FAQ MSP : checklist de gouvernance de l'accès à distance après un CVE client

Chaque fois qu'une vulnérabilité critique apparaît dans un outil d'accès à distance ou RMM, les MSP doivent accomplir deux tâches en même temps : corriger la faille spécifique et revoir la gouvernance de l'outil lui-même. La CISA, la NSA et le Multi-State Information Sharing and Analysis Center (MS-ISAC) ont publié des recommandations conjointes visant précisément cette seconde tâche.

Pourquoi les outils RMM sont une cible privilégiée

L'avis conjoint des agences sur l'utilisation malveillante des logiciels RMM note que les acteurs malveillants ciblent délibérément les outils RMM légitimes que les MSP et les services d'assistance informatique utilisent déjà, car un seul identifiant MSP compromis peut exposer d'un coup une grande partie de la clientèle de ce MSP. La même dynamique s'est manifestée à grande échelle lors de l'incident Kaseya VSA de 2021, où une compromission s'est propagée par les relations entre MSP à plus de 1 500 organisations en aval.

Ce que couvre la liste de contrôle de gouvernance

Le document compagnon de la CISA, « Guide de sécurisation des logiciels d'accès à distance », s'adresse autant aux clients des MSP qu'aux MSP eux-mêmes et met l'accent sur le modèle d'accès plutôt que sur un CVE particulier : qui détient des rôles d'accès à distance privilégiés, si la MFA est obligatoire pour cet accès, si la journalisation est suffisamment complète pour reconstituer ce qu'une session a fait, et si l'accès direct aux serveurs de journaux est tenu hors de portée de l'outil RMM lui-même, afin qu'un attaquant qui pénètre dans l'outil ne puisse pas non plus effacer les preuves.

Transformer les recommandations en liste de contrôle après un CVE

• Confirmez d'abord l'état du correctif, puis examinez séparément qui détient actuellement des rôles d'accès à distance pour l'outil concerné.
• Exigez la MFA sur chaque compte d'accès à distance, qu'il soit destiné aux techniciens ou aux clients.
• Vérifiez que la journalisation couvre le début et la fin des sessions, les commandes exécutées et les transferts de fichiers — et pas seulement les événements de connexion.
• Conservez le stockage des journaux et la capacité de supprimer ou de modifier les journaux hors de portée de l'outil RMM lui-même.
• Limitez le rôle d'accès à distance de chaque technicien aux locataires clients qu'il prend réellement en charge.

Un CVE corrigé ferme une porte ; l'examen de la gouvernance est ce qui empêche la prochaine vulnérabilité d'ouvrir tout le parc.

Sources : CISA/NSA/MS-ISAC — Protection contre l'utilisation malveillante des logiciels RMM, CISA — Guide de sécurisation des logiciels d'accès à distance.