リード · サプライチェーン
バックアップが侵入口だった:ConnectWiseが侵入を確認しCloud Backupを停止、研究者は同社の認証情報でMicrosoft 365テナントに侵入されたと指摘
災害に備えて保管してきたものが、災害の入り口になった。ベンダーは顧客への影響を「未確認」としているが、それは「影響なし」と同じ意味ではない。
ConnectWiseは金曜日、「ConnectWise Cloud Backup環境に関連する不正アクセスの試み」を調査中だと発表した。土曜日にはアクセスを確認した。月曜日までにクラウドサービスは停止され、同社が「修復とセキュリティ検証」と呼ぶ作業が続く間、現在も利用できない。穏やかな表現だが、要するに、読まずに済むことを願っていたログを誰かが読んでいるということだ。
下流の利用者にとって重要な一文は、ベンダーではなく研究者から出ている。攻撃者がConnectWiseの認証情報を用いてMicrosoft 365テナントに認証したというのだ。ConnectWiseは顧客への影響は未確認だとしている。両方が同時に真であることはあり得る。月曜日とは大抵そういうものだ。すでにサプライチェーン攻撃と呼ぶ報道もあり、下流のMSPを念頭に置いた記事が書かれている。MSPのツールは鍵束であり、鍵束は扉を一枚ずつ破られるわけではないからだ。
バックアップとは、最初の複製が失われても済むよう存在する、企業の第二の複製である。我々はそれに環境内で最も広い読み取り権限と最も乏しい監督を与えてきた。読むだけだという理屈によってだ。これは範疇の誤りである。すべてを読めるものは、攻撃者の席から見れば環境そのものだ。今週の作業は地味である。自社テナントにおいてConnectWiseが保有するすべての認証情報とアプリの同意を洗い出し、可能なものはローテーションし、それらのIDのサインインログを、報告書で誰かに読み上げられる前に自ら確認することだ。
重要な理由ConnectWise Cloud Backupを利用している場合は、自社であれMSPであれ、そのMicrosoft 365認証情報を漏えいしたものとみなし、本日中にテナントのサインインログを確認すべきである。