MSP-FAQ: checklist voor governance van externe toegang na een CVE bij een klant

Elke keer dat er een kritieke kwetsbaarheid opduikt in een remote-access- of RMM-tool, staan MSP's voor twee taken tegelijk: de specifieke fout patchen en de governance rond de tool zelf opnieuw controleren. CISA, de NSA en het Multi-State Information Sharing and Analysis Center (MS-ISAC) hebben gezamenlijke richtlijnen gepubliceerd die specifiek op die tweede taak zijn gericht.

Waarom RMM-tools een geliefd doelwit zijn

In het gezamenlijke advies van de instanties over kwaadaardig gebruik van RMM-software staat dat dreigingsactoren bewust de legitieme RMM-tools aanvallen die MSP's en IT-helpdesks al gebruiken, omdat één gecompromitteerde MSP-credential in één keer een groot deel van de klantenbasis van die MSP kan blootleggen. Dezelfde dynamiek speelde op grote schaal bij het Kaseya VSA-incident in 2021, waarbij een compromittering zich via MSP-relaties verspreidde naar meer dan 1.500 downstream-organisaties.

Wat de governance-checklist omvat

De bijbehorende "Guide to Securing Remote Access Software" van CISA is net zozeer geschreven voor de klanten van MSP's als voor MSP's zelf, en richt zich op het toegangsmodel in plaats van op één enkele CVE: wie geprivilegieerde remote-access-rollen heeft, of MFA verplicht is voor die toegang, of logging volledig genoeg is om te reconstrueren wat een sessie heeft gedaan, en of directe toegang tot logservers buiten het bereik van de RMM-tool zelf wordt gehouden, zodat een aanvaller die de tool binnendringt niet ook het bewijs kan wissen.

Van de richtlijnen naar een post-CVE-checklist

• Bevestig eerst de patchstatus en controleer daarna afzonderlijk wie momenteel remote-access-rollen heeft voor de getroffen tool.
• Verplicht MFA voor elk remote-access-account, zowel voor technici als voor klantgerichte accounts.
• Controleer of logging sessiestart/-einde, uitgevoerde opdrachten en bestandsoverdrachten omvat — niet alleen login-gebeurtenissen.
• Houd logopslag en de mogelijkheid om logs te verwijderen of te wijzigen buiten het bereik van de RMM-tool zelf.
• Beperk de remote-access-rol van elke technicus tot de klanttenants die hij of zij daadwerkelijk ondersteunt.

Een gepatchte CVE sluit één deur; de governance-controle is wat voorkomt dat de volgende het hele landschap opent.

Bronnen: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.