MSP FAQ: lista de gobernanza de acceso remoto tras una CVE en un cliente

Cada vez que aparece una vulnerabilidad crítica en una herramienta de acceso remoto o RMM, los MSP se enfrentan a dos tareas a la vez: parchear la falla concreta y volver a revisar la gobernanza en torno a la propia herramienta. CISA, la NSA y el Multi-State Information Sharing and Analysis Center (MS-ISAC) han publicado una guía conjunta dirigida específicamente a esa segunda tarea.

Por qué las herramientas RMM son un objetivo preferido

El aviso conjunto de las agencias sobre el uso malicioso del software RMM señala que los actores de amenazas atacan deliberadamente las herramientas RMM legítimas que ya utilizan los MSP y los servicios de asistencia de TI, porque una sola credencial comprometida de un MSP puede exponer de golpe a una gran parte de la base de clientes de ese MSP. La misma dinámica se reprodujo a gran escala en el incidente de Kaseya VSA de 2021, donde un compromiso se propagó a través de las relaciones de los MSP a más de 1.500 organizaciones posteriores.

Qué cubre la lista de verificación de gobernanza

La "Guía para proteger el software de acceso remoto" complementaria de CISA está escrita tanto para los clientes de los MSP como para los propios MSP, y se centra en el modelo de acceso más que en una única CVE: quién tiene roles privilegiados de acceso remoto, si la MFA es obligatoria para ese acceso, si el registro es lo bastante completo como para reconstruir lo que hizo una sesión y si el acceso directo a los servidores de registro se mantiene fuera del alcance de la propia herramienta RMM, de modo que un atacante que entre en la herramienta tampoco pueda borrar las pruebas.

Cómo convertir la guía en una lista de verificación posterior a una CVE

• Confirme primero el estado del parche y, por separado, revise quién tiene actualmente roles de acceso remoto para la herramienta afectada.
• Exija MFA en todas las cuentas de acceso remoto, tanto de técnicos como de clientes.
• Verifique que el registro cubra el inicio y el fin de la sesión, los comandos ejecutados y las transferencias de archivos, no solo los eventos de inicio de sesión.
• Mantenga el almacenamiento de registros y la capacidad de eliminar o alterar registros fuera del alcance de la propia herramienta RMM.
• Limite el rol de acceso remoto de cada técnico a los inquilinos de clientes a los que realmente da soporte.

Una CVE parcheada cierra una puerta; la revisión de gobernanza es lo que impide que la siguiente abra todo el entorno.

Fuentes: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.