SecurityWeek'in bir raporuna göre ConnectWise, bir siber saldırıya yanıt olarak bazı bulut hizmetlerini askıya aldı. ConnectWise siber saldırısı ve bulut hizmetlerinin askıya alınması kararı, tek bir şirketin çok ötesinde önem taşıyor; çünkü ConnectWise araçları, yönetilen hizmet sağlayıcıları (MSP'ler) ve onların desteklediği küçük işletmeler tarafından yaygın olarak kullanılıyor.

Bu yazı kasıtlı olarak temkinli. Elimizdeki kaynak materyal, manşet gerçeğini doğruluyor: ConnectWise bir saldırının ardından bulut hizmetlerini askıya aldı. Ancak nedeni, kapsamı veya hangi müşterilerin etkilendiğini açıkça belirtmiyor. Bu ayrıntılar hakkında tahmin yürütmeyeceğiz. Bunun yerine, durumun pratik anlamda ne ifade ettiğini ve BT'nizi yöneten kişilerden nasıl yanıt alabileceğinizi ele alıyoruz.

ConnectWise'ın şu ana kadar doğruladıkları

Raporun özü basit: ConnectWise, bir siber saldırıya yanıt olarak bulut hizmetlerini çevrimdışına aldı. Bir hizmeti askıya almak genellikle bir kontrol adımıdır; soruşturma sürerken daha fazla yetkisiz erişimi durdurmanın bir yoludur. Bu, tek başına kaç müşterinin etkilendiğinin veya herhangi bir verinin alınıp alınmadığının kanıtı değildir.

İncelediğimiz makale metni, manşetin ötesinde çok az şey içeriyordu, bu nedenle birkaç soru açık kalıyor:

  • Hangi belirli bulut hizmetlerinin askıya alındığı ve ne kadar süreyle
  • Saldırganların sisteme nasıl girdiği
  • Müşteri verilerine veya müşteri ortamlarına erişilip erişilmediği
  • Hizmetlerin ne zaman geri dönmesinin beklendiği

ConnectWise hakkındaki diğer bazı arama sonuçları, ele geçirilmiş bir Cloud Backup kimlik bilgisi ve Microsoft 365 kiracılarını içeren bir tanesi de dahil olmak üzere ayrı olayları tanımlıyor. Bu raporların aynı olayı tanımladığını doğrulayamayız, bu nedenle onları yerleşik gerçek yerine bağlam olarak değerlendirin. Güvenilir hamle, ConnectWise'ın kendi bildirimlerini beklemek ve sağlayıcınıza sizin için neyin geçerli olduğunu sormaktır.

Bir tedarikçi kesintisi neden sıradan müşterilere ulaşır

Çoğu küçük işletme ConnectWise'dan doğrudan satın almaz. Bir MSP tutarlar ve MSP, cihazları izlemek, güncellemeleri göndermek, uzaktan destek sağlamak ve yedeklemeleri yönetmek için ConnectWise gibi platformları kullanır. Bu bir zincir oluşturur: tedarikçi, MSP ve MSP'nin birçok müşterisi.

Bu zincirin ortasındaki bir tedarikçiye saldırıldığında, aynı anda iki şey olabilir:

  1. Operasyonel kesinti. Bulut hizmetleri askıya alınırsa, MSP'niz sizi desteklemek için kullandığı araçların bazılarını kaybedebilir. Bilet işleme, uzaktan erişim veya yedekleme işleri gecikebilir.
  2. Güvenlik maruziyeti. Uzaktan yönetim araçları, birçok müşteri sistemine güçlü erişim sağlar. Bir saldırgan tedarikçinin ortamına ulaşırsa, endişe bu erişimin alt akışa yönlendirilip yönlendirilemeyeceğidir.

Bu nedenle, tek bir ele geçirilmiş uzaktan yönetim tedarikçisi bu kadar çok kuruluşu riske atabilir. Tek bir izinsiz giriş, saldırganı hiç görmemiş yüzlerce işletmeyi etkileyebilir. Bu aynı zamanda daha geniş bir örüntüye de uyuyor: fidye yazılımı çetelerinin KOBİ ağlarına yönelik alan baskılamasına kayması hakkındaki haberimiz, genellikle paylaşılan araçlar ve sağlayıcılar aracılığıyla ulaşılan daha küçük kuruluşların neden cazip hedefler olduğunu açıklıyor.

Sağlayıcılarınızın etkilenip etkilenmediğini nasıl kontrol edersiniz

İşletmenizin ConnectWise zincirinde olup olmadığını hiç bilmiyor olabilirsiniz. Birkaç adım öğrenmenize yardımcı olur:

  • MSP'nize doğrudan sorun. ConnectWise ürünlerini kullanıp kullanmadıklarını ve kullanıyorlarsa hangilerini (uzaktan destek, yedekleme, otomasyon veya diğerleri) sorun.
  • Tedarikçi iletişimlerini kontrol edin. Gelen kutunuzda, spam klasörünüz de dahil olmak üzere, ConnectWise veya MSP'nizden gelen bildirimleri arayın. Olayla ilgili beklenmedik mesajlara dikkat edin, çünkü saldırganlar genellikle ihlal haberlerini kimlik avı için kullanır.
  • Kendi hesaplarınızı gözden geçirin. E-posta ve bulut üretkenlik hesaplarınız için oturum açma kayıtlarında tanıdık olmayan konumlar, yeni cihazlar veya beklenmedik izin verimleri olup olmadığına bakın.
  • Hizmet durumunu gözden geçirin. Hizmetlerin restorasyonunu takip etmek için e-postalardaki bağlantıları değil, resmi durum sayfalarını kullanın.

Tuhaf bir şey bulursanız, derhal sağlayıcınıza bildirin ve ne gördüğünüzün ve ne zaman gördüğünüzün kaydını tutun.

Şimdi MSP'nize veya yazılım tedarikçinize neler sormalısınız

Bu, daha önce sormamış olabileceğiniz soruları sormak için iyi bir an. Makul olanlar şunları içerir:

  • Sistemlerimizden, hesaplarımızdan veya yedeklerimizden herhangi biri etkilenen hizmetlere bağlı mıydı?
  • Tedarikçi size müşteri verilerinin veya kimlik bilgilerinin açığa çıktığını söyledi mi?
  • Parolaları, API anahtarlarını veya erişim belirteçlerini değiştirmeniz gerekiyor mu ve bunu bizim ortamımız için yaptınız mı?
  • Uzaktan araçlarınız kullanılamıyorsa yedek planımız ne?
  • Verilerimiz üzerinde bir etki öğrenirseniz bize nasıl ve ne zaman bildireceksiniz?

İyi bir sağlayıcı açıkça yanıt verebilmeli veya tedarikçinin bulgularını hâlâ beklediklerini dürüstçe söyleyebilmelidir. McKesson'un haraç taleplerinin ardından bir ihlali doğrulaması örneğinde gördüğümüz gibi, olayları açıkça doğrulayan şirketler müşterilere üzerinde harekete geçebilecekleri somut bir şey verir. Sessizlik, daha fazla baskı yapılması gerektiğinin işaretidir.

Bu Sizin İçin Ne Anlama Geliyor

Küçük bir işletme yönetiyorsanız veya bir MSP'ye güveniyorsanız, ana ders güvenliğinizin kısmen hiç seçmemiş olabileceğiniz tedarikçilere bağlı olduğudur. Bir tedarikçinin bulutunu yamalayamazsınız, ancak ele geçirilirse hasarı sınırlayabilirsiniz.

  • Sağlayıcınızın eriştiği her hesapta benzersiz parolalar ve çok faktörlü kimlik doğrulama kullanın.
  • Ana yönetim araçlarınızdan ayrı en az bir yedek tutun.
  • Sağlayıcınızın araçları çevrimdışı olursa kimi ve nasıl arayacağınızı bilin.
  • Saldırganların herhangi bir açıklamadan sonra hızla hareket etmesini bekleyin. Sysdig'in otonom bir yapay zeka fidye yazılımı saldırısına ilişkin belgeleri gibi araştırmalar, erişim sağlandıktan sonra izinsiz girişlerin ne kadar hızlı ilerleyebileceğini gösteriyor.

Bireysel bir tüketiciyseniz, maruziyetiniz çoğunlukla verilerinizi tutan bir işletme aracılığıyla dolaylıdır. İhlal bildirimlerini izleyin ve olaydan bahseden beklenmedik mesajlara karşı şüpheci olun.

Uygulanabilir çıkarımlar

  • Bu hafta BT sağlayıcınızla iletişime geçin ve ConnectWise hizmetlerinin kurulumunuzun bir parçası olup olmadığını sorun.
  • Neyin etkilendiğini, neyi değiştirdiklerini ve herhangi bir kimlik bilgisini sıfırlamanız gerekip gerekmediğini sorun.
  • Önemli iş hesaplarınızdaki oturum açma etkinliğini gözden geçirin.
  • Basit bir tedarikçi ihlali planı yazın: kimi arayacağınız, neyi bağlantıdan keseceğiniz ve bir veya iki gün uzaktan araçlar olmadan nasıl çalışacağınız.
  • Üçüncü taraf söylentiler yerine resmi ConnectWise ve MSP güncellemelerini takip edin.

ConnectWise siber saldırısı ve bulut hizmetlerinin askıya alınması hâlâ gelişiyor ve ayrıntılar değişebilir. Şimdi doğru soruları sormak, soruşturma ne bulursa bulsun sizi daha güçlü bir konuma getirir. Daha küçük kuruluşların neden sürekli saldırganların hedefi haline geldiğine dair daha fazla bağlam için KOBİ ağlarını hedefleyen fidye yazılımı çeteleri hakkındaki yazımızı okuyun, ardından bugün BT sağlayıcınıza ulaşın.