FAQ MSP: lista de verificação de governação de acesso remoto após uma CVE de cliente

Sempre que surge uma vulnerabilidade crítica numa ferramenta de acesso remoto ou RMM, os MSPs enfrentam duas tarefas ao mesmo tempo: corrigir a falha específica e rever a governação da própria ferramenta. A CISA, a NSA e o Multi-State Information Sharing and Analysis Center (MS-ISAC) publicaram orientação conjunta dirigida especificamente a essa segunda tarefa.

Por que as ferramentas RMM são um alvo preferido

O aviso conjunto das agências sobre o uso malicioso de software RMM nota que os agentes de ameaças visam deliberadamente as ferramentas RMM legítimas que os MSPs e as mesas de ajuda de TI já utilizam, porque uma única credencial comprometida de MSP pode expor uma grande parte da base de clientes desse MSP de uma só vez. A mesma dinâmica ocorreu em grande escala no incidente Kaseya VSA de 2021, em que um compromisso se propagou através de relações de MSP para mais de 1.500 organizações downstream.

O que a lista de verificação de governação abrange

O «Guia para Proteger Software de Acesso Remoto» complementar da CISA destina-se tanto aos clientes dos MSPs como aos próprios MSPs, e centra-se no modelo de acesso em vez de numa única CVE: quem detém funções privilegiadas de acesso remoto, se o MFA é obrigatório para esse acesso, se o registo é suficientemente abrangente para reconstruir o que uma sessão fez, e se o acesso direto aos servidores de registo é mantido fora do alcance da própria ferramenta RMM, para que um atacante que entre na ferramenta não possa também apagar as provas.

Transformar a orientação numa lista de verificação pós-CVE

• Confirmar primeiro o estado da correção e, depois, rever separadamente quem detém atualmente funções de acesso remoto para a ferramenta afetada.
• Exigir MFA em todas as contas de acesso remoto, tanto de técnicos como de clientes.
• Verificar se o registo abrange início/fim de sessão, comandos executados e transferências de ficheiros — e não apenas eventos de início de sessão.
• Manter o armazenamento de registos e a capacidade de eliminar ou alterar registos fora do alcance da própria ferramenta RMM.
• Limitar o âmbito da função de acesso remoto de cada técnico aos inquilinos de clientes que este efetivamente suporta.

Uma CVE corrigida fecha uma porta; a revisão de governação é o que impede que a seguinte abra toda a infraestrutura.

Fontes: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.