Wat is Remote Monitoring and Management (RMM) Security?

Ontdek hoe dreigingsactoren RMM-tools misbruiken voor ransomware-aanvallen en leer detectiestrategieën en beveiligingsmaatregelen om uw omgeving te beschermen.

Wat is RMM?

Remote Monitoring and Management (RMM)-software stelt IT-teams en managed service providers in staat om verspreide eindpunten op afstand te monitoren, onderhouden en beheren. Kernfunctionaliteiten omvatten externe toegang, systeemmonitoring, autonoom patchbeheer en het uitvoeren van geprivilegieerde scripts. Volgens de Remote Access Guide van CISA functioneren RMM-tools als software waarmee "managed service providers (MSP's), software-as-a-service (SaaS)-aanbieders, IT-helpdesks en andere netwerkbeheerders op afstand verschillende functies kunnen uitvoeren."

Overweeg dit scenario: uw IT-team implementeert ConnectWise ScreenConnect om 9:00 uur voor legitiem systeemonderhoud. Om 9:15 uur gebruiken BlackSuit ransomware-operators datzelfde hulpmiddel om uw volledige netwerk te versleutelen. Dit scenario speelde zich af gedurende 2024-2025, waarbij de FBI en CISA meer dan 900 slachtoffers van alleen al de Play-ransomwarecampagne documenteerden tot en met mei 2025.

Hoe RMM zich verhoudt tot cybersecurity

RMM-tools zijn geëvolueerd van essentiële IT-beheerplatforms tot aanvalsoppervlakken die worden misbruikt door dreigingsactoren, variërend van cybercriminelen tot statelijke APT's. Deze transformatie vond plaats omdat RMM-software precies biedt wat aanvallers nodig hebben: geprivilegieerde systeemtoegang, command & control-infrastructuur en legitiem ogend netwerkverkeer dat traditionele beveiligingsmaatregelen omzeilt.

Volgens CISA Advisory AA23-061A over BlackSuit Ransomware, "observeerde de FBI dat BlackSuit-acteurs legitieme remote monitoring and management (RMM)-software gebruikten om persistentie te behouden in slachtofferomgevingen." MITRE ATT&CK T1219.002 benoemt de fundamentele beveiligingsuitdaging: RMM-tools "worden vaak gebruikt als legitieme technische ondersteuningssoftware en kunnen worden toegestaan door applicatiecontrole binnen een doelomgeving."

Om te begrijpen waarom RMM-platforms zo'n groot beveiligingsrisico vormen, moeten organisaties eerst de architecturale componenten onderzoeken die deze tools zowel krachtig als gevaarlijk maken.

Kerncomponenten van RMM

RMM-platforms bestaan uit onderling verbonden architecturale componenten die grootschalig extern beheer mogelijk maken. Inzicht in deze componenten laat zien waarom dreigingsactoren RMM-infrastructuur aanvallen en hoe misbruik zich verspreidt over omgevingen.

• Centraal beheerconsole fungeert als het administratieve controlevlak waar IT-teams beleid configureren, agents uitrollen en de status van eindpunten monitoren. Wanneer dreigingsactoren deze console compromitteren, verkrijgen zij gelijktijdig administratieve controle over alle beheerde eindpunten.
• Agentsoftware geïnstalleerd op beheerde eindpunten voert opdrachten uit, verzamelt systeemgegevens en onderhoudt persistente verbindingen met de beheerinfrastructuur. Deze agents draaien met SYSTEM- of rootrechten om beheertaken uit te voeren. Volgens CISA's Remote Access Guide stelt deze geprivilegieerde uitvoeringscontext dreigingsactoren in staat om ransomware uit te rollen, inloggegevens te verzamelen en lateraal te bewegen zonder privilege-escalatiealarmen te activeren.
• Communicatie-infrastructuur legt uitgaande verbindingen van beheerde eindpunten naar RMM-servers voor het ontvangen van opdrachten en het verzenden van gegevens. Dreigingsactoren misbruiken deze vooraf goedgekeurde communicatiekanalen voor command & control, waarbij kwaadaardig verkeer wordt vermengd met geautoriseerde beheersessies.
• Autonome scriptingengine stelt IT-teams in staat om patches uit te rollen, systemen te configureren en herstelmaatregelen uit te voeren op duizenden eindpunten via PowerShell, Bash of propriëtaire scripttalen. Volgens CISA Advisory AA25-071A over Medusa Ransomware zetten dreigingsactoren base64-geobfusceerde PowerShell-scripts uit via RMM-platforms om Veeam-backupgegevens te verzamelen en netwerkstructuren te inventariseren voorafgaand aan ransomware-uitrol.
• Remote access-interface biedt interactieve desktopbediening, bestandoverdracht en externe shell-toegang voor probleemoplossing en beheer. Groepen zoals Scattered Spider zetten meerdere RMM-tools in, waaronder TeamViewer en AnyDesk, terwijl Storm-1811 ScreenConnect en NetSupport Manager misbruikt om persistente interactieve toegang te verkrijgen.

Ondanks deze beveiligingszorgen blijven RMM-tools essentieel voor moderne IT-operaties. Inzicht in hun legitieme waarde verklaart waarom organisaties ze blijven inzetten—en waarom dreigingsactoren ze zo aantrekkelijk vinden.

Belangrijkste voordelen van RMM

RMM-platforms leveren meetbare operationele efficiëntie voor IT-teams die verspreide infrastructuur op schaal beheren. Deze legitieme voordelen verklaren waarom organisaties RMM-tools inzetten en waarom dreigingsactoren ze systematisch misbruiken.

• Gecentraliseerd beheer op schaal stelt één beheerder in staat om duizenden eindpunten op verschillende locaties te beheren via uniforme consoles. Volgens documentatie van CISA en FBI creëert deze centralisatie echter aanzienlijke beveiligingsrisico's wanneer RMM-platforms worden gecompromitteerd, met gevolgen voor organisaties in gedocumenteerde ransomwarecampagnes.
• Proactieve systeemmonitoring maakt continue logging en monitoring van RMM-activiteiten mogelijk om ongeautoriseerde toegang en verdachte laterale beweging-patronen te detecteren. Autonome waarschuwingen bij afwijkend RMM-gedrag verkorten de verblijftijd en versnellen incidentrespons.
• Autonoom patchbeheer rolt beveiligingsupdates, applicatiepatches en configuratiewijzigingen uit zonder handmatige tussenkomst. RMM-platforms verzorgen distributie, installatie en verificatie op beheerde eindpunten, waardoor kwetsbaarheidsvensters sneller worden gesloten dan bij handmatige processen.
• Verminderde behoefte aan onsite support elimineert fysieke toegang voor de meeste probleemoplossing en onderhoudstaken. Supportteams kunnen helpdesktickets oplossen via externe sessies in plaats van technici te sturen, wat supportkosten verlaagt en oplostijden versnelt.

Dezelfde mogelijkheden die RMM onmisbaar maken voor IT-teams—geprivilegieerde toegang, externe opdrachtuitvoering en persistente connectiviteit—maken deze tools even waardevol voor aanvallers die netwerkcontrole nastreven.

Hoe dreigingsactoren RMM-tools misbruiken

Dreigingsactoren misbruiken RMM-tools via vier primaire aanvalsvectoren, elk gebruikmakend van het inherente vertrouwen dat organisaties stellen in remote management-infrastructuur.

• Inloggegevensdiefstal en accountcompromittering is de meest voorkomende misbruikmethode. Volgens CISA Advisory AA23-025A richten dreigingsactoren zich op "legitieme, gecompromitteerde inloggegevens" via phishingcampagnes, credential stuffing-aanvallen met wachtwoorden uit eerdere datalekken en het kopen van gestolen inloggegevens van initial access brokers op dark web-marktplaatsen. Zodra aanvallers geldige RMM-inloggegevens verkrijgen, erven zij volledige administratieve rechten op alle beheerde eindpunten zonder beveiligingsalarmen te activeren. Inloggegevensdiefstal stelt aanvallers in staat zich naadloos te mengen met legitieme beheerdersactiviteiten, waardoor detectie uiterst moeilijk wordt. Dreigingsactoren richten zich ook op serviceaccounts en API-sleutels die mogelijk zwakkere wachtwoordbeleid hebben of geen MFA afdwingen.
• Kwetsbaarheden misbruiken richt zich op niet-gepatchte RMM-platforms met bekende beveiligingsfouten. ConnectWise ScreenConnect's CVE-2024-1709 behaalde een CVSS-score van 10.0 met authenticatieomzeiling die ongeauthenticeerde remote code execution mogelijk maakt. Binnen enkele dagen na openbaarmaking wapenden dreigingsactoren deze kwetsbaarheid voor massale ransomware-uitrol bij duizenden organisaties. Volgens CISA Advisory AA25-163A leidde actieve exploitatie van SimpleHelp RMM tot "dienstonderbrekingen en dubbele afpersingsincidenten" bij een leverancier van utility billing-software en diens klanten.
• Rogue RMM-implementatie houdt in dat dreigingsactoren ongeautoriseerde remote access-tools installeren op gecompromitteerde systemen om persistente toegang te verkrijgen, onafhankelijk van bestaande beveiligingsmaatregelen. Aanvallers verspreiden legitieme RMM-software zoals AnyDesk of TeamViewer vermomd als zakelijke documenten via phishingmails. Volgens CISA Advisory AA23-025A gebruiken aanvallers helpdesk-georiënteerde phishingcampagnes om gebruikers te overtuigen externe toegang te verlenen of draagbare RMM-executables te installeren die geen installatiebevoegdheden vereisen. Deze draagbare versies omzeilen applicatiewhitelisting en bieden directe externe toegang zonder administratieve inloggegevens.

• Supply chain-compromittering richt zich op MSP's en IT-dienstverleners die RMM-infrastructuur beheren voor meerdere klanten. Eén MSP-compromittering verspreidt zich naar alle klanten via vertrouwde beheerskanalen. De aanval op Kaseya VSA in 2021 toonde dit versterkingseffect aan toen REvil ransomware zich via MSP-relaties verspreidde en binnen enkele uren meer dan 1.500 organisaties versleutelde. Aanvallers richten zich specifiek op MSP's omdat één gecompromitteerde provider toegang geeft tot tientallen of honderden klantomgevingen.

Gezien deze misbruikmethoden hebben securityteams betrouwbare indicatoren nodig om kwaadaardige RMM-activiteiten van legitiem beheer te onderscheiden.

Hoe RMM-gebaseerde aanvallen te detecteren

Het detecteren van RMM-gebaseerde aanvallen vereist monitoring op gedragsafwijkingen die kwaadaardige activiteiten onderscheiden van legitiem beheer. Traditionele, op signatures gebaseerde detectie faalt omdat RMM-tools legitieme software zijn die verwachte functies uitvoeren.

• Ongeautoriseerde installatie van RMM-tools: Monitor op nieuwe remote access-software op eindpunten zonder goedkeuring via change management. Let op tools die niet zijn toegestaan door het IT-beleid, waaronder TeamViewer, AnyDesk, ScreenConnect, Atera, Splashtop, LogMeIn, RemotePC en NetSupport Manager. Volgens MITRE ATT&CK-documentatie zetten dreigingsactoren vaak meerdere RMM-tools tegelijk in om redundante toegangskanalen te creëren.
• Afwijkende sessietijden en -duur: Markeer toegangspatronen buiten kantooruren voor onderzoek. RMM-sessies die om 2:00 uur worden gestart vanuit geografische locaties die niet overeenkomen met die van beheerders, vereisen directe beoordeling. Monitor sessies met een ongebruikelijke duur ten opzichte van het normale beheer, vooral langdurige sessies op systemen die zelden externe administratie vereisen.
• Verdachte opdrachtuitvoering: Waarschuw bij base64-gecodeerde PowerShell-opdrachten, tools voor het verzamelen van inloggegevens gericht op LSASS-geheugen of Veeam-backupdatabases, en netwerk-inventarisatieopdrachten zoals nltest, net group, dsquery of systeminfo uitgevoerd via RMM-kanalen. Volgens CISA Advisory AA25-071A gebruiken dreigingsactoren cmd.exe en PowerShell via RMM-platforms voor bestandsinventarisatie en credential harvesting voorafgaand aan ransomware-uitrol.
• Indicatoren van laterale beweging: Houd bij welke eindpunten beheerders normaal beheren en waarschuw wanneer RMM-sessies domeincontrollers, backupservers, financiële systemen of werkstations van directieleden targeten zonder gedocumenteerde wijzigingsverzoeken. Plotselinge toegang tot kritieke assets vanuit eerder inactieve RMM-verbindingen duidt op mogelijke compromittering.
• Meerdere gelijktijdige RMM-installaties: Aanvallers installeren reserve-RMM-tools om persistentie te behouden als securityteams hun primaire toegang uitschakelen. Waarschuw wanneer eindpunten meer dan één actieve RMM-agent tonen of wanneer nieuwe RMM-tools kort na beveiligingsincidenten verschijnen. Onderhoud een whitelist van goedgekeurde RMM-tools en beschouw elke afwijking als een potentiële indicator van compromittering.
• Bestandsoverdrachtactiviteit: Monitor op grote bestandsoverdrachten naar externe bestemmingen, vooral gecomprimeerde archieven of database-exporten die buiten kantooruren worden overgedragen. Dreigingsactoren gebruiken vaak RMM-bestandsoverdrachtfuncties om gevoelige data te exfiltreren voorafgaand aan ransomware-uitrol.

Centraliseer RMM-logs in SIEM-platforms om deze indicatoren omgevingsbreed te correleren en snel te kunnen reageren op opkomende dreigingen.

Zelfs met robuuste detectiemogelijkheden blijven organisaties fundamentele beveiligingsuitdagingen ondervinden die inherent zijn aan RMM-architectuur en verdedigingsinspanningen bemoeilijken.

RMM-beveiligingsuitdagingen en beperkingen

RMM-platforms brengen fundamentele beveiligingsuitdagingen met zich mee die traditionele benaderingen niet kunnen oplossen. Deze uitdagingen zijn het gevolg van architecturale ontwerpkeuzes die administratieve functionaliteit boven beveiligingsmaatregelen stellen.

• Applicatiecontrole omzeilen door ontwerp vindt plaats omdat RMM-tools worden gezien als legitieme, vooraf goedgekeurde software die verwachte beheertaken uitvoert. Volgens MITRE ATT&CK T1219.002 "worden RMM-tools vaak gebruikt als legitieme technische ondersteuningssoftware en kunnen ze worden toegestaan door applicatiecontrole binnen een doelomgeving." Endpointbeveiliging ziet geautoriseerde software en staat uitvoering toe.
• Vereisten voor geprivilegieerde toegang vereisen dat RMM-agents draaien met SYSTEM- of rootrechten om beheertaken uit te voeren. Wanneer dreigingsactoren RMM-sessies compromitteren, erven zij deze verhoogde rechten terwijl ze het uiterlijk van legitieme beheerdersactiviteiten behouden.
• Legitieme verkeerspatronen maken netwerkgebaseerde identificatie ineffectief omdat RMM-communicatie identiek lijkt aan geautoriseerde beheersessies. Volgens CISA's Remote Access Guide gebruiken dreigingsactoren legitieme RMM-infrastructuur om "meerdere inbraken tegelijk te beheren," waarbij ze meerdere gecompromitteerde netwerken gelijktijdig aansturen via goedgekeurde kanalen.
• Kwetsbaarheidsvensters creëren urgente patchvereisten wanneer RMM-platforms te maken krijgen met authenticatieomzeiling of remote code execution-kwetsbaarheden. Deze kwetsbaarheden worden snel bewapend door dreigingsactoren die het internet scannen op blootgestelde RMM-infrastructuur.
• Proliferatie van multi-vendor tools veroorzaakt zichtbaarheidshiaten wanneer organisaties meerdere RMM-oplossingen inzetten over afdelingen, overgenomen dochterondernemingen of projectgebonden behoeften. IT-afdelingen keuren ScreenConnect goed terwijl ontwikkelteams TeamViewer installeren en helpdesks Splashtop inzetten zonder centrale controle.

Deze architecturale uitdagingen worden kritieke kwetsbaarheden wanneer ze worden gecombineerd met veelvoorkomende operationele tekortkomingen.

Veelvoorkomende RMM-beveiligingsfouten

Organisaties maken vaak vermijdbare fouten die hun RMM-infrastructuur blootstellen aan misbruik:

• Shadow IT en ongeautoriseerde RMM-implementaties ontstaan wanneer organisaties niet alle remote access-tools in hun omgeving inventariseren. Volgens CISA Advisory AA23-025A misbruiken dreigingsactoren shadow IT-installaties die zich verspreiden zonder dat het securityteam hiervan op de hoogte is.
• Zwakke of standaard inloggegevens op RMM-platforms bieden directe administratieve toegang via credential abuse. CISA Advisory AA23-025A benoemt het gebruik van zwakke inloggegevens of inloggegevens die zijn gecompromitteerd bij eerdere datalekken als een kritieke kwetsbaarheid.
• Onvoldoende netwerksegmentatie maakt laterale beweging mogelijk door de hele omgeving na initiële RMM-compromittering. Dreigingsactoren gebruiken RMM voor laterale beweging van initiële toegang tot volledige netwerkcompromittering.
• Onvoldoende logging en monitoring stelt dreigingsactoren in staat kwaadaardige operaties uit te voeren terwijl ze zich voordoen als legitieme beheersessies. Het niet monitoren van RMM-sessielogs maakt data-exfiltratie en malware-uitrol mogelijk zonder detectie.
• Niet-gepatchte RMM-software biedt bekende uitbuitingsroutes met publiek beschikbare exploitcode. ConnectWise ScreenConnect CVE-2024-1709 treft versies 23.9.7 en eerder met een CVSS-score van 10.0.

Het aanpakken van deze fouten vereist systematische implementatie van beveiligingsmaatregelen die operationele behoeften in balans brengen met risicoreductie.

RMM-beveiligingsmaatregelen en best practices

Het implementeren van beveiligingsmaatregelen op basis van CISA-, NSA- en CIS Controls-richtlijnen vermindert het risico op RMM-misbruik terwijl operationele functionaliteit behouden blijft.

• Verplichte inventarisatie en audit van RMM-software: Zorg voor zicht op alle remote access-tools die in de omgeving zijn uitgerold. Voer elk kwartaal een audit uit van RMM-software met endpoint-identificatietools en netwerkverkeersanalyse. Blokkeer de uitvoering van ongeautoriseerde remote access-software via applicatiecontrolebeleid in lijn met CIS Control 2.
• Sterke authenticatie en afdwingen van MFA: Vereis multi-factor authenticatie voor alle RMM-beheertoegang. Implementeer phishing-resistente MFA-methoden die omzeiling via sessietoken-diefstal voorkomen.
• Continue kwetsbaarheidsmanagement met prioriteitspatching: Monitor CISA's Known Exploited Vulnerabilities-catalogus op RMM-gerelateerde CVE's. Stel noodpatchprocedures in voor internetgerichte RMM-infrastructuur, los van reguliere patchcycli.
• Netwerksegmentatie en toegangsbeperkingen: Implementeer RMM-infrastructuur in geïsoleerde netwerksegmenten met strikte firewallregels. Beperk RMM-toegang tot specifieke eindpuntgroepen op basis van beheerdersbehoefte.
• Phishing-resistentie en gebruikersbewustzijnstraining: Train gebruikers om RMM-gerelateerde phishingcampagnes te herkennen. Implementeer e-mailbeveiligingsmaatregelen die uitvoerbare bijlagen blokkeren die zich voordoen als belastingdocumenten of facturen.
• Incidentresponsplanning voor RMM-compromittering: Documenteer procedures voor het intrekken van noodtoegang tot RMM. Onderhoud alternatieve beheertoegangsopties die niet afhankelijk zijn van mogelijk gecompromitteerde RMM-platforms.
• Implementatie van gedrags-AI voor patroonherkenning: Implementeer endpointbeveiligingsplatforms met gedrags-AI die verdacht gedrag van remote access-tools monitort. Beveiligingsplatforms moeten waarschuwen bij het gelijktijdig uitrollen van meerdere RMM-tools, onverwachte beheerdersacties buiten kantooruren of RMM-sessies vanuit ongebruikelijke geografische locaties.

Het implementeren van gedrags-AI-detectie vereist beveiligingsplatforms die speciaal zijn ontworpen om afwijkend RMM-gedrag te identificeren terwijl legitieme beheertaken mogelijk blijven.

Stop RMM-gebaseerde aanvallen met SentinelOne

SentinelOne Singularity Platform gebruikt gedrags-AI om RMM-gebaseerde aanvallen te detecteren en autonoom te stoppen via continue monitoring van eindpuntgedrag. Het platform levert sterke prestaties in onafhankelijke MITRE ATT&CK-evaluaties met hoge dreigingszichtbaarheid en geen vertragingen. SentinelOne wordt erkend als Gartner Magic Quadrant Leader voor Endpoint Protection Platforms.

Wanneer dreigingsactoren RMM-clients verspreiden die zich voordoen als zakelijke documenten, gebruikt Singularity Endpoint gedrags-AI om uitvoeringsketens te detecteren, waaronder processinjectie, privilege-escalatie en netwerkverbindingen met ongeautoriseerde RMM-infrastructuur. Securityteams ontvangen gecorreleerde waarschuwingen met volledige forensische context via Storyline-technologie, die volledige aanvalsnarratieven automatisch reconstrueert en koppelt aan MITRE ATT&CK TTP's.

Purple AI versnelt RMM-dreigingsonderzoek via natuurlijke taalqueries en AI-gegenereerde analyses. Wanneer teams verdachte ScreenConnect-activiteit om 2:00 uur onderzoeken, biedt Purple AI conversatie-inzichten over welke systemen zijn benaderd en waarom bepaald gedrag mogelijk op kwaadaardige intentie wijst. Early adopters rapporteren tot 80% snellere threat hunting met de natuurlijke taalinterface van Purple AI.

Wanneer dreigingsactoren ransomware-payloads uitvoeren via gecompromitteerde RMM-sessies, identificeert de gedrags-AI van Singularity Platform verdachte activiteits­patronen en activeert autonome responsacties zoals procesbeëindiging en netwerkisolatie. Met één klik wordt herstel uitgevoerd naar de toestand vóór de aanval, waardoor schade wordt beperkt en losgeldbetalingen worden voorkomen. Volgens SentinelOne MITRE-evaluatie genereerde het platform 88% minder waarschuwingen dan concurrerende oplossingen, waardoor alertmoeheid afneemt bij volledige dreigingszichtbaarheid.

Vraag een SentinelOne-demo aan om te zien hoe gedrags-AI RMM-gebaseerde aanvallen autonoom stopt.

Belangrijkste inzichten

RMM-tools zijn geëvolueerd van essentiële IT-platforms tot aanvalsoppervlakken die worden misbruikt door ransomwarefamilies zoals BlackSuit, Medusa, LockBit, Play, RansomHub, Akira, Phobos en Rhysida. De FBI en CISA documenteerden meer dan 900 organisaties die alleen al door de Play-ransomwarecampagne werden getroffen tot en met mei 2025. Dreigingsactoren misbruiken RMM-tools via inloggegevensdiefstal, kwetsbaarheden, ongeautoriseerde toolimplementatie en supply chain-compromittering gericht op MSP's.

Overheidsadviezen van CISA, FBI en NSA identificeren RMM-misbruik als een volwassen, breed toegepaste tactiek die verplichte verdedigingsmaatregelen vereist. Organisaties dienen software-audits, MFA-afdwinging, netwerksegmentatie en grondige logging en monitoring te implementeren om RMM-beveiligingsrisico's te verkleinen. Detectiestrategieën moeten zich richten op gedragsafwijkingen zoals toegang buiten kantooruren, ongeautoriseerde toolinstallatie en verdachte opdrachtuitvoering via RMM-scriptingengines.

Gedrags-AI-benaderingen detecteren afwijkende gebruikspatronen via continue monitoring van eindpuntgedrag die door signature-gebaseerde tools worden gemist. SentinelOne Singularity Platform levert sterke MITRE ATT&CK-evaluatieprestaties met 88% minder waarschuwingen dan concurrerende oplossingen, en biedt autonome bescherming tegen RMM-gebaseerde dreigingen.

Veelgestelde vragen

Wat is RMM?

Remote Monitoring and Management (RMM) is software waarmee IT-teams en managed service providers op afstand gedistribueerde endpoints kunnen monitoren, onderhouden en beheren vanuit een gecentraliseerde console. RMM-platforms bieden functionaliteiten zoals externe desktoptoegang, monitoring van systeemgezondheid, autonome patch-implementatie en het uitvoeren van geprivilegieerde scripts op duizenden endpoints. 

Hoewel RMM-tools essentiële operationele efficiëntie bieden voor IT-beheer, maken dreigingsactoren steeds vaker misbruik van deze functionaliteiten voor het uitrollen van ransomware, het verzamelen van inloggegevens en het behouden van persistente netwerktoegang.

Hoe identificeer ik ongeautoriseerde RMM-software in mijn omgeving?

Voer software-inventarisaties uit met endpoint-identificatietools, netwerkverkeersanalyse en asset management-platforms om alle remote access-software te vinden. 

Let op veelgebruikte RMM-tools zoals TeamViewer, AnyDesk, ScreenConnect, Atera, Splashtop, LogMeIn en NetSupport Manager. Implementeer applicatiecontrolebeleid dat het uitvoeren van niet-goedgekeurde remote access-software blokkeert.

Waarom zijn RMM-gebaseerde aanvallen moeilijk te stoppen met traditionele beveiligingstools?

RMM-platforms omzeilen traditionele beveiligingsmaatregelen omdat ze verschijnen als legitieme, vooraf goedgekeurde software die verwachte beheertaken uitvoert. Volgens MITRE ATT&CK T1219.002 staan applicatiecontroles uitvoering toe omdat RMM-tools functioneren als "legitieme technische ondersteuningssoftware." 

Gedragsgebaseerde AI-methoden detecteren kwaadaardige patronen door acties te analyseren die via RMM-sessies worden uitgevoerd, in plaats van te proberen RMM-software als kwaadaardig te classificeren.

Moeten organisaties stoppen met het gebruik van RMM-tools vanwege beveiligingsrisico's?

Organisaties moeten RMM-tools niet elimineren, maar moeten uitgebreide beveiligingsmaatregelen implementeren rond implementatie, gebruik en monitoring. Pas defense-in-depth strategieën toe, waaronder verplichte MFA, netwerksegmentatie, grondige logging, gedragsmonitoring en continue kwetsbaarhedenbeheer. 

Implementeer gedrags-AI-beveiligingsplatforms die afwijkende RMM-gebruikspatronen detecteren terwijl legitieme beheertaken worden toegestaan.

Hoe snel moet ik RMM-kwetsbaarheden patchen?

Patch RMM-infrastructuur die via internet bereikbaar is binnen 24 uur na bekendmaking van kwetsbaarheden voor authenticatieomzeiling of remote code execution. 

ConnectWise ScreenConnect CVE-2024-1709 behaalde een CVSS-score van 10.0 met publieke exploits die binnen enkele dagen beschikbaar waren. Stel noodpatchprocedures in voor RMM-platforms, los van reguliere patchcycli.

Welke MITRE ATT&CK-technieken moet ik monitoren voor RMM-gebaseerde aanvallen?

Richt identificatie-inspanningen op MITRE ATT&CK T1219 (Remote Access Software) en subtechniek T1219.002 (Remote Desktop Software). 

Monitor gerelateerde technieken zoals T1078 (Geldige accounts), T1543.003 (Windows Service creatie), T1071 (Application Layer Protocol), T1027.013 (base64-obfuscatie), T1046 (netwerkenumeratie) en T1003 (credential harvesting).