เมื่อผู้จำหน่ายด้านความปลอดภัยนำแพลตฟอร์มที่โฮสต์ด้วยตนเองออฟไลน์ ถือเป็นเรื่องที่ควรให้ความสนใจ นั่นคือสิ่งที่เกิดขึ้นหลังการเปิดเผย ช่องโหว่ zero-day 33 รายการใน N-able N-central ซึ่งเป็นชุดข้อบกพร่องที่อาจทำให้ระบบที่ถูกจัดการตกอยู่ในความเสี่ยงที่จะถูกยึดครอง N-able ได้นำเซิร์ฟเวอร์ N-central ที่โฮสต์ของตนออฟไลน์ และลูกค้าได้รับแจ้งให้ทำเช่นเดียวกันกับการติดตั้งของตนเอง

บทความนี้ครอบคลุมสิ่งที่ทราบจากการรายงาน เหตุใดเครื่องมืออย่าง N-central จึงมีความเสี่ยงสูง และธุรกิจขนาดเล็กและลูกค้าของผู้ให้บริการจัดการ (MSP) สามารถทำอะไรได้บ้างในตอนนี้

ช่องโหว่ 33 รายการใน N-central หมายความว่าอย่างไร

N-central เป็นแพลตฟอร์มการตรวจสอบและจัดการระยะไกล (RMM) ของ N-able MSP ใช้เครื่องมือลักษณะนี้เพื่อตรวจสอบ อัปเดต และบริหารจัดการคอมพิวเตอร์และเซิร์ฟเวอร์ของธุรกิจที่พวกเขาให้การสนับสนุน ตามรายงาน ช่องโหว่ที่เปิดเผยใหม่ 33 รายการอาจทำให้ระบบที่ถูกจัดการถูกยึดครองได้

คำว่า "zero-day" มีความสำคัญในที่นี้ หมายความว่าช่องโหว่ถูกเปิดเผยก่อนที่จะมีการเผยแพร่การแก้ไขอย่างกว้างขวาง ผู้ป้องกันจึงมีเวลาเตรียมตัวน้อยหรือไม่มีเลย นั่นคือเหตุผลที่การตอบสนองของ N-able คือการนำเซิร์ฟเวอร์ที่โฮสต์ออฟไลน์แทนที่จะรอรอบการแพตช์ และเหตุผลที่ลูกค้าที่ใช้งานอินสแตนซ์ของตนเองได้รับคำแนะนำให้ทำตาม

บทความต้นฉบับนั้นสั้น ดังนั้นรายละเอียดบางส่วนยังไม่ได้รับการยืนยันในการรายงานที่เราตรวจสอบ รวมถึงวิธีการทำงานของแต่ละช่องโหว่ และมีช่องโหว่ใดถูกใช้ประโยชน์ในสภาพแวดล้อมจริงหรือไม่ เราจะไม่คาดเดาในประเด็นใดประเด็นหนึ่งเหล่านี้ ผู้อ่านควรถือคำแนะนำอย่างเป็นทางการของผู้จำหน่ายเป็นแหล่งข้อมูลที่เชื่อถือได้เมื่อสถานการณ์พัฒนาขึ้น

ทำไมการถูกโจมตี RMM เพียงครั้งเดียวจึงลุกลามไปยังธุรกิจจำนวนมาก

แพลตฟอร์ม RMM ถูกออกแบบมาให้มีการเข้าถึงที่ลึกและเชื่อถือได้ไปยังเครื่องที่มันจัดการ มันสามารถรันสคริปต์ ผลักซอฟต์แวร์ และเปลี่ยนการตั้งค่าข้ามอุปกรณ์หลายเครื่องพร้อมกัน นั่นคือสิ่งที่ทำให้มันมีประโยชน์ต่อ MSP และนั่นก็คือสิ่งที่ทำให้มันน่าสนใจสำหรับผู้โจมตี

ความเสี่ยงมาจากการรวมศูนย์:

  • คอนโซลเดียว ลูกค้าหลายราย MSP อาจจัดการองค์กรลูกค้าหลายสิบหรือหลายร้อยแห่งจากแพลตฟอร์มเดียว การควบคุมแพลตฟอร์มนั้นอาจหมายถึงการเข้าถึงทั้งหมดนั้น
  • มีสิทธิ์พิเศษโดยการออกแบบ โดยทั่วไปแล้วเอเจนต์ RMM ทำงานด้วยสิทธิ์สูงบนอุปกรณ์ปลายทาง ผู้โจมตีที่ควบคุมเซิร์ฟเวอร์จึงได้สืบทอดความไว้วางใจนั้นไปด้วย
  • มองไม่เห็นจากลูกค้าปลายทาง ธุรกิจขนาดเล็กที่จ้าง IT จากภายนอกมักไม่มีมุมมองโดยตรงต่อเครื่องมือที่ผู้ให้บริการใช้ หรือต่อว่าเครื่องมือเหล่านั้นได้รับการแพตช์หรือไม่

นี่คือบทเรียนหลักจากการเปิดเผยของ N-central จุดอ่อนอาจไม่ใช่เครือข่ายของคุณเองเลย มันอาจเป็นเครื่องมือการจัดการที่อยู่ขั้นต้นหนึ่งขึ้นไป ซึ่งดำเนินการโดยผู้อื่น

สิ่งที่ N-able และลูกค้าของตนได้ดำเนินการจนถึงขณะนี้

จากรายงาน N-able ได้นำเซิร์ฟเวอร์ N-central ที่โฮสต์ของตนออฟไลน์เพื่อตอบสนองต่อการเปิดเผย ลูกค้าได้รับแจ้งให้ทำตาม ซึ่งสันนิษฐานได้ว่าหมายถึงการนำอินสแตนซ์ N-central ของตนเองออฟไลน์จนกว่าสถานการณ์จะคลี่คลาย

การนำแพลตฟอร์มการจัดการหลักออฟไลน์เป็นขั้นตอนที่สร้างความปั่นป่วน สำหรับ MSP อาจหมายถึงการสูญเสียความสามารถในการตรวจสอบและแพตช์ระบบของลูกค้าในช่วงระยะเวลาหนึ่ง สำหรับลูกค้าของพวกเขา อาจหมายถึงการตอบสนองการสนับสนุนที่ช้าลง การแลกเปลี่ยนนี้เป็นสัญญาณว่าผู้จำหน่ายมองความเสี่ยงนี้รุนแรงเพียงใด การสูญเสียการมองเห็นชั่วคราวถูกตัดสินว่าดีกว่าการปล่อยให้แพลตฟอร์มที่มีช่องโหว่เปิดเผยอยู่

รายละเอียด เช่น กรอบเวลาสำหรับการแก้ไขหรือการกลับมาให้บริการ ไม่ได้ระบุไว้ในแหล่งข้อมูลที่เราใช้ทำงาน ดังนั้นโปรดตรวจสอบคำแนะนำอย่างเป็นทางการของ N-able สำหรับสถานะปัจจุบัน

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

ว่าสิ่งนี้ส่งผลกระทบต่อคุณอย่างไรนั้นขึ้นอยู่กับว่าคุณอยู่ตรงจุดใด

หากคุณใช้งาน N-central ด้วยตนเองหรือทำงานที่ MSP: ควรปฏิบัติตามคำแนะนำของผู้จำหน่ายอย่างเร่งด่วน ปฏิบัติตามคำแนะนำของ N-able ในการนำอินสแตนซ์ออฟไลน์ และอย่านำกลับมาใช้งานจนกว่าคุณจะยืนยันได้ว่ามีการติดตั้งการแก้ไขที่แนะนำแล้ว

หากคุณเป็นธุรกิจที่ใช้ MSP: คุณอาจไม่เคยเข้าสู่ระบบ N-central เลย แต่เครื่องมือของผู้ให้บริการของคุณอาจสัมผัสทุกอุปกรณ์ที่คุณมี ถามผู้ให้บริการของคุณว่าพวกเขาใช้ N-central หรือไม่ พวกเขาปฏิบัติตามคำแนะนำของ N-able หรือไม่ และพวกเขาจะแจ้งให้คุณทราบอย่างไรหากระบบของคุณได้รับผลกระทบ

หากคุณเป็นบุคคลทั่วไปหรือผู้ใช้ในบ้าน: สิ่งนี้ไม่น่าจะส่งผลกระทบต่อคุณโดยตรง แต่เป็นเครื่องเตือนใจที่มีประโยชน์ว่าซอฟต์แวร์ที่นายจ้างหรือผู้ให้บริการ IT ของคุณใช้อาจเป็นส่วนหนึ่งของความเสี่ยงของคุณเช่นกัน

รายการตรวจสอบสำหรับผู้ใช้ที่ได้รับผลกระทบ: การแพตช์ การทบทวนการเข้าถึง การตรวจสอบผู้ดูแลระบบ

หากองค์กรของคุณใช้ N-central ไม่ว่าจะโดยตรงหรือผ่านผู้ให้บริการ ให้ดำเนินการตามขั้นตอนเหล่านี้:

  1. ยืนยันสถานะการแพตช์ ตรวจสอบคำแนะนำอย่างเป็นทางการของ N-able สำหรับการแก้ไขที่ครอบคลุมช่องโหว่ที่เปิดเผย และยืนยันว่าได้ติดตั้งแล้วก่อนกลับมาให้บริการ
  2. ปฏิบัติตามคำแนะนำในการออฟไลน์ หากคุณได้รับแจ้งให้นำอินสแตนซ์ของคุณออฟไลน์ ให้คงออฟไลน์ไว้จนกว่าผู้จำหน่ายจะแจ้งว่าปลอดภัยที่จะดำเนินการต่อ
  3. ทบทวนการเข้าถึงของผู้ดูแลระบบ ระบุทุกบัญชีที่มีสิทธิ์ผู้ดูแลระบบในแพลตฟอร์ม RMM ของคุณ ลบบัญชีที่ไม่ได้ใช้ ใช้ร่วมกัน หรือไม่คุ้นเคย
  4. หมุนเวียนข้อมูลรับรอง เปลี่ยนรหัสผ่านผู้ดูแลระบบและคีย์ API หรือข้อมูลลับใดๆ ที่จัดเก็บไว้ในหรือเชื่อมต่อกับแพลตฟอร์ม และบังคับใช้การรับรองความถูกต้องหลายปัจจัย
  5. ตรวจสอบกิจกรรมของผู้ดูแลระบบ ตรวจสอบบันทึกสำหรับการเข้าสู่ระบบที่ไม่คาดคิด บัญชีใหม่ สคริปต์หรืองานที่กำหนดเวลาใหม่ และซอฟต์แวร์ที่ถูกผลักไปยังอุปกรณ์ปลายทางที่คุณไม่ได้อนุญาต
  6. ถามคำถาม MSP ของคุณโดยตรง ขอรายงานเป็นลายลักษณ์อักษรเกี่ยวกับการเปิดเผยความเสี่ยงของพวกเขา สิ่งที่พวกเขาดำเนินการ และวิธีที่พวกเขาจะแจ้งให้คุณทราบถึงสิ่งที่พบ
  7. จำกัดการเปิดเผย เท่าที่ทำได้ จำกัดการเข้าถึงคอนโซลการจัดการเพื่อไม่ให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ

ประเด็นสำคัญ

ช่องโหว่ zero-day ใน N-able N-central เป็นตัวอย่างที่ชัดเจนของความเสี่ยงในห่วงโซ่อุปทาน: เครื่องมือการจัดการที่มีข้อบกพร่องเพียงตัวเดียวสามารถทำให้หลายองค์กรตกอยู่ในสถานการณ์เดียวกันได้ในคราวเดียว การตัดสินใจของผู้จำหน่ายที่จะออฟไลน์แสดงให้เห็นว่าการเปิดเผยความเสี่ยงนั้นรุนแรงเพียงใด

ขั้นตอนถัดไปในทางปฏิบัติเองก็ง่าย ตรวจสอบสถานะการแพตช์ ทบทวนว่าใครมีสิทธิ์ผู้ดูแลระบบ และเฝ้าติดตามกิจกรรมของผู้ดูแลระบบอย่างใกล้ชิด หากคุณพึ่งพา MSP ให้ถามพวกเขาเกี่ยวกับ N-central วันนี้แทนที่จะรอให้บอก สำหรับรายละเอียดล่าสุดและแม่นยำที่สุด ให้พึ่งพาคำแนะนำด้านความปลอดภัยอย่างเป็นทางการของ N-able และการสื่อสารจากผู้ให้บริการของคุณ เนื่องจากคำแนะนำเกี่ยวกับเหตุการณ์เช่นนี้อาจเปลี่ยนแปลงได้อย่างรวดเร็ว