Beheer bevoorrechte toegang bij uitbesteed IT-beheer

Je medewerkers kunnen inloggen, de boekhouding draait en de laptops krijgen automatisch updates. Alles lijkt goed geregeld. Maar achter die dagelijkse zekerheid zit vaak één partij met bijzonder veel toegang: je IT-dienstverlener.

Wat gebeurt er als juist de software waarmee die partij jouw systemen beheert een ernstig beveiligingslek blijkt te hebben? Deze week werd dat een heel concrete vraag.

Een beveiligingsprobleem bij de partij achter je IT

Op zondag 8 november publiceerde beveiligingsonderzoeker Sean Bales informatie en demonstratiecode voor 33 vermeende kwetsbaarheden in N-able N-central. Dat is software waarmee IT-dienstverleners op afstand computers en servers van hun klanten beheren. De verzameling kreeg de naam *Able2Shell*.

De volgende dag nam N-able zijn gehoste N-central-omgevingen tijdelijk offline. Organisaties die N-central op hun eigen servers draaien, kregen het advies de systemen eveneens uit te schakelen totdat een veilige oplossing beschikbaar is.

Dat is een ingrijpende maatregel. Beheersoftware uitschakelen betekent immers dat IT-teams een deel van hun normale zicht op en controle over systemen kwijtraken.

Waarom was de reactie zo stevig? Volgens de openbaar gemaakte bevindingen kunnen combinaties van kwetsbaarheden onder meer leiden tot het aanmaken van onbevoegde beheerdersaccounts, het uitlezen van gegevens en het uitvoeren van opdrachten op de beheerserver. Sommige aanvalsroutes vereisen volgens de onderzoekers niet eens een bestaande gebruikerslogin.

Belangrijk: dat betekent niet dat al die kwetsbaarheden onafhankelijk zijn bevestigd of dat klanten daadwerkelijk zijn gehackt. N-able meldde op 10 november wel scans die verband houden met de gepubliceerde demonstratiecode, maar had op dat moment geen bewijs van geslaagde aanvallen op klantomgevingen.

Waarom dit ook een bedrijf met twintig medewerkers raakt

Misschien zegt de naam N-central je niets. Dat is heel normaal: veel kleine en middelgrote bedrijven besteden hun IT-beheer uit. De leverancier kiest de tools; de ondernemer krijgt een werkende laptop, e-mail en ondersteuning.

Dat is doorgaans efficiënt. Een IT-partner kan met zogeheten *remote monitoring and management*-software, kortweg RMM, bijvoorbeeld updates installeren, storingen onderzoeken en technische ondersteuning bieden zonder op locatie te komen.

Precies die handige centrale toegang maakt het systeem ook gevoelig. Denk aan een sleutelbos die toegang geeft tot meerdere kantoren. Wie de sleutelbos veilig beheert, kan snel helpen. Wie hem verliest, moet niet alleen de sleutelbos vervangen, maar ook nagaan welke deuren ermee geopend konden worden.

Voor een kleinere onderneming kan de praktische impact heel concreet zijn: onduidelijkheid over de veiligheid van werkstations, een IT-helpdesk die tijdelijk minder op afstand kan oplossen, of noodzakelijke updates die later worden uitgevoerd. Dat zijn mogelijke gevolgen, geen bevestigde schade bij N-central-klanten.

Het incident laat vooral zien dat je beveiliging niet ophoudt bij je eigen wachtwoorden, firewall of antivirus. De leveranciers die je vertrouwt, maken onderdeel uit van je risico.

Moet je je nu zorgen maken?

Niet ieder bedrijf is direct geraakt. Dit specifieke incident is relevant als je eigen IT-team of externe IT-partner N-able N-central gebruikt. Gebruik je die software niet, dan hoef je vanwege deze melding niet zomaar systemen uit te schakelen.

Je hoeft ook niet zelf te achterhalen welke technische kwetsbaarheden precies spelen. Wel is dit een goed moment om aan je IT-partner te vragen hoe het beheer is ingericht en welke maatregelen bij een incident worden genomen.

Vier vragen leveren al veel duidelijkheid op:

1. Met welke software worden onze computers en servers op afstand beheerd? En wordt daarbij N-central gebruikt?
2. Als jullie N-central gebruiken: zijn de adviezen van N-able uitgevoerd? Vraag expliciet naar het offline halen van kwetsbare beheerservers en het plan voor veilige hervatting.
3. Is gecontroleerd op ongebruikelijke activiteit? Bijvoorbeeld onverwachte beheerdersaccounts, vreemde aanmeldingen of onbekende beheertaken.
4. Wat gebeurt er als de beheersoftware tijdelijk wegvalt? Kunnen urgente beveiligingsupdates, monitoring en ondersteuning op een andere manier doorgaan?

Een goede IT-partner hoeft niet te beloven dat er nooit een kwetsbaarheid ontstaat. Een goed antwoord maakt duidelijk welke systemen geraakt kunnen worden, wat al is gedaan en welke controles nog moeten volgen.

De moeilijke keuze: bereikbaar blijven of veilig afsluiten

Het opvallendste aan deze zaak is misschien niet het aantal gemelde kwetsbaarheden, maar de keuze om een veelgebruikte beheerdienst tijdelijk uit te schakelen.

Normaal draait IT om beschikbaarheid: systemen moeten werken, medewerkers moeten verder kunnen en klanten mogen weinig merken van onderhoud. Bij een mogelijk ernstig beveiligingsprobleem kan tijdelijk stoppen juist de verstandigste beslissing zijn.

Dat vraagt voorbereiding. Wie voor dagelijkse monitoring, patchbeheer en ondersteuning volledig afhankelijk is van één centrale beheeromgeving, moet vooraf nadenken over alternatieven. Dat geldt voor de IT-dienstverlener, maar ook voor de afspraken die een bedrijf met zijn leverancier maakt.

Een software-update alleen is bovendien niet altijd voldoende. Als een systeem mogelijk al is benaderd, moet ook worden onderzocht of onbevoegden accounts hebben aangemaakt of beheeracties hebben uitgevoerd. De concrete herstelstappen hangen af van de aanwijzingen en de instructies van de leverancier.

Wat we van dit incident kunnen leren

De belangrijkste les voor het mkb is niet dat uitbesteden van IT onveilig zou zijn. Het is dat uitbesteden niet hetzelfde is als het uitbesteden van verantwoordelijkheid.

Je hoeft als ondernemer geen beveiligingsonderzoeker te worden. Je moet wél weten wie toegang heeft tot je systemen, via welke middelen dat gebeurt en hoe snel je leverancier kan handelen wanneer een van die middelen kwetsbaar blijkt.

Het N-central-incident maakt dat risico zichtbaar. De komende dagen zullen duidelijk moeten maken welke herstelmaatregelen nodig zijn en of er alsnog bevestigde compromitteringen naar voren komen. Tot die tijd is het verstandig om de feiten te scheiden van de mogelijke gevolgen.

Een goede vraag aan je IT-partner is daarom niet alleen: “Zijn onze systemen beveiligd?” Maar ook: “Wat doen we als jullie beheersysteem morgen niet beschikbaar of niet te vertrouwen is?”

Bronnen: N-able · Rapid7 · BleepingComputer · Huntress