Средства удалённого мониторинга и управления (RMM) — платформы, через которые ИТ-отделы и сервис-провайдеры удалённо контролируют и обновляют множество компьютеров; ими всё чаще злоупотребляют атакующие.
Как работают RMM-инструменты
RMM-продукт устанавливает на каждую управляемую конечную точку легковесный агент. Агент отправляет в центральную консоль данные о состоянии и инвентаризации и позволяет администраторам запускать скрипты, устанавливать патчи, передавать файлы и открывать сеансы удалённого рабочего стола. Известные продукты — ConnectWise ScreenConnect, Kaseya VSA, N-able, NinjaOne, Atera, TeamViewer и AnyDesk. Поскольку агенты работают с высокими привилегиями и пользуются доверием по определению, одна консоль может управлять тысячами машин у множества клиентов.
Почему RMM важны для безопасности
Атакующие любят RMM-инструменты по двум причинам:
- Злоупотребление легитимными средствами — получив доступ, злоумышленники устанавливают AnyDesk, ScreenConnect или похожие программы в качестве тихого бэкдора. Эти инструменты подписаны и широко используются, поэтому антивирусы их почти не блокируют — это разновидность living off the land. В совместном бюллетене 2023 года CISA, АНБ и MS-ISAC предупреждали о преступниках, которые уговаривают пользователей установить RMM-программы в рамках схем с поддельной службой поддержки и мошенничества с ложной техподдержкой. В MITRE ATT&CK это техника Remote Access Software (T1219).
- Атаки на RMM-платформы — взлом консоли провайдера превращается в атаку на цепочку поставок. В июле 2021 года группировка REvil через уязвимость Kaseya VSA разослала шифровальщик примерно 1500 компаниям через их сервис-провайдеров. Критические уязвимости ScreenConnect, раскрытые в 2024 году, начали эксплуатировать уже через несколько дней.
Как защитить RMM-инструменты
- Стандартизироваться на одном утверждённом RMM-продукте и блокировать остальные или оповещать о них с помощью контроля приложений.
- Защищать консоли MFA, ограничивать доступ к ним доверенными сетями и своевременно их обновлять.
- Отслеживать появление новых агентов удалённого доступа и необычные сеансы, как и в случае с открытым в интернет RDP.
- Закреплять в договорах с сервис-провайдерами требования к минимальным привилегиям и журналированию.
