ConnectWise сбрасывает учётные данные после инцидента: облачный бэкап остаётся недоступен

ConnectWise продолжает реагировать на инцидент безопасности, в результате которого был получен несанкционированный доступ к идентификаторам приложений, связанным с сервисом Cloud Backup. Как сообщается, компания уже реализовала ряд мер по устранению последствий, однако работа облачного резервного копирования до сих пор не восстановлена. Для поставщиков управляемых услуг (MSP) и их клиентов это означает сохраняющийся риск перебоев в процессах резервного копирования и восстановления данных.

Подробности

По имеющимся данным, инцидент затронул идентификаторы приложений (application identities), связанные с Cloud Backup. ConnectWise заявила, что с момента начала реагирования выполнила комплекс мероприятий: усиление защитных механизмов административного доступа, сброс учётных записей и замену учётных данных приложений. Это стандартные меры по локализации последствий компрометации учётных данных, направленные на то, чтобы исключить дальнейшее использование злоумышленниками скомпрометированных идентификаторов. При этом конкретные технические детали — включая сроки компрометации, точный перечень затронутых версий или компонентов Cloud Backup, а также наличие идентификаторов CVE — в исходном сообщении не приводятся. Не раскрывается и информация о том, были ли похищены данные клиентов. Остаётся неизвестным и то, когда именно сервис Cloud Backup вернётся в строй: на момент публикации он по-прежнему не работает.

Что делать

В первую очередь клиентам ConnectWise, использующим Cloud Backup, следует проверить состояние своих резервных копий и убедиться в наличии актуальных локальных или альтернативных копий критичных данных — до восстановления сервиса полагаться на него как на единственный канал защиты от потери данных не стоит. Рекомендуется также проверить журналы доступа к административным интерфейсам и идентификаторам приложений на предмет подозрительной активности, особенно в период, предшествовавший раскрытию инцидента. Организациям, чьи интеграции использовали учётные данные приложений ConnectWise, необходимо убедиться, что после произведённой компанией замены credentials старые ключи и токены отозваны и не используются в собственных конфигурациях. Следует пересмотреть права доступа сервисных учётных записей, сократив их до минимально необходимых, и включить многофакторную аутентификацию (MFA) для всех административных учётных записей, где это поддерживается. Пароли и API-ключи, которые могли храниться в конфигурациях, связанных с Cloud Backup, целесообразно сменить превентивно. Кроме того, стоит держать связь с официальными каналами поддержки ConnectWise для получения обновлений о статусе восстановления сервиса и возможных дополнительных рекомендациях, а также пересмотреть собственные планы непрерывности бизнеса с учётом сохраняющейся недоступности облачного бэкапа. Инцидент в очередной раз напоминает, что компрометация учётных данных приложений в цепочке поставщика услуг может иметь каскадные последствия для множества организаций. Оперативная ротация секретов и готовность к переключению на резервные каналы защиты данных остаются ключевыми элементами устойчивости.

Источник: The Hacker News