FAQ dla MSP: lista kontrolna zarządzania dostępem zdalnym po CVE klienta

Za każdym razem, gdy w narzędziu do dostępu zdalnego lub RMM pojawia się krytyczna podatność, MSP stają przed dwoma zadaniami jednocześnie: załatać konkretną lukę i ponownie sprawdzić zarządzanie samym narzędziem. CISA, NSA i Multi-State Information Sharing and Analysis Center (MS-ISAC) opublikowały wspólne wytyczne skierowane właśnie do tego drugiego zadania.

Dlaczego narzędzia RMM są ulubionym celem

Wspólne zalecenie agencji dotyczące złośliwego wykorzystania oprogramowania RMM zauważa, że podmioty zagrożeń celowo atakują legalne narzędzia RMM, z których już korzystają MSP i działy pomocy IT, ponieważ pojedyncze skompromitowane poświadczenie MSP może narazić jednocześnie dużą część bazy klientów tego MSP. Ten sam mechanizm wystąpił na dużą skalę podczas incydentu Kaseya VSA w 2021 r., gdy kompromitacja rozprzestrzeniła się przez relacje MSP na ponad 1500 organizacji downstream.

Co obejmuje lista kontrolna zarządzania

Towarzyszący dokument CISA „Guide to Securing Remote Access Software” jest adresowany zarówno do klientów MSP, jak i do samych MSP i koncentruje się na modelu dostępu, a nie na pojedynczym CVE: kto posiada uprzywilejowane role dostępu zdalnego, czy MFA jest obowiązkowe dla tego dostępu, czy logowanie jest wystarczająco kompleksowe, aby odtworzyć działania sesji, oraz czy bezpośredni dostęp do serwerów logów jest poza zasięgiem samego narzędzia RMM, tak aby atakujący, który dostanie się do narzędzia, nie mógł również usunąć dowodów.

Przekształcanie wytycznych w listę kontrolną po CVE

• Najpierw potwierdź status łatki, a następnie osobno sprawdź, kto obecnie posiada role dostępu zdalnego do danego narzędzia.
• Wymagaj MFA na każdym koncie dostępu zdalnego, zarówno techników, jak i klientów.
• Sprawdź, czy logowanie obejmuje początek/koniec sesji, wykonywane polecenia i transfery plików — nie tylko zdarzenia logowania.
• Przechowuj logi oraz możliwość ich usuwania lub modyfikacji poza zasięgiem samego narzędzia RMM.
• Ogranicz rolę dostępu zdalnego każdego technika do tenantów klientów, których faktycznie obsługuje.

Załatana podatność CVE zamyka jedne drzwi; przegląd zarządzania sprawia, że następne nie otworzą całego środowiska.

Źródła: CISA/NSA/MS-ISAC — Ochrona przed złośliwym użyciem oprogramowania RMM, CISA — Przewodnik po zabezpieczaniu oprogramowania dostępu zdalnego.