MSP FAQ: styrningschecklista för fjärråtkomst efter en kund-CVE

Varje gång en kritisk sårbarhet dyker upp i ett fjärråtkomst- eller RMM-verktyg ställs MSP:er inför två uppgifter samtidigt: patcha den specifika bristen och se över styrningen kring själva verktyget. CISA, NSA och Multi-State Information Sharing and Analysis Center (MS-ISAC) har publicerat gemensam vägledning som är särskilt inriktad på den andra uppgiften.

Varför RMM-verktyg är ett favoritmål

Myndigheternas gemensamma rådgivning om skadlig användning av RMM-programvara noterar att hotaktörer medvetet riktar in sig på de legitima RMM-verktyg som MSP:er och IT-helpdeskar redan använder, eftersom en enda komprometterad MSP-behörighet kan exponera en stor del av den MSP:ens kundbas på en gång. Samma dynamik utspelade sig i stor skala i Kaseya VSA-incidenten 2021, där en kompromettering spreds genom MSP-relationer till fler än 1 500 nedströmsorganisationer.

Vad styrningschecklistan omfattar

CISA:s kompletterande "Guide to Securing Remote Access Software" är skriven för MSP:ernas kunder lika mycket som för MSP:erna själva, och den fokuserar på åtkomstmodellen snarare än någon enskild CVE: vem som har privilegierade roller för fjärråtkomst, om MFA är obligatoriskt för den åtkomsten, om loggningen är tillräckligt heltäckande för att rekonstruera vad en session gjorde, och om direkt åtkomst till loggservrar hålls utom räckhåll för själva RMM-verktyget, så att en angripare som tar sig in i verktyget inte också kan radera bevisen.

Att omvandla vägledningen till en checklista efter en CVE

• Bekräfta patchstatus först och granska sedan separat vilka som för närvarande har fjärråtkomstroller för det berörda verktyget.
• Kräv MFA på alla fjärråtkomstkonton, både för tekniker och kundvända konton.
• Verifiera att loggningen omfattar sessionens start/slut, körda kommandon och filöverföringar — inte bara inloggningshändelser.
• Håll logglagring och möjligheten att radera eller ändra loggar utom räckhåll för själva RMM-verktyget.
• Begränsa varje teknikers fjärråtkomstroll till de kundklienter som de faktiskt supportar.

En patchad CVE stänger en dörr; styrningsgranskningen är det som hindrar nästa från att öppna hela miljön.

Källor: CISA/NSA/MS-ISAC — Protecting Against Malicious Use of RMM Software, CISA — Guide to Securing Remote Access Software.