แพตช์ฉุกเฉินครั้งที่สองในเวลาไล่เลี่ยกัน

นักพัฒนาซอฟต์แวร์ N-able ได้ออกอัปเดตร้อนครั้งที่สองในสัปดาห์นี้เพื่อจัดการกับการโจมตีแบบ zero-day ที่กลับมาอีกครั้งบนแพลตฟอร์มการตรวจสอบและจัดการระยะไกล (RMM) N-central ของตน เครื่องมือนี้ถูกใช้อย่างแพร่หลายโดยผู้ให้บริการจัดการด้านไอที (MSPs) เพื่อดูแลเครือข่าย เซิร์ฟเวอร์ และอุปกรณ์ปลายทางของลูกค้าจากระยะไกล ซึ่งหมายความว่าช่องโหว่ใน N-central ไม่ได้คุกคามเพียงบริษัทเดียว แต่อาจคุกคามทุกองค์กรที่พึ่งพา MSP ที่ได้รับผลกระทบในการสนับสนุนด้านไอที

ช่องโหว่ที่เป็นประเด็นกลางของเหตุการณ์นี้ถูกอธิบายไว้ว่าเป็นการให้สิทธิ์ผู้โจมตีในระดับที่เปรียบเสมือน "god mode" ซึ่งให้สิทธิ์ควบคุมผู้ดูแลระบบอย่างสมบูรณ์เหนือคอนโซล N-central การเข้าถึงระดับนั้นทำให้ผู้โจมตีสามารถดู แก้ไข หรือขโมยข้อมูลในทุกสภาพแวดล้อมของลูกค้าที่เชื่อมต่อกับคอนโซลดังกล่าว มีรายงานว่าหน่วยงานรัฐบาลกลางได้รับกำหนดเวลาสามวันซึ่งสั้นผิดปกติในการแพตช์ช่องโหว่นี้ หลังจากที่ CISA ระบุว่ากำลังถูกโจมตีอย่างแข็งขัน ซึ่งตอกย้ำว่าเจ้าหน้าที่ความมั่นคงปลอดภัยทางไซเบอร์ของรัฐให้ความสำคัญกับความเสี่ยงนี้อย่างจริงจังเพียงใด

นี่ไม่ใช่การแก้ไขข้อบกพร่องตามปกติ การโจมตีแบบ zero-day หมายความว่าผู้โจมตีพบและใช้ช่องโหว่ก่อนที่ N-able จะมีโอกาสแพตช์ และข้อเท็จจริงที่จำเป็นต้องมีอัปเดตร้อนครั้งที่สองชี้ให้เห็นว่าการแก้ไขรอบแรกไม่ได้ปิดประตูอย่างสนิท

เหตุใดแพลตฟอร์มของ MSP จึงเป็นจุดคอขวดด้านความเป็นส่วนตัว

เครื่องมือ RMM อย่าง N-central ถูกสร้างขึ้นมาเพื่อรวมศูนย์การควบคุมอย่างแท้จริง ช่างเทคนิค MSP เพียงคนเดียวสามารถผลักดันอัปเดต ตรวจสอบอุปกรณ์ปลายทาง และแก้ไขปัญหาต่างๆ ให้กับองค์กรลูกค้าหลายสิบหรือหลายร้อยแห่งจากแดชบอร์ดเดียว ประสิทธิภาพนั้นคือเหตุผลที่แพลตฟอร์มเหล่านี้กลายเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตี

เมื่อช่องโหว่มอบสิทธิ์การเข้าถึงระดับผู้ดูแลระบบให้กับคอนโซลเอง ขอบเขตความเสียหายจะขยายไปไกลกว่าโครงสร้างพื้นฐานของ N-able เอง ลูกค้าปลายทางทุกราย ซึ่งมักเป็นธุรกิจขนาดเล็กและขนาดกลางที่ไม่มีทีมความปลอดภัยเฉพาะและจ้างบริการด้านไอทีด้วยเหตุผลดังกล่าว จะรับความเสี่ยงนั้นไปด้วย ผู้โจมตีที่บุกรุกแพลตฟอร์ม MSP อาจสามารถขยับเข้าไปยังเครือข่ายของลูกค้า เข้าถึงข้อมูลสำคัญ หรือปล่อย ransomware ในวงกว้างได้ สิ่งนี้สะท้อนรูปแบบที่พบในเหตุการณ์ล่าสุดอื่นๆ ที่จุดล้มเหลวจุดเดียวนำไปสู่การเปิดเผยข้อมูลเป็นวงกว้าง เช่นในกรณี การรั่วไหลของข้อมูลที่มหาวิทยาลัย Tulane ซึ่งช่องโหว่ในแพลตฟอร์มบุคคลที่สามด้านทรัพยากรบุคคลทำให้หมายเลขประกันสังคมและรายละเอียดธนาคารของกลุ่มผู้ใช้จำนวนมากรั่วไหล โดยที่ผู้ใช้เหล่านั้นไม่สามารถควบคุมระบบที่ได้รับผลกระทบได้โดยตรง

ความเสี่ยงด้านความเป็นส่วนตัวในที่นี้มีนัยสำคัญ ข้อมูลลูกค้าที่ไหลผ่านแพลตฟอร์ม RMM อาจรวมถึงไฟล์การตั้งค่า ข้อมูลประจำตัว แผนภาพเครือข่าย และในหลายกรณีอาจรวมถึงข้อมูลส่วนบุคคลหรือข้อมูลทางการเงิน ขึ้นอยู่กับว่าระบบใดที่ MSP จัดการ หากผู้โจมตีเข้าถึงระดับคอนโซลได้ พวกเขาไม่ได้เห็นข้อมูลของบริษัทเดียว แต่พวกเขาอาจมีแผนที่ไปยังหลายๆ แห่ง

รูปแบบการเปิดเผยข้อมูลในวงกว้าง

เหตุการณ์นี้ยังสอดคล้องกับแนวโน้มที่ใหญ่ขึ้นที่โครงสร้างพื้นฐานที่ตั้งค่าไม่ถูกต้องหรือมีช่องโหว่สร้างความเสี่ยงด้านความเป็นส่วนตัวที่สูงเกินสัดส่วน งานวิจัยล่าสุดพบว่าไฟล์หลายพันล้านไฟล์ถูกเปิดเผยผ่าน การตั้งค่าที่ผิดพลาดของที่เก็บข้อมูลบนคลาวด์แบบเปิด ซึ่งเป็นเครื่องเตือนใจว่าขนาดมหึมาของระบบไอทีที่เชื่อมโยงถึงกันหมายความว่าจุดอ่อนเพียงจุดเดียว ไม่ว่าจะเป็นที่เก็บข้อมูลหรือคอนโซลจัดการ ก็สามารถลุกลามกลายเป็นการเปิดเผยข้อมูลครั้งใหญ่ได้ แพลตฟอร์ม MSP เพิ่มความซับซ้อนอีกชั้นหนึ่ง เพราะองค์กรที่รับผิดชอบสูงสุดในการปกป้องข้อมูลลูกค้ามักมองเห็นสถานะความปลอดภัยของเครื่องมือที่ผู้ให้บริการของตนใช้ได้อย่างจำกัด

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณพึ่งพา MSP เพื่อการสนับสนุนด้านไอที นี่คือจังหวะเวลาที่ต้องถามคำถามตรงไปตรงมา ผู้ให้บริการของคุณยืนยันหรือไม่ว่ากำลังใช้งาน N-central เวอร์ชันที่ได้รับการแพตช์แล้ว มีสัญญาณบ่งชี้ใดๆ หรือไม่ว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตในช่วงเวลาก่อนที่จะมีการแก้ไข MSP ควรโปร่งใสกับลูกค้าเกี่ยวกับช่วงเวลาที่อาจมีการเปิดเผยข้อมูล โดยเฉพาะอย่างยิ่งเมื่อช่องโหว่ถูกโจมตีจริงแล้ว ไม่ใช่แค่ถูกค้นพบในห้องปฏิบัติการ

สำหรับผู้ใช้แต่ละคน เรื่องราวนี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าข้อมูลส่วนตัวและข้อมูลทางการเงินของคุณจำนวนมากไม่ได้ถูกปกป้อง (หรือเปิดเผย) โดยบริษัทที่คุณติดต่อด้วยโดยตรงเท่านั้น แต่มันยังผ่านเลเยอร์ของผู้ให้บริการ ผู้รับเหมา และเครื่องมือจัดการที่คุณไม่เคยเห็นมาก่อน การละเมิดที่แพลตฟอร์มการตรวจสอบระยะไกลอาจส่งผลกระทบต่อคุณได้ แม้ว่าคุณจะไม่เคยได้ยินชื่อผู้ให้บริการรายนั้นเลยก็ตาม

ข้อปฏิบัติที่สามารถนำไปทำได้

หากคุณทำงานกับหรือดำเนินกิจการ MSP ให้ความสำคัญกับการแพตช์ทันทีและตรวจสอบว่าอัปเดตร้อนถูกนำไปใช้จริงแล้ว แทนที่จะสันนิษฐานว่าการแจ้งเตือนอัปเดตหมายความว่างานเสร็จสิ้นแล้ว ขอให้ผู้ให้บริการของคุณระบุไทม์ไลน์ที่ชัดเจนว่าช่องโหว่ถูกค้นพบเมื่อใด การโจมตีเริ่มขึ้นเมื่อใด และการแก้ไขเสร็จสมบูรณ์เมื่อใด หากคุณเป็นลูกค้าผู้บริโภคหรือธุรกิจขนาดเล็กของผู้ให้บริการจัดการ ขอการยืนยันเป็นลายลักษณ์อักษรว่าข้อมูลของคุณไม่ได้ถูกเข้าถึงในช่วงเวลาดังกล่าว และในวงกว้างกว่านั้น ให้ถือว่าการแจ้งเตือนใดๆ เกี่ยวกับช่องโหว่ zero-day ในซอฟต์แวร์การจัดการระยะไกลเป็นสัญญาณให้ทบทวนว่าใครสามารถเข้าถึงระบบของคุณด้วยสิทธิ์ผู้ดูแลระบบ และคุณจะเพิกถอนสิทธิ์นั้นได้รวดเร็วเพียงใดหากมีสิ่งผิดปกติเกิดขึ้น การติดตามข่าวสารเกี่ยวกับเหตุการณ์เช่นนี้เป็นหนึ่งในวิธีที่ง่ายที่สุดในการป้องกันไม่ให้ข้อมูลของคุณปรากฏในข่าวหน้าหนึ่งครั้งต่อไป