ConnectWise-ийн нөөцлөлт зогсов: Microsoft 365 эрхээ одоо шалга

2026 оны 10 дугаар сарын 21-ний 00:30 UTC үеийн ConnectWise-ийн албан шинэчлэлтэд Cloud Backup, SaaS Security, Cloud Management зогссон хэвээр, төлөвлөгөөт нөөцлөлт, архивт хандах болон сэргээх ажиллагаа боломжгүй байгааг дурджээ. Тус компани хадгалсан архивыг “encrypted, isolated, and preserved” гэж тодорхойлсон ч энэ дүгнэлт хэрэглэгчийн ажиллаж буй Microsoft 365 tenant-д хамаарахгүй. Иймээс байгууллага болон MSP үйлчилгээ сэргэхийг хүлээлгүй өөрийн удирддаг tenant бүрийн аппын нэвтрэлт, эрх, шинээр нэмэгдсэн credential-ийг шалгах шаардлагатай.

Huntress-ийн инцидентийн шинжилгээгээр эвдэгдсэн Cloud Backup credential-ийг ашиглан 10 дугаар сарын 15-нд хэрэглэгчдийн Microsoft 365 орчинд аппын таних мэдээллээр нэвтэрсэн бөгөөд 10 дугаар сарын 16-ны 19:00 UTC гэхэд 162 tenant дахь зөвшөөрөлгүй нэвтрэлтийг баталгаажуулжээ. Мөн 10 дугаар сарын 19-ний нэмэлт ажиглалтад хоёр tenant-д ConnectWise-ийн өөр апп өөртөө Global Administrator эрх олгож, бусад аппад шинэ secret нэмсэн үйл явдал багтсан. Нийлүүлэгчийн аппыг хаах нь tenant дотор урьд нь нэмэгдсэн ийм хандалтыг автоматаар арилгахгүй.

Нэг аппын credential олон tenant-д яаж хүрсэн бэ

Cloud Backup нь нөөцлөх, сэргээх ажлаа гүйцэтгэхийн тулд хэрэглэгчийн tenant-аас Microsoft 365-ийн өгөгдөлд хандах зөвшөөрөл авдаг. Апп нь хүний хэрэглэгчээр нэвтрэхгүй, Microsoft Entra ID дахь service principal буюу аппын таних мэдээллээр өөрийгөө баталгаажуулна. Нийлүүлэгчийн талд хадгалагддаг credential халдагчийн гарт орвол тухайн аппыг зөвшөөрсөн tenant бүрт өмнө нь олгогдсон эрхийн хүрээнд нэвтрэх боломж үүсдэг.

Сэжигтэй нэвтрэлтүүд Microsoft Graph-ийн access token авсан нь тогтоогдсон. Ийм token нь аппад өгсөн зөвшөөрлийн хүрээнд шуудан, файл эсвэл лавлах мэдээлэлд хүрэх боломж олгодог ч амжилттай нэвтрэлт бүр өгөгдөл хуулсан гэсэн үг биш. Энэ ялгаа шалгалтад чухал: нэвтрэх оролдлого, амжилттай баталгаажуулалт, тохиргооны өөрчлөлт, өгөгдөлд хандалт тус бүр өөр баримтаар тогтоогдоно.

Шинэ secret нэмсэн тохиолдол өөр эрсдэл харуулж байна. Анхны ConnectWise холболтыг идэвхгүй болгосны дараа ч өөр аппад суулгасан credential хүчинтэй үлдвэл түүгээр дахин нэвтрэх боломжтой. Тиймээс Cloud Backup-ийн service principal-ийг хараад зогсохгүй, тухайн хугацаанд өөрчлөгдсөн бусад аппын бүртгэл болон тэдгээрт олгосон эрхийг хамтад нь үзэх хэрэгтэй.

Гурван үйлчилгээ зогссон үеийн бодит хязгаар

Cloud Backup ажиллахгүй байх хугацаанд шинэ нөөц хуулбар үүсэхгүй, хадгалсан архивт хандах болон түүнээс сэргээх боломжгүй. SaaS Security-ийн хяналт, дохиолол болон Cloud Management-ийн хэрэглэгч, лицензийн удирдлага мөн түр зогссон. Эдгээр үйлчилгээ Cloud Backup-тай холбогддог тул түр хаасан; тэдгээрийн зогсолт нь хэрэглэгч бүрийн tenant-д халдагч нэвтэрснийг дангаараа илтгэхгүй.

Архив хадгалагдсан тухай мэдээлэл нь түүнийг одоо сэргээх боломжтой гэсэн үг биш. Бас архивын орчны шалгалтаар хэрэглэгчийн амьд tenant доторх аппын нэвтрэлт, эрхийн өөрчлөлтийг бүрэн тогтоох боломжгүй. Нөөцлөлтийн завсарлага үргэлжлэхэд байгууллага сүүлийн амжилттай нөөцлөлтийн огноо, сэргээх шаардлагатай өгөгдөл болон өөрт байгаа хамгаалалтын хамрах хүрээг тусад нь үнэлэх хэрэгтэй.

ConnectWise нөлөөлсөн аппын холболтыг хааж, Cloud Backup орчны account болон credential-ийг шинэчилсэн. Гэвч нийлүүлэгчийн талын энэ арга хэмжээ хэрэглэгчийн Enterprise applications дахь тохиргоо, өмнө олгосон token эсвэл өөр identity дээр нэмэгдсэн credential-ийг tenant бүрт шалгасан гэсэн үг биш. SaaS Security-ийн дохиолол тасарсан үед өмнө нь тохируулсан Microsoft 365 болон SIEM бүртгэл онцгой ач холбогдолтой болно.

Tenant бүрийн нэвтрэлтийг хаанаас, ямар хугацаанд шалгах вэ

ConnectWise-ийн техникийн заавар MSP-ийн өөрийн болон удирддаг хэрэглэгч бүрийн tenant-ийг, ашиглахаа больсон SkyKick холболттой орчныг ч тусад нь шалгахыг зөвлөжээ. Тус зааварт 2026 оны 10 дугаар сарын 17-ны 07:00 UTC-д нийлүүлэгчийн талд идэвхгүй болгосон долоон аппын Application ID-г жагсаасан. Cloud Backup-ийн ID нь 506e08f9-6e9a-4da4-942b-a099a03644ae, харин Cloud Management - MS Teams-ийн ID нь 24205314-2b89-4e07-a2a4-579e898a5640 юм.

Эхлээд зөв directory сонгосноо tenant ID-гаар баталгаажуулж, Microsoft Entra ID-ийн Enterprise applications хэсэгт холбогдох апп бүрийг харагдах нэрээр нь бус Application ID-гаар тулгана. Хуучин суулгац SkyKick Cloud Manager гэсэн нэртэй байж болно. Нөлөөлсөн холболт tenant дотор нэвтрэх эрхтэй хэвээр байвал эрх бүхий админ түүнийг идэвхгүй болгож, хадгалсан төлөв, local Object ID, өөрчлөлт хийсэн хүн болон UTC цагийг тэмдэглэх ёстой; аппыг шууд устгавал шалгалтад хэрэгтэй тохиргоо алдагдаж болно.

Дараа нь Entra-ийн Service principal sign-ins хэсгээс тухайн Application ID-уудын нэвтрэлтийг үзнэ. Ердийн User sign-ins харагдац аппын энэ төрлийн баталгаажуулалтыг бүрэн харуулахгүй. Хайлтыг 2026 оны 10 дугаар сарын 13-наас эхлүүлж, бүртгэл хүрэлцвэл 10 дугаар сарын 1 хүртэл ухраан шалгана. Сэжигтэй 144.172.64.128 хаягийг тусад нь шүүхийн зэрэгцээ бусад эх сурвалжийн хаяг, амжилттай эсэх, хандсан нөөц болон холбогдох correlation ID-г үнэлэх шаардлагатай.

Боломжтой sign-in, directory audit, Microsoft Purview-ийн бүртгэл болон өмнө нь SIEM-д цуглуулсан мэдээллийг хадгална. Entra Free төлөвлөгөөнд эдгээр бүртгэл ердийн нөхцөлд 7 хоног, P1/P2-д 30 хоног хадгалагддаг; өмнө экспортолсон мэдээлэл илүү урт хугацааг хамарч болно. Монголын орон нутгийн цаг ба UTC-ийн зөрүүг тэмдэглэхгүй бол өөр системийн үйл явдлыг буруу дарааллаар холбох эрсдэлтэй. Бүртгэл дутуу хэсгийг тодорхой үлдээх нь сэжигтэй үйл явдал харагдаагүй гэсэн дүгнэлтийн хүрээг зөв тогтооно.

Аппын эрх ба шинэ credential-ийг тусад нь шалгах нь

Нэвтрэлтийн бүртгэлээс гадна Directory audit дахь аппын secret, certificate, federated credential нэмсэн эсвэл өөрчилсөн үйл явдлыг шалгана. App registrations дотор tenant-ийн өөрийн бүртгэсэн аппуудын Certificates & secrets хэсгийг, Enterprise applications дотор нийлүүлэгчийн аппын service principal болон олгосон зөвшөөрлийг үзэх хэрэгтэй. Нийлүүлэгчийн бүртгэсэн апп хэрэглэгчийн App registrations хэсэгт харагдахгүй байж болох тул ганц жагсаалтаар шалгалтаа дуусгаж болохгүй.

Аудитын мөр бүрээс өөрчлөлтийг эхлүүлсэн identity, өөрчилсөн объект, үр дүн, цаг болон зөвшөөрөгдсөн ажлын бүртгэлтэй таарч байгаа эсэхийг тогтооно. Ялангуяа Global Administrator, Exchange Administrator, SharePoint Administrator зэрэг role, аппын owner, admin consent болон API permission өөрчлөгдсөн эсэхийг шалгана. Credential-ийн хүчинтэй байх эхлэх огноо нь түүнийг яг хэзээ нэмснийг дангаараа нотлохгүй; audit үйл явдал болон одоогийн тохиргоог хамтад нь тулгах шаардлагатай.

Нөлөөлсөн identity өөр аппад эрх олгосон эсвэл credential нэмсэн бол шалгалтыг тэр аппын нэвтрэлт рүү үргэлжлүүлнэ. Exchange-ийн гаднын хаяг руу дамжуулах тохиргоо, inbox болон mail-flow дүрэм, шуудангийн хайрцагт олгосон нэмэлт хандалт, Conditional Access-ийн өөрчлөлт ч тусдаа нэвтрэх зам үлдсэн эсэхийг илрүүлж болно. Зөвшөөрөлгүй өөрчлөлт батлагдвал баримтаа хадгалсны дараа эрх бүхий хариуцагч credential, role эсвэл зөвшөөрлийг арилгаж, үр дүнг дахин баталгаажуулах ёстой.

Үйлчилгээг шат дараатай сэргээх хугацаа болон холболтыг дахин идэвхжүүлэх заавар хараахан тогтоогдоогүй. Тэр шийдвэр гарах хүртэл нөлөөлсөн аппуудыг идэвхгүй хэвээр байлгаж, tenant бүрт ямар хугацааны бүртгэл шалгасан, ямар эрхийн өөрчлөлт шийдэгдсэн, аль нь шалгагдаагүй үлдсэнийг тэмдэглэх нь сэргээх үед хандалтыг зөв олгох суурь болно.

Мөн уншаарай:

• Microsoft, Adobe-ийн PERM хүсэлт зогсов: H-1B өөрөө хаагдаагүй
• Backup-аа түгжсэн ч устгаж болно: S3 Object Lock-ийн эрхийг давхар шалга
• AWS secret эргүүлэхдээ connection бүү тасал: хоёр хэрэглэгч ээлжлүүл