ConnectWise برای بررسی امنیت SNAFU خدمات پشتیبان گیری، امنیت و مدیریت SaaS-y خود را خاموش می کند.

ارائه دهندگان خدمات مدیریت شده SaaS، ConnectWise پس از شناسایی دسترسی های غیرمجاز، «وقفه خدمات» را برای برخی از خدمات خود ایجاد کرده است. ConnectWise ERP را متناسب با نیازهای ارائه دهندگان خدمات مدیریت شده (MSP) ارائه می دهد، به علاوه ابزارهایی که می توانند برای مدیریت محیط مشتریان خود از آنها استفاده کنند. پشتیبان‌گیری ابری یکی از آن ابزارهاست و برای داده‌های ذخیره‌شده روی پرم، در فضای ابری یا در سرویس‌های SaaS مانند M365 و Google Workspace، آنچه را که روی قلع می‌گوید، انجام می‌دهد.

در 16 اکتبر، این شرکت مشاوره ای را منتشر کرد که نشان می داد در 15 ام "دسترسی غیرمجاز به هویت برنامه ها را در محیط ConnectWise Cloud Backup شناسایی کرده است." این شرکت توصیه کرد: "وقفه سرویس بر شرکا و مشتریانی که از Cloud Backup استفاده می‌کنند، که قبلا SkyKick نامیده می‌شد، تاثیر می‌گذارد. از آنجایی که SaaS Security و Cloud Management با Cloud Backup یکپارچه شده‌اند، این سرویس‌ها نیز به دلیل احتیاط فراوان به حالت تعلیق درآمده‌اند، در حالی که بررسی و اصلاح ما ادامه دارد."

این تعلیق به این معنا نیست که MSPها یا مشتریان آنها باید فرض کنند که محیط آنها در معرض خطر قرار گرفته است، فقط ConnectWise مطمئن نیست که می تواند خدمات خود را در حال حاضر با خیال راحت اجرا کند. از ساعت 16:00 UTC در 18 اکتبر، این سرویس‌ها در دسترس نیستند، به این معنی که کاربران نهایی نمی‌توانند از داده‌ها نسخه پشتیبان تهیه کنند، به بایگانی‌های خود دسترسی داشته باشند یا داده‌ها را بازیابی کنند. آرشیوهای موجود رمزگذاری شده، ایزوله شده و حفظ می شوند، بدون هیچ مدرکی دال بر دسترسی غیرمجاز.

تیم‌های ما به نظارت بر محیط‌های آسیب‌دیده، انجام تحلیل‌های پزشکی قانونی و شکار تهدید، و انجام فعالیت‌های اصلاحی ادامه می‌دهند.» کانکت‌وایز جزییات زیادی در مورد این حادثه ارائه نکرده است، به جز انتشار برخی از شاخص‌های سازش که فکر می‌کند به تعداد انگشت شماری از آدرس‌های IP قابل ادغام و برنامه‌های یکپارچه‌سازی آن مرتبط است. Cloud Backup and Exchange، Teams، SharePoint Online، و محصولات خودش.

ابزار امنیتی Huntress دید واضح‌تری ارائه کرد و نوشت: «یک اعتبارنامه Microsoft 365 (محرمانه API) متعلق به ConnectWise Cloud Backup به خطر افتاده است و Huntress تأیید کرده است که از آن برای دسترسی غیرمجاز به محیط‌های M365 مشتریان استفاده می‌شود.» در یکی از مستاجر شریک Huntress، یک برنامه دوم ConnectWise، ConnectWise Cloud Management - MS Teams (Application ID 24205314-2b89-4e07-a2a4-579e898a5640)، به خود مدیر جهانی داد و سپس اعتبارنامه های جدیدی را به دو برنامه دیگر اضافه کرد که یکی از آنها یک مستاجر است.

شریک است.» این شرکت هشدار می‌دهد: «غیرفعال کردن برنامه‌های M365، از جمله برنامه‌های مورد سوءاستفاده ConnectWise، اعتبارنامه‌هایی را که قبلا اضافه شده‌اند حذف نمی‌کند. "شما باید اعتبارنامه های همه برنامه های M365 خود را بررسی کنید." ConnectWise می‌گوید «در حال حاضر نمی‌تواند درباره انتساب عامل تهدید بحث کند» زیرا بر روی «تحقیق، اصلاح و حمایت از شرکای آسیب‌دیده و مشتریانشان» متمرکز است. با این حال، از مشتریان خود خواسته است تا در محیط های M365 که مدیریت می کنند برای نشانه هایی از مصالحه بررسی کنند.

اینجاست که همه چیز دشوار می شود، زیرا ConnectWise هیچ اطلاعی از این تنظیمات ندارد – همانطور که درست است زیرا یک ارائه دهنده پلتفرم است و مشتریان MSP آن روابط کاربر نهایی را مدیریت می کنند. بنابراین برای انجام کار درست به MSP ها متکی است. MSP ها هیچ تعهدی برای افشای پلتفرم هایی که برای ارائه خدمات خود استفاده می کنند ندارند. در واقع، برای برخی از سازمان‌ها جذابیت کار با MSP دسترسی به خدمات بسته‌بندی شده است که هرگز نیازی به یادگیری یا نگرانی در مورد آن ندارند.

سازمان‌های کاربر نهایی که ممکن است با خوشحالی از مشارکت ConnectWise در کسب‌وکار خود غافل باشند، در موقعیت نامناسبی قرار دارند. کسب‌وکارهایی که به MSPها خدمات می‌دهند، هدف مکرر مهاجمان هستند، که شانس به خطر انداختن افرادی مانند ConnectWise را به‌عنوان مسیری ممکن برای شکستن همه شرکای خود و کاربران نهایی ارائه‌دهندگان خدمات می‌بینند. حمله 2021 به کاسیا بدنام ترین نمونه از چنین حادثه ای است. ConnectWise امیدوار است که تاج را نگیرد. ®