Întrebări frecvente MSP: guvernanța accesului la distanță după un CVE al clientului

De fiecare dată când apare o vulnerabilitate critică într-un instrument de acces la distanță sau RMM, MSP-urile se confruntă simultan cu două sarcini: corectează defectul specific și reverifică guvernanța instrumentului în sine. CISA, NSA și Multi-State Information Sharing and Analysis Center (MS-ISAC) au publicat îndrumări comune care vizează în mod specific a doua sarcină.

De ce instrumentele RMM sunt o țintă preferată

Avizul comun al agențiilor privind utilizarea malițioasă a software-ului RMM notează că actorii de amenințare vizează în mod deliberat instrumentele RMM legitime pe care MSP-urile și help desk-urile IT le folosesc deja, deoarece o singură credențială MSP compromisă poate expune simultan o mare parte din baza de clienți a acelui MSP. Aceeași dinamică s-a manifestat la scară largă în incidentul Kaseya VSA din 2021, când un compromis s-a propagat prin relațiile MSP către peste 1.500 de organizații din aval.

Ce acoperă lista de verificare a guvernanței

„Ghidul pentru securizarea software-ului de acces la distanță” companion al CISA este destinat atât clienților MSP-urilor, cât și MSP-urilor înseși și se concentrează pe modelul de acces, nu pe un anumit CVE: cine deține roluri privilegiate de acces la distanță, dacă MFA este obligatoriu pentru acel acces, dacă jurnalizarea este suficient de cuprinzătoare pentru a reconstrui acțiunile unei sesiuni și dacă accesul direct la serverele de jurnal este ținut în afara razei de acțiune a instrumentului RMM însuși, astfel încât un atacator care pătrunde în instrument să nu poată șterge și dovezile.

Transformarea îndrumărilor într-o listă de verificare post-CVE

• Confirmați mai întâi starea corecțiilor, apoi revizuiți separat cine deține în prezent roluri de acces la distanță pentru instrumentul afectat.
• Impuneți MFA pe fiecare cont de acces la distanță, atât pentru tehnicieni, cât și pentru clienți.
• Verificați că jurnalizarea acoperă începutul/sfârșitul sesiunii, comenzile executate și transferurile de fișiere — nu doar evenimentele de conectare.
• Păstrați stocarea jurnalelor și capacitatea de a șterge sau modifica jurnalele în afara razei de acțiune a instrumentului RMM.
• Limitați rolul de acces la distanță al fiecărui tehnician la tenantii clienților pe care îi suportă efectiv.

Un CVE corector închide o ușă; revizuirea guvernanței este cea care împiedică următoarea să deschidă întreaga infrastructură.

Surse: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.