System RMM, czyli Remote Monitoring and Management, pozwala administratorowi monitorować i zdalnie obsługiwać komputery, serwery oraz inne elementy infrastruktury. W dobrze zarządzanym środowisku znacznie przyspiesza wykrywanie problemów, instalowanie aktualizacji i pracę Help Desk IT.
Jednocześnie konsola RMM posiada zwykle szerokie uprawnienia. Dlatego jej bezpieczeństwo musi być traktowane podobnie jak bezpieczeństwo domeny Active Directory, systemu backupu czy panelu firewalla.
Aktualny incydent dotyczący N-able N-central pokazuje, dlaczego jest to ważne.
Co wydarzyło się w N-central?
N-able poinformował, że 31 lipca jego system MDR wykrył nietypową aktywność w środowisku jednego z klientów. Analiza doprowadziła do wykrycia podatności CVE-2026-18577, która była aktywnie wykorzystywana przeciwko serwerom N-central.
Według informacji producenta atakujący mogli uzyskać zdalny dostęp administracyjny. Następnie wykorzystywali funkcję Take Control do połączenia z komputerami zarządzanymi przez platformę. Na części urządzeń instalowany był również tunel Cloudflare pozwalający utrzymywać połączenie po zablokowaniu pierwotnego dostępu.
3 sierpnia podatność została dodana do katalogu CISA Known Exploited Vulnerabilities.
To ważna różnica: nie mówimy jedynie o teoretycznej możliwości wykorzystania błędu. Producent i CISA potwierdzają jego rzeczywiste wykorzystanie.
Hotfix 1 już nie wystarcza
2 sierpnia N-able opublikował pierwszą poprawkę 2026.3.1.7. 6 sierpnia producent wydał Hotfix 2 – wersję 2026.3.1.10 – zawierającą dodatkowe zabezpieczenia.
N-able podkreśla, że Hotfix 2 należy zastosować również wtedy, gdy Hotfix 1 został już zainstalowany.
Dla środowisk On-Premises producent zaleca aktualizację do 2026.3.1.10. W środowiskach Hosted odpowiednie zabezpieczenia zostały wdrożone przez N-able.
W tej sytuacji aktualizacja serwera RMM nie powinna czekać do standardowego miesięcznego okna serwisowego. Mamy potwierdzoną aktywną eksploatację, dlatego należy potraktować ją priorytetowo.
Dlaczego RMM jest szczególnym systemem?
Typowa aplikacja użytkownika ma dostęp do jednego komputera. Konsola RMM może zarządzać dziesiątkami lub setkami urządzeń.
W zależności od rozwiązania administrator może z jej poziomu instalować oprogramowanie, wykonywać skrypty, uruchamiać PowerShell, zdalnie sterować komputerem, restartować serwery, instalować aktualizacje, odczytywać dane o sprzęcie, zarządzać usługami i wykonywać zadania automatycznie na grupie komputerów.
Z punktu widzenia bezpieczeństwa oznacza to, że RMM jest uprzywilejowanym narzędziem administracyjnym. Przejęcie jednej konsoli może dawać atakującemu możliwość działania na wielu urządzeniach.
Sama aktualizacja nie zamyka sprawy
Jeżeli podatny serwer był dostępny przed wdrożeniem poprawki, administrator powinien założyć konieczność weryfikacji wcześniejszej aktywności.
N-able opublikował wskaźniki kompromitacji i narzędzie umożliwiające sprawdzenie znanych śladów na endpointach. Producent jednocześnie zaznacza, że brak wykrycia tych konkretnych wskaźników nie jest dowodem braku naruszenia.
Po aktualizacji warto przejrzeć:
- logowania administratorów,
- nowe i zmodyfikowane konta,
- sesje Take Control,
- skrypty uruchamiane centralnie,
- nowe usługi Windows,
- połączenia wychodzące,
- tunele i narzędzia zdalnego dostępu,
- alerty EDR/antywirusa,
- zmiany konfiguracji RMM.
W przypadku wykrycia podejrzanej aktywności konieczna jest analiza incydentu, a nie tylko instalacja poprawki.
Konto administratora RMM powinno być traktowane jak konto uprzywilejowane
Dostęp do konsoli monitoringu nie powinien opierać się na wspólnym loginie używanym przez kilku techników.
Rekomendowany model obejmuje konta imienne, MFA, zasadę minimalnych uprawnień i rozdzielenie roli zwykłego operatora od administratora platformy.
Konto używane do obsługi zgłoszeń Help Desk nie musi mieć prawa zmiany globalnej konfiguracji, tworzenia nowych administratorów czy modyfikowania zabezpieczeń całej platformy.
Dostęp administracyjny powinien być ograniczony sieciowo
Jeżeli platforma pozwala ograniczyć dostęp do panelu, warto zastosować:
- VPN administracyjny,
- listę dozwolonych adresów IP,
- dedykowaną sieć administracyjną,
- dodatkową warstwę uwierzytelniania,
- blokowanie niepotrzebnego dostępu publicznego.
Nie zastępuje to aktualizacji, ale zmniejsza powierzchnię ataku.
Monitoring powinien obejmować również sam monitoring
Częstym błędem jest przekonanie, że skoro RMM służy do monitorowania infrastruktury, sam nie potrzebuje zewnętrznego nadzoru.
Tymczasem warto niezależnie monitorować:
- dostępność serwera RMM,
- logowania administracyjne,
- zmiany konfiguracji,
- wykorzystanie CPU i RAM,
- miejsce na dysku,
- certyfikaty,
- połączenia wychodzące,
- wykonanie backupu,
- status aktualizacji.
Krytyczny system administracyjny powinien pozostawić logi również poza własnym serwerem.
Co powinien zrobić klient korzystający z usług zewnętrznej firmy IT?
Klient nie musi znać technicznych szczegółów każdej platformy używanej przez dostawcę. Powinien jednak wiedzieć, w jaki sposób chroniony jest dostęp do jego komputerów.
Warto zapytać partnera IT:
- czy stosuje MFA,
- czy technicy mają konta imienne,
- czy działania administratorów są logowane,
- jak szybko wdrażane są pilne poprawki,
- jak chroniona jest konsola zdalnego dostępu,
- czy istnieje procedura reakcji na incydent,
- czy system administracyjny jest objęty backupem,
- czy klient może otrzymać raport z wykonanych działań.
CISA od kilku lat zwraca uwagę, że narzędzia MSP i oprogramowanie do zdalnego zarządzania wymagają szczególnej ochrony ze względu na dostęp do środowisk klientów.
Checklista dla administratora
- Sprawdź, czy organizacja używa N-central On-Premises.
- Zweryfikuj build.
- Zainstaluj 2026.3.1.10 zgodnie z instrukcją N-able.
- Nie zakładaj, że wcześniejszy Hotfix 1 wystarczy.
- Zabezpiecz logi przed aktualizacją.
- Przejrzyj konta administratorów.
- Sprawdź sesje zdalnego dostępu.
- Przejrzyj nietypowe usługi Windows.
- Sprawdź alerty EDR.
- Zweryfikuj połączenia wychodzące.
- Zmień zagrożone poświadczenia, jeśli istnieją oznaki kompromitacji.
- Ogranicz dostęp do konsoli.
- Wymuś MFA.
- Włącz niezależny monitoring platformy.
Najczęstsze pytania o bezpieczeństwo systemów RMM
Czym jest system RMM?
RMM, czyli Remote Monitoring and Management, to system używany przez administratorów IT do monitorowania komputerów, serwerów i urządzeń oraz wykonywania zdalnych działań administracyjnych.
Dlaczego przejęcie systemu RMM jest szczególnie ryzykowne?
Konsola RMM może mieć dostęp administracyjny do wielu urządzeń jednocześnie. Jej przejęcie może umożliwić działania na wielu komputerach i serwerach zamiast tylko na jednym urządzeniu.
Czy Hotfix 1 dla N-central wystarczy?
Według komunikatu N-able Hotfix 2 w wersji 2026.3.1.10 zastępuje wcześniejszy Hotfix 1 i powinien zostać wdrożony również tam, gdzie wcześniejsza poprawka została już zainstalowana.
Czy sama aktualizacja N-central wystarczy?
Jeżeli serwer był wcześniej podatny, należy poza aktualizacją przejrzeć logi, konta administratorów, sesje zdalnego dostępu, połączenia wychodzące i inne oznaki możliwego naruszenia.
Jak zabezpieczyć system zdalnego zarządzania?
Należy stosować MFA, konta imienne, minimalne uprawnienia, ograniczenia dostępu sieciowego, centralne logowanie, monitoring oraz regularne aktualizacje.
Podsumowanie
Incydent N-central nie oznacza, że systemy RMM są złym rozwiązaniem. Wręcz przeciwnie – są jednym z podstawowych narzędzi profesjonalnej administracji.
Muszą jednak być traktowane jako infrastruktura uprzywilejowana. Aktualizacje, MFA, kontrola kont, niezależne logowanie i procedura reakcji na incydent są tu równie ważne jak funkcje samego monitoringu.
Partnerhosted pomaga firmom z Poznania i Wielkopolski monitorować infrastrukturę i świadczyć obsługę informatyczną, prowadzić administrację serwerami i siecią oraz rozwijać cyberbezpieczeństwo. Dobrym punktem wyjścia może być krótki audyt IT.