Khi một nhà cung cấp bảo mật tự đưa nền tảng được lưu trữ của chính mình ngừng hoạt động, điều đó đáng để chúng ta chú ý. Đó là những gì đã xảy ra sau khi công bố 33 lỗ hổng zero-day trong N-able N-central, một loạt lỗ hổng có thể khiến các hệ thống được quản lý bị chiếm quyền kiểm soát. N-able đã đưa các máy chủ N-central được lưu trữ của mình ngừng hoạt động, và khách hàng được yêu cầu làm điều tương tự với các triển khai của riêng họ.
Bài viết này đề cập đến những gì đã biết từ các báo cáo, lý do tại sao một công cụ như N-central lại mang nhiều rủi ro đến vậy, và những gì các doanh nghiệp nhỏ và khách hàng của nhà cung cấp dịch vụ được quản lý (MSP) có thể làm ngay bây giờ.
33 lỗ hổng của N-central có ý nghĩa gì
N-central là nền tảng giám sát và quản lý từ xa (RMM) của N-able. Các MSP sử dụng những công cụ như nó để giám sát, cập nhật và quản trị máy tính và máy chủ của các doanh nghiệp mà họ hỗ trợ. Theo báo cáo, 33 lỗ hổng mới được công bố có thể cho phép các hệ thống được quản lý bị chiếm quyền kiểm soát.
Thuật ngữ "zero-day" rất quan trọng ở đây. Nó có nghĩa là các lỗ hổng được công bố trước khi các bản vá được phổ biến rộng rãi, vì vậy những người phòng thủ có rất ít hoặc không có thời gian để chuẩn bị. Đó là lý do tại sao phản ứng của N-able là đưa các máy chủ được lưu trữ ngừng hoạt động thay vì chờ một chu kỳ vá, và tại sao khách hàng đang vận hành các phiên bản của riêng họ được khuyến nghị làm theo.
Bài viết nguồn khá ngắn gọn, vì vậy một số chi tiết vẫn chưa được xác nhận trong các báo cáo mà chúng tôi đã xem xét, bao gồm cách thức hoạt động của từng lỗ hổng và liệu có lỗ hổng nào đã bị khai thác trong thực tế hay chưa. Chúng tôi sẽ không suy đoán về cả hai điểm này. Độc giả nên coi các khuyến cáo của chính nhà cung cấp là nguồn có thẩm quyền khi tình hình phát triển.
Tại sao một vụ xâm phạm RMM lại lan sang nhiều doanh nghiệp
Một nền tảng RMM được thiết kế để có quyền truy cập sâu, đáng tin cậy vào các máy mà nó quản lý. Nó có thể chạy các script, đẩy phần mềm và thay đổi cài đặt trên nhiều thiết bị cùng một lúc. Đó chính xác là điều khiến nó hữu ích đối với một MSP, và cũng chính xác là điều khiến nó hấp dẫn đối với kẻ tấn công.
Rủi ro đến từ sự tập trung:
- Một bảng điều khiển, nhiều khách hàng. Một MSP có thể quản lý hàng chục hoặc hàng trăm tổ chức khách hàng từ một nền tảng duy nhất. Kiểm soát nền tảng đó có thể đồng nghĩa với việc tiếp cận được tất cả chúng.
- Đặc quyền theo thiết kế. Các tác nhân RMM thường chạy với đặc quyền cao trên các thiết bị đầu cuối, vì vậy kẻ tấn công kiểm soát được máy chủ sẽ thừa hưởng sự tin cậy đó.
- Vô hình đối với khách hàng cuối. Một doanh nghiệp nhỏ thuê ngoài IT thường không có góc nhìn trực tiếp vào các công cụ mà nhà cung cấp của họ sử dụng, hoặc vào việc liệu các công cụ đó có được vá hay không.
Đây là bài học cốt lõi từ việc công bố N-central. Điểm yếu có thể hoàn toàn không nằm ở mạng của chính bạn. Nó có thể là một công cụ quản lý nằm ở một bước phía trước, được vận hành bởi người khác.
Những gì N-able và khách hàng của họ đã làm cho đến nay
Dựa trên báo cáo, N-able đã đưa các máy chủ N-central được lưu trữ của mình ngừng hoạt động để phản ứng với việc công bố. Khách hàng được yêu cầu làm theo, điều này có lẽ có nghĩa là đưa các phiên bản N-central của riêng họ ngừng hoạt động cho đến khi tình hình được giải quyết.
Việc đưa một nền tảng quản lý cốt lõi ngừng hoạt động là một bước gây gián đoạn. Đối với các MSP, nó có thể có nghĩa là mất khả năng giám sát và vá các hệ thống của khách hàng trong một khoảng thời gian. Đối với khách hàng của họ, nó có thể có nghĩa là phản hồi hỗ trợ chậm hơn. Sự đánh đổi đó là một dấu hiệu cho thấy nhà cung cấp xem trọng rủi ro này đến mức nào: mất khả năng quan sát tạm thời được đánh giá là tốt hơn so với việc để một nền tảng dễ bị tổn thương bị phơi bày.
Các chi tiết cụ thể như thời gian biểu cho các bản vá hoặc khôi phục không được nêu chi tiết trong nguồn mà chúng tôi dựa vào, vì vậy hãy kiểm tra các khuyến cáo chính thức của N-able để biết tình trạng hiện tại.
Điều này có ý nghĩa gì đối với bạn
Cách điều này ảnh hưởng đến bạn phụ thuộc vào vị trí của bạn.
Nếu bạn tự vận hành N-central hoặc làm việc tại một MSP: hãy coi hướng dẫn của nhà cung cấp là khẩn cấp. Tuân theo hướng dẫn của N-able về việc đưa các phiên bản ngừng hoạt động, và không đưa chúng hoạt động trở lại cho đến khi bạn đã xác nhận rằng các bản vá được khuyến nghị đã được áp dụng.
Nếu bạn là một doanh nghiệp sử dụng MSP: bạn có thể không bao giờ đăng nhập vào N-central, nhưng công cụ của nhà cung cấp của bạn có thể chạm đến mọi thiết bị bạn sở hữu. Hãy hỏi nhà cung cấp của bạn xem họ có sử dụng N-central không, liệu họ đã tuân theo hướng dẫn của N-able chưa, và họ sẽ thông báo cho bạn như thế nào nếu hệ thống của bạn bị ảnh hưởng.
Nếu bạn là một cá nhân hoặc người dùng gia đình: điều này khó có thể ảnh hưởng trực tiếp đến bạn, nhưng đây là một lời nhắc hữu ích rằng phần mềm mà chủ lao động hoặc nhà cung cấp IT của bạn sử dụng cũng có thể là một phần rủi ro của bạn.
Danh sách kiểm tra cho người dùng bị ảnh hưởng: vá lỗi, xem xét quyền truy cập, giám sát quản trị viên
Nếu tổ chức của bạn sử dụng N-central, trực tiếp hoặc thông qua một nhà cung cấp, hãy thực hiện các bước sau:
- Xác nhận tình trạng vá. Kiểm tra các khuyến cáo chính thức của N-able về các bản vá bao phủ các lỗ hổng đã công bố và xác minh chúng đã được áp dụng trước khi khôi phục dịch vụ.
- Tuân theo hướng dẫn ngừng hoạt động. Nếu bạn được yêu cầu đưa phiên bản của mình ngừng hoạt động, hãy giữ nó ngừng hoạt động cho đến khi nhà cung cấp nói rằng an toàn để tiếp tục.
- Xem xét quyền truy cập của quản trị viên. Liệt kê mọi tài khoản có quyền quản trị trong nền tảng RMM của bạn. Xóa các tài khoản không được sử dụng, được chia sẻ hoặc không quen thuộc.
- Xoay vòng thông tin xác thực. Thay đổi mật khẩu quản trị viên và bất kỳ khóa API hoặc thông tin bí mật nào được lưu trữ trong hoặc kết nối với nền tảng, và thực thi xác thực đa yếu tố.
- Giám sát hoạt động của quản trị viên. Xem lại nhật ký để tìm các lần đăng nhập bất thường, tài khoản mới, script hoặc tác vụ theo lịch mới, và phần mềm được đẩy đến các thiết bị đầu cuối mà bạn không ủy quyền.
- Đặt câu hỏi trực tiếp cho MSP của bạn. Yêu cầu một bản cập nhật bằng văn bản về mức độ phơi nhiễm của họ, những gì họ đã làm, và cách họ sẽ thông báo cho bạn về bất kỳ phát hiện nào.
- Hạn chế phơi nhiễm. Ở những nơi có thể, hạn chế quyền truy cập vào các bảng điều khiển quản lý để chúng không thể truy cập được từ internet công cộng.
Những điểm chính
Các lỗ hổng zero-day trong N-able N-central là một ví dụ rõ ràng về rủi ro chuỗi cung ứng: một công cụ quản lý bị lỗi có thể đặt nhiều tổ chức vào cùng một tình thế cùng một lúc. Quyết định ngừng hoạt động của nhà cung cấp cho thấy mức độ nghiêm trọng của sự phơi nhiễm đó.
Bước tiếp theo thực tế rất đơn giản. Xác minh tình trạng vá, xem xét ai có quyền truy cập quản trị viên, và theo dõi chặt chẽ hoạt động của quản trị viên. Nếu bạn dựa vào một MSP, hãy hỏi họ về N-central ngay hôm nay thay vì chờ được thông báo. Để biết thông tin chi tiết mới nhất và chính xác nhất, hãy dựa vào các khuyến cáo bảo mật chính thức của N-able và thông tin liên lạc từ nhà cung cấp của bạn, vì hướng dẫn về các sự cố như thế này có thể thay đổi nhanh chóng.
