка исправлений, проверка доступа, мониторинг администраторов

Если ваша организация использует N-central, напрямую или через провайдера, выполните следующие шаги:

  1. Подтвердите статус исправлений. Проверьте официальные рекомендации N-able на предмет исправлений, устраняющих раскрытые уязвимости, и убедитесь, что они применены, прежде чем восстанавливать работу.
  2. Следуйте рекомендациям об отключении. Если вам было указано отключить ваш экземпляр, держите его отключённым, пока поставщик не сообщит, что можно безопасно продолжать.
  3. Проверьте административный доступ. Составьте список всех учётных записей с правами администратора в вашей платформе RMM. Удалите учётные записи, которые не используются, являются общими или незнакомыми.
  4. Смените учётные данные. Смените пароли администраторов и все ключи API или секреты, хранящиеся в платформе или подключённые к ней, и включите многофакторную аутентификацию.
  5. Отслеживайте активность администраторов. Просмотрите журналы на предмет неожиданных входов, новых учётных записей, новых скриптов или запланированных задач, а также программного обеспечения, распространённого на конечные точки без вашего разрешения.
  6. Задайте вашему MSP прямые вопросы. Запросите письменное обновление информации об их подверженности риску, о том, что они сделали и как они уведомят вас о любых обнаруженных проблемах.
  7. Ограничьте поверхность атаки. Где это возможно, ограничьте доступ к консолям управления, чтобы они не были доступны из открытого интернета.

Ключевые выводы

Уязвимости нулевого дня в N-able N-central — наглядный пример риска цепочки поставок: один дефектный инструмент управления может одновременно поставить множество организаций в одинаковое положение. Решение поставщика отключить платформу показывает, насколько серьёзной может быть эта подверженность риску.

Практический следующий шаг прост. Проверьте статус исправлений, просмотрите, у кого есть административный доступ, и внимательно следите за активностью администраторов. Если вы полагаетесь на MSP, спросите их о N-central сегодня, а не ждите, пока вам сообщат. Для получения самых свежих и точных сведений полагайтесь на официальные рекомендации по безопасности N-able и сообщения вашего провайдера, поскольку рекомендации по подобным инцидентам могут быстро меняться.