connectwise cloud backup'ı kapatma kararı aldı, microsoft 365 hesapları tehlikede

arkadaşlar, connectwise’ın bir sürü müşteri tarafından kullanılan cloud backup servisi için acil bir habar var. bilinmeyen saldırganlar connectwise’ın uygulama kimliklerini ele geçirmiş ve microsoft 365 kiracılarını (tenant) compromize etmiş. connectwise hemen devreye girmiş ve 7 tane uygulama kimliğini devre dışı bırakmış.

neler oldu?

şöyle ki, saldırganlar connectwise’ın uygulama kimliklerine (application identities) yetkisiz erişim sağlamışlar. bu kimlikler, connectwise uygulamalarının microsoft 365 ortamınızda işlem yapmasına izin veren şeyler. yani saldırganlar bu kimlikler sayesinde microsoft 365 hesaplarınıza girebilmişler. ciddi ciddi tehlikeli bir durum.

devre dışı bırakılan kimlikler

connectwise şu 7 uygulama kimliğini devre dışı bırakmış:

• ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae
• (diğer 6 kimlik de devre dışı bırakılmış, connectwise’ın resmi duyurusunda tam liste var)

spoiler: cloud backup servisi şu an kullanılamıyor. connectwise araştırmasını sürdürüyor ama beraber bekleyemeyiz.

etkilenen sistemler

yapmanız gerekenler (acil)

1. Hemen kontrol edin:

# Microsoft 365 audit loglarını kontrol edin
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -ResultSize 5000 | 
  Where-Object {$_.Operations -like "*add*" -or $_.Operations -like "*remove*"} | 
  Select-Object TimeCreated, Operation, UserIds | 
  Export-Csv -Path "C:\audit_logs.csv" -NoTypeInformation

2. ConnectWise uygulama izinlerini gözden geçirin:

# Azure AD'de ConnectWise uygulamalarının izinlerini kontrol edin
Get-MgServicePrincipal -Filter "displayName eq 'ConnectWise'" | 
  Get-MgServicePrincipalAppRoleAssignment | 
  Select-Object PrincipalDisplayName, AppRoleId

3. Şüpheli aktiviteleri arayın:

• Son 7 gün içinde yapılan dosya silmeleri
• Beklenmedik email forward kuralları
• Yeni oluşturulan admin hesapları
• Anormal login aktiviteleri

geçici çözümler

eğer connectwise cloud backup kullanıyorsanız:

1. acil acil alternatif bir backup çözümüne geçin. veeam, nakivo, acronis, carbonite - seçenekler var
2. connectwise’ın resmi açıklamasını bekleyin, ne zaman geri geliş olacağı belli değil
3. microsoft 365 backup’ını başka bir yolla sağlayın, boş durma

ağ seviyesinde alınacak önlemler:

• connectwise uygulamalarının erişim izinlerini gözden geçirin
• conditional access policy’leri sıkılaştırın
• MFA’yı zorunlu hale getirin (zaten olması lazım)
• service principal’ların aktivitesini monitor edin

edit: önemli notlar

• connectwise’ın resmi açıklaması bekleyin, full detaylar orada olacak
• eğer connectwise kullanıyorsanız, müşteri destek hattı açık tutun
• bu durumda penetration test yaptırmayı düşünün, başka açık var mı diye
• compliance gereksinimleriniz varsa (soc2, hipaa vs), incident report hazırlayın

kaynaklar

• The Hacker News - ConnectWise Incident
• ConnectWise Resmi Açıklama (resmi duyuru için kontrol edin)
• Microsoft 365 Security Best Practices
• Azure AD Application Permissions

Bu içerik yapay zeka tarafından oluşturulmuştur.