ConnectWise w aktualizacji z 26 października nadal zapowiadało etapowe przywracanie usług po incydencie Cloud Backup, wcześniej znanego jako SkyKick. Klient ma do rozliczenia dwa zadania: możliwość odtworzenia danych i bezpieczeństwo dostępu do własnego Microsoft 365. Potwierdzenie jednego nie zastępuje wyniku drugiego.

Wyobraź sobie zewnętrzne archiwum, którego pracownik ma również klucz do biura klienta. Po problemie z tym kluczem właściciel archiwum zabezpiecza magazyn i przygotowuje ponowne wydawanie dokumentów. Firma korzystająca z usługi nadal musi sprawdzić, co działo się w jej biurze. To analogia do dwóch różnych zakresów odpowiedzialności, a nie opis fizycznego włamania. W Microsoft 365 przegląd dotyczy dostępu aplikacji i zmian w środowisku klienta. W usłudze kopii dotyczy możliwości odzyskania danych. Menedżer może otrzymać uspokajającą informację o zachowanych archiwach i nadal nie mieć potwierdzenia, kiedy da się wykonać odtworzenie. Może też zobaczyć działającą usługę bez zakończonego przeglądu uprawnień.

Zaufana aplikacja otwierała dostęp bez logowania użytkownika

Microsoft opisał 21 października użycie przejętych tożsamości aplikacji ConnectWise do wejścia do środowisk klientów przez wcześniej nadane uprawnienia. Nie wymagało to interaktywnego logowania użytkownika. Badacze zaobserwowali działania przez Microsoft Graph oraz zmiany danych uwierzytelniających mogące utrzymywać dostęp. Microsoft przypisuje kampanię grupie Storm-0940 i ocenia, że narzędzie ARTEX przyspieszało jej działania.

Dla właściciela Microsoft 365 praktyczny wniosek dotyczy zakresu przeglądu. Kontrola samych kont pracowników może pominąć uprawnienia nadane aplikacji usługowej. Proponujemy, aby osoba prowadząca reakcję nazwała te dwa zakresy w zleceniu dla administratora. Dzięki temu odpowiedź „hasła użytkowników są bezpieczne” nie zakończy rozmowy o dostępie usługodawcy. Nie trzeba przy tym zakładać, że każdy klient ConnectWise ucierpiał w ten sam sposób.

Microsoft zastrzega, że obecność aplikacji lub udane uwierzytelnienie nie dowodzi jeszcze odczytu ani wyprowadzenia danych. Zaleca sprawdzenie logowań tożsamości aplikacji, dzienników audytu i zmian uprawnień oraz zachowanie dowodów. To rozróżnienie powinno znaleźć się również w komunikacie dla zarządu. Podejrzenie dostępu i potwierdzony wyciek wymagają innych sformułowań.

Przegląd dostępu dostawcy do Microsoft 365 musi objąć uprawnienia aplikacji, także gdy nikt nie zgłosił kradzieży hasła.

Przywrócenie infrastruktury nie oznacza dostępnego odtworzenia

W komunikacie ConnectWise z 26 października, godziny 14:00 UTC firma nadal przygotowuje stopniowe udostępnienie usług partnerom. Zapowiada najpierw możliwość odtworzenia istniejących kopii, a następnie ponowne podłączanie pełnej usługi. Poleca utrzymywać objęte incydentem połączenia aplikacji wyłączone do wydania właściwych instrukcji. Według dostawcy archiwa są zaszyfrowane, odizolowane i zachowane, bez oznak ich naruszenia.

Taki komunikat nie potwierdza zakończonego odtworzenia u konkretnego klienta. Zalecamy zespołowi odpowiedzialnemu za kopie zapisanie ostatniego wyniku sprawdzenia usługi i osobno terminu kolejnej weryfikacji. Informację o planie ConnectWise można przekazać użytkownikom, ale jako plan. Jeżeli firma potrzebuje danych wcześniej, osoba zarządzająca ciągłością działania powinna ocenić dostępne możliwości na podstawie własnych zasobów.

Nie ma podstaw, aby z zachowania archiwów wyciągać wniosek o bezpieczeństwie wszystkich danych w Microsoft 365. ConnectWise podkreśla potrzebę osobnego przeglądu środowisk klientów. Proponujemy więc, aby raport o incydencie miał dwa pola z nazwiskiem odpowiedzialnego. Jedno dotyczy odzyskiwania danych, drugie przeglądu dostępu. Każde powinno zawierać wynik albo opis konkretnego braku.

W takim raporcie informacja o uruchomionej części infrastruktury dostawcy nie powinna automatycznie zmieniać statusu klienta na zakończony. Administrator może zamknąć zadanie dopiero po uzyskaniu wyniku odpowiadającego jego zakresowi. To proponowana zasada odbioru prac, którą organizacja powinna uzgodnić z usługodawcą, zamiast dopiero po kolejnym komunikacie zastanawiać się nad znaczeniem słowa „przywrócono”.

Zarząd potrzebuje dowodu dla własnego środowiska

Przy incydencie ConnectWise proponujemy pytać wykonawcę o czynności wykonane w konkretnym środowisku Microsoft 365. Ogólne zapewnienie, że dostawca prowadzi dochodzenie, nie mówi, czy ktoś przejrzał dostęp klienta. Użyteczna odpowiedź wskazuje okres dostępnych logów, osobę sprawdzającą i wynik przeglądu. Jeżeli danych brakuje, wykonawca powinien nazwać lukę w obserwacji. Brak wpisów nie powinien sam w sobie oznaczać braku zdarzenia.

Podobnie oceniajmy gotowość kopii. Zalecamy zaplanować kontrolowane odtworzenie wybranych danych, kiedy właściwe funkcje będą dostępne. Właściciel informacji powinien ustalić, co sprawdzić, a administrator udokumentować wynik. Samo uzyskanie dostępu do panelu nie odpowiada na pytanie, czy można odzyskać potrzebny dokument. To kryterium przyjęcia usługi do pracy, nie sugestia, że ConnectWise utraciło archiwa.

Bezpieczne archiwum i dostępne odtworzenie są odrębnymi ustaleniami, które klient powinien potwierdzić osobno.

W naszej ocenie koszt reakcji obejmuje czas administratora i właściciela danych. Przydzielenie tych osób do zadania jest konkretniejsze niż ogólne polecenie monitorowania sytuacji. W raporcie wystarczą najbliższa czynność, termin i osoba odpowiedzialna. Rozbudowany opis zagrożenia nie zastąpi tych trzech informacji, gdy firma czeka na możliwość odzyskania danych albo na wynik przeglądu dostępu.

Polski klient powinien sprawdzić także dawną integrację SkyKick

Polska firma może znać usługę pod wcześniejszą nazwą SkyKick lub kupować ją przez partnera. Proponujemy zapytać wykonawcę o rzeczywiste użycie integracji z Microsoft 365, zamiast rozstrzygać narażenie na podstawie nazwy na fakturze. Microsoft obejmuje zaleceniem przeglądu także środowiska, w których objęte incydentem aplikacje były wcześniej autoryzowane. Zakończenie współpracy handlowej nie powinno zastępować kontroli technicznej.

Nie podajemy liczby polskich ofiar, ponieważ wykorzystane komunikaty jej nie ustalają. Dla lokalnego odbiorcy ważniejsze jest uzyskanie odpowiedzi dotyczącej własnej organizacji. Jeżeli obsługę prowadzi partner, klient powinien ustalić, kto ma możliwość wykonania przeglądu i gdzie otrzyma jego wynik. Zalecamy przechować odpowiedź razem ze zgłoszeniem, aby następna zmiana dyżuru nie oznaczała ponownego ustalania odpowiedzialności.

Co z tym zrobić w poniedziałek

  1. W 20 minut potwierdź użycie integracji. Zapytaj administratora lub partnera o obecne i wcześniejsze aplikacje ConnectWise oraz SkyKick w Microsoft 365. Zapisz osobę odpowiedzialną za ocenę.
  2. W 30 minut otwórz przegląd dostępu. Ustal zakres dostępnych dzienników i termin ich zabezpieczenia zgodnie z zaleceniami Microsoft. Zaplanuj dalszą analizę; pół godziny nie wystarczy na całe dochodzenie.
  3. W 20 minut uzgodnij próbę odtworzenia. Wybierz z właścicielem danych zakres kontroli po udostępnieniu usługi. Zapisz kryterium powodzenia i osobę, która potwierdzi wynik.

Incydent ConnectWise wymaga dwóch odpowiedzi od klienta. Jedna dotyczy odzyskania potrzebnych danych, druga zamknięcia nieuprawnionego dostępu. Dopiero ich udokumentowanie pozwala zakończyć własne zadania, niezależnie od ogólnego statusu dostawcy.

Źródła

Redakcja cyberinsight.pl.