Засоби віддаленого моніторингу та керування (RMM) — платформи, через які ІТ-відділи й сервіс-провайдери віддалено контролюють та оновлюють безліч комп’ютерів; ними дедалі частіше зловживають зловмисники.
Як працюють RMM-інструменти
RMM-продукт встановлює на кожну керовану кінцеву точку легкий агент. Агент надсилає до центральної консолі дані про стан та інвентаризацію й дає адміністраторам змогу запускати скрипти, встановлювати патчі, передавати файли й відкривати сеанси віддаленого робочого столу. Відомі продукти — ConnectWise ScreenConnect, Kaseya VSA, N-able, NinjaOne, Atera, TeamViewer і AnyDesk. Оскільки агенти працюють із високими привілеями й користуються довірою за визначенням, одна консоль може керувати тисячами машин у багатьох клієнтів.
Чому RMM важливі для безпеки
Зловмисники полюбляють RMM-інструменти з двох причин:
- Зловживання легітимними засобами — отримавши доступ, нападники встановлюють AnyDesk, ScreenConnect чи схожі програми як тихий бекдор. Ці інструменти підписані й широко використовуються, тож антивіруси їх майже не блокують — це різновид living off the land. У спільному бюлетені 2023 року CISA, АНБ і MS-ISAC попереджали про злочинців, які вмовляють користувачів встановити RMM-програми в межах схем зі службою підтримки та шахрайства з техпідтримкою. У MITRE ATT&CK це техніка Remote Access Software (T1219).
- Атаки на RMM-платформи — злам консолі провайдера перетворюється на атаку на ланцюг постачання. У липні 2021 року угруповання REvil через вразливість Kaseya VSA розіслало програму-вимагача приблизно 1500 компаніям через їхніх сервіс-провайдерів. Критичні вразливості ScreenConnect, розкриті 2024 року, почали експлуатувати вже за кілька днів.
Як захистити RMM-інструменти
- Стандартизуватися на одному затвердженому RMM-продукті й блокувати решту або сповіщати про них за допомогою контролю застосунків.
- Захищати консолі за допомогою MFA, обмежувати доступ до них довіреними мережами й вчасно їх оновлювати.
- Відстежувати появу нових агентів віддаленого доступу та незвичні сеанси, як і у випадку з відкритим в інтернет RDP.
- Закріплювати в договорах із сервіс-провайдерами вимоги щодо мінімальних привілеїв і журналювання.
