Bir güvenlik satıcısı kendi barındırılan platformunu çevrimdışına aldığında, buna dikkat etmeye değer. N-able N-central sıfır gün açıkları olan ve yönetilen sistemleri ele geçirilmeye maruz bırakabilecek bir dizi kusurun açıklanmasının ardından olan tam olarak buydu. N-able barındırılan N-central sunucularını çevrimdışına aldı ve müşterilere kendi kurulumlarında da aynısını yapmaları söylendi.
Bu yazı, haberlerden bilinenleri, N-central gibi bir aracın neden bu kadar fazla risk taşıdığını ve küçük işletmelerin ve yönetilen hizmet sağlayıcı (MSP) müşterilerinin şu anda neler yapabileceğini ele alıyor.
33 N-central kusurunun anlamı
N-central, N-able'ın uzaktan izleme ve yönetim (RMM) platformudur. MSP'ler, destekledikleri işletmelerin bilgisayarlarını ve sunucularını izlemek, güncellemek ve yönetmek için bunun gibi araçlar kullanır. Rapora göre, yeni açıklanan 33 güvenlik açığı yönetilen sistemlerin ele geçirilmesine olanak tanıyabilir.
Burada "sıfır gün" terimi önemlidir. Bu, kusurların düzeltmeler yaygın olarak mevcut olmadan önce açıklandığı anlamına gelir, bu nedenle savunucuların hazırlanmak için çok az zamanı veya hiç zamanı yoktu. N-able'ın yanıtının bir yama döngüsünü beklemek yerine barındırılan sunucuları çevrimdışına almak olmasının ve kendi örneklerini çalıştıran müşterilere de aynısını yapmalarının tavsiye edilmesinin nedeni budur.
Kaynak makale kısa, bu nedenle incelediğimiz haberde bazı ayrıntılar doğrulanmamış olarak kalıyor; bunlar arasında her kusurun nasıl işlediği ve herhangi birinin gerçek dünyada istismar edilip edilmediği yer alıyor. Her iki nokta hakkında da spekülasyon yapmayacağız. Okuyucular, durum geliştikçe satıcının kendi bildirimlerini yetkili kaynak olarak kabul etmelidir.
Bir RMM ihlalinin neden birçok işletmeye yayıldığı
Bir RMM platformu, yönettiği makinelere derin ve güvenilir erişime sahip olacak şekilde tasarlanmıştır. Betikler çalıştırabilir, yazılım gönderebilir ve aynı anda birçok cihazda ayarları değiştirebilir. Bu tam olarak onu bir MSP için kullanışlı kılan şeydir ve tam olarak onu bir saldırgan için çekici kılan şeydir.
Risk yoğunlaşmadan kaynaklanır:
- Tek konsol, birçok müşteri. Bir MSP, tek bir platformdan düzinelerce veya yüzlerce müşteri kuruluşunu yönetebilir. Bu platformun kontrolü, hepsine erişim anlamına gelebilir.
- Tasarım gereği ayrıcalıklı. RMM aracıları tipik olarak uç noktalarda yüksek ayrıcalıklarla çalışır, bu nedenle sunucuyu kontrol eden bir saldırgan bu güveni devralır.
- Son müşteri için görünmez. BT'yi dışarıdan temin eden küçük bir işletme, genellikle sağlayıcısının kullandığı araçlara veya bu araçların yamalanıp yamalanmadığına dair doğrudan bir görüşe sahip değildir.
N-central açıklamasının temel dersi budur. Zayıf nokta hiç de kendi ağınız olmayabilir. Bir adım yukarıda duran ve başka biri tarafından yönetilen bir yönetim aracı olabilir.
N-able ve müşterilerinin şu ana kadar yaptıkları
Habere göre, N-able açıklamaya yanıt olarak barındırılan N-central sunucularını çevrimdışına aldı. Müşterilere de aynısını yapmaları söylendi; bu da muhtemelen durum çözülene kadar kendi N-central örneklerini çevrimdışına almaları anlamına geliyor.
Temel bir yönetim platformunu çevrimdışına almak yıkıcı bir adımdır. MSP'ler için bu, bir süre boyunca müşteri sistemlerini izleme ve yamalama yeteneğini kaybetmek anlamına gelebilir. Müşterileri için bu, daha yavaş destek yanıtları anlamına gelebilir. Bu ödünleşim, satıcının riski ne kadar ciddiye aldığının bir işaretidir: geçici bir görünürlük kaybı, savunmasız bir platformu açıkta bırakmaya tercih edildi.
Düzeltmeler veya hizmetin yeniden başlatılması için zaman çizelgeleri gibi ayrıntılar, üzerinde çalıştığımız kaynakta detaylandırılmamıştı, bu nedenle güncel durum için N-able'ın resmi bildirimlerine bakın.
Bu Sizin İçin Ne Anlama Geliyor
Bunun sizi nasıl etkilediği, nerede bulunduğunuza bağlıdır.
N-central'ı kendiniz çalıştırıyorsanız veya bir MSP'de çalışıyorsanız: satıcı rehberliğini acil olarak değerlendirin. N-able'ın örnekleri çevrimdışına alma talimatlarını izleyin ve önerilen düzeltmelerin uygulandığını doğrulamadan bunları tekrar çevrimiçine almayın.
Bir MSP kullanan bir işletmeyseniz: N-central'a hiç giriş yapmamış olabilirsiniz, ancak sağlayıcınızın araçları sahip olduğunuz her cihaza dokunabilir. Sağlayıcınıza N-central kullanıp kullanmadıklarını, N-able'ın rehberliğini izleyip izlemediklerini ve sistemlerinizin etkilenip etkilenmediğini size nasıl bildireceklerini sorun.
Bir birey veya ev kullanıcısıysanız: bunun sizi doğrudan etkilemesi olası değildir, ancak işvereninizin veya BT sağlayıcınızın kullandığı yazılımın da riskinizin bir parçası olabileceğine dair faydalı bir hatırlatmadır.
Etkilenen kullanıcılar için kontrol listesi: yamalama, erişim incelemesi, yönetici izleme
Kuruluşunuz N-central'ı doğrudan veya bir sağlayıcı aracılığıyla kullanıyorsa, şu adımları izleyin:
- Yama durumunu doğrulayın. Açıklanan kusurları kapsayan düzeltmeler için N-able'ın resmi bildirimlerini kontrol edin ve hizmeti geri yüklemeden önce bunların uygulandığını doğrulayın.
- Çevrimdışı rehberliğini izleyin. Örneğinizi çevrimdışına almanız söylendiyse, satıcı devam etmenin güvenli olduğunu söyleyene kadar çevrimdışı tutun.
- Yönetici erişimini gözden geçirin. RMM platformunuzda yönetici haklarına sahip her hesabı listeleyin. Kullanılmayan, paylaşılan veya tanıdık olmayan hesapları kaldırın.
- Kimlik bilgilerini değiştirin. Yönetici parolalarını ve platformda saklanan veya platforma bağlı olan tüm API anahtarlarını veya sırları değiştirin ve çok faktörlü kimlik doğrulamayı zorunlu kılın.
- Yönetici etkinliğini izleyin. Beklenmeyen oturum açma işlemleri, yeni hesaplar, yeni betikler veya zamanlanmış görevler ve uç noktalara yetkilendirmediğiniz yazılımların gönderilmesi için günlükleri inceleyin.
- MSP'nize doğrudan sorular sorun. Maruz kalma durumları, ne yaptıkları ve herhangi bir bulguyu size nasıl bildirecekleri hakkında yazılı bir güncelleme isteyin.
- Maruziyeti sınırlayın. Mümkün olduğunda, yönetim konsollarına erişimi kısıtlayın, böylece açık internetten erişilebilir olmasınlar.
Çıkarımlar
N-able N-central sıfır gün güvenlik açıkları, tedarik zinciri riskinin açık bir örneğidir: kusurlu tek bir yönetim aracı, birçok kuruluşu aynı anda aynı konuma getirebilir. Satıcının çevrimdışına gitme kararı, bu maruziyetin ne kadar ciddi olabileceğini gösteriyor.
Pratik sonraki adım basittir. Yama durumunu doğrulayın, kimin yönetici erişimine sahip olduğunu gözden geçirin ve yönetici etkinliğini yakından izleyin. Bir MSP'ye güveniyorsanız, size söylenmesini beklemek yerine bugün onlara N-central'ı sorun. En güncel ve en doğru ayrıntılar için N-able'ın resmi güvenlik bildirimlerine ve sağlayıcınızın iletişimlerine güvenin, çünkü bu tür olaylara ilişkin rehberlik hızla değişebilir.
