FAQ MSP: checklist di governance dell'accesso remoto dopo una CVE del cliente

Ogni volta che una vulnerabilità critica colpisce uno strumento di accesso remoto o RMM, gli MSP si trovano ad affrontare due compiti contemporaneamente: applicare la patch alla falla specifica e ricontrollare la governance dello strumento stesso. CISA, NSA e il Multi-State Information Sharing and Analysis Center (MS-ISAC) hanno pubblicato delle indicazioni congiunte pensate proprio per questo secondo compito.

Perché gli strumenti RMM sono un bersaglio privilegiato

L'advisory congiunto delle agenzie sull'uso malevolo del software RMM sottolinea che i criminali informatici prendono di mira deliberatamente gli strumenti RMM legittimi già usati da MSP e help desk IT, perché una sola credenziale MSP compromessa può esporre in un colpo solo gran parte della base clienti di quell'MSP. La stessa dinamica si è verificata su larga scala nell'incidente Kaseya VSA del 2021, quando una compromissione si è propagata attraverso le relazioni degli MSP a più di 1.500 organizzazioni a valle.

Cosa copre la checklist di governance

La guida complementare di CISA "Guide to Securing Remote Access Software" è scritta tanto per i clienti degli MSP quanto per gli MSP stessi e si concentra sul modello di accesso più che su una singola CVE: chi detiene i ruoli privilegiati di accesso remoto, se l'MFA è obbligatorio per quell'accesso, se la registrazione è abbastanza completa da ricostruire cosa ha fatto una sessione e se l'accesso diretto ai server di log è tenuto fuori dalla portata dello strumento RMM stesso, così che un attaccante che entra nello strumento non possa anche cancellare le prove.

Trasformare le indicazioni in una checklist post-CVE

• Conferma prima lo stato della patch, poi rivedi separatamente chi detiene attualmente i ruoli di accesso remoto per lo strumento interessato.
• Richiedi l'MFA su ogni account di accesso remoto, sia per i tecnici sia per quelli rivolti ai clienti.
• Verifica che la registrazione copra inizio/fine sessione, comandi eseguiti e trasferimenti di file — non solo gli eventi di login.
• Tieni l'archiviazione dei log e la possibilità di eliminarli o modificarli fuori dalla portata dello strumento RMM.
• Limita il ruolo di accesso remoto di ogni tecnico ai tenant dei clienti che supporta effettivamente.

Una CVE corretta chiude una porta; è la revisione della governance che impedisce alla prossima di aprire l'intero ambiente.

Fonti: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.