什麼是遠端監控與管理（RMM）安全？

什麼是 RMM？

遠端監控與管理（RMM）軟體可讓 IT 團隊與受管服務供應商遠端監控、維護及管理分散式端點。核心功能包括遠端存取、系統監控、自主修補，以及特權指令碼執行。根據 CISA 的 Remote Access Guide，RMM 工具作為一種軟體，可讓「受管服務供應商（MSP）、軟體即服務（SaaS）供應商、IT 服務台及其他網路管理員遠端執行多項功能。」

請考慮這個情境：您的 IT 團隊於上午 9 點部署 ConnectWise ScreenConnect 以進行合法的系統維護。上午 9:15，BlackSuit ransomware 操作者使用同一個工具加密您的整個網路。這個情境在 2024-2025 年間持續上演，FBI 與 CISA 記錄了僅 Play 勒索軟體活動截至 2025 年 5 月就有 超過 900 名受害者。

RMM 與網路安全的關聯

RMM 工具已從必要的 IT 管理平台演變為攻擊面，遭到從網路犯罪分子到國家級 APT 等威脅行為者利用。之所以發生這種轉變，是因為 RMM 軟體正好提供攻擊者所需的一切：特權系統存取、命令與控制基礎架構，以及可繞過傳統安全控制、看似合法的網路流量。

根據 CISA Advisory AA23-061A 關於 BlackSuit Ransomware 的內容，「FBI 觀察到 BlackSuit 行為者使用合法的遠端監控與管理（RMM）軟體，以維持在受害者網路中的持續性。」 MITRE ATT&CK T1219.002 指出了根本的安全挑戰：RMM 工具「通常作為合法的技術支援軟體使用，且在目標環境中可能會被應用程式控制所允許。」

要了解為何 RMM 平台會造成如此重大的安全曝險，組織必須先檢視使這些工具既強大又危險的架構元件。

RMM 的核心元件

RMM 平台由相互連結的架構元件組成，可實現大規模遠端管理。了解這些元件可揭示為何威脅行為者會鎖定 RMM 基礎架構，以及利用如何在各環境中連鎖擴散。

• 中央管理主控台 作為管理控制平面，IT 團隊可在此設定原則、部署代理程式並監控端點狀態。當威脅行為者 入侵此主控台時，他們便能同時取得對所有受管端點的管理控制權。
• 代理程式軟體 安裝於受管端點上，用於執行命令、收集系統資料，並維持與管理基礎架構的持續連線。這些代理程式以 SYSTEM 或 root 層級權限執行，以完成管理工作。根據 CISA's Remote Access Guide，這種特權執行環境使威脅行為者能夠部署勒索軟體、竊取憑證，並在不觸發權限提升警示的情況下進行橫向移動。
• 通訊基礎架構 建立從受管端點到 RMM 伺服器的對外連線，以接收命令並傳輸資料。威脅行為者利用這些預先核准的通訊通道進行命令與控制，將惡意流量混入授權的管理工作階段中。
• 自主指令碼 引擎使 IT 團隊能透過 PowerShell、Bash 或專有指令碼語言，在數千個端點上部署修補程式、設定系統並執行修復工作。根據 CISA Advisory AA25-071A 關於 Medusa Ransomware 的內容，威脅行為者透過 RMM 平台部署經 base64 混淆的 PowerShell scripts，以竊取 Veeam 備份憑證，並在部署勒索軟體前列舉網路基礎架構。
• 遠端存取介面 提供互動式桌面控制、檔案傳輸功能及遠端 shell 存取，以進行疑難排解與管理。像 Scattered Spider 這樣的群體會部署多種 RMM 工具，包括 TeamViewer 和 AnyDesk，而 Storm-1811 則濫用 ScreenConnect 和 NetSupport Manager 來建立持續性的互動式存取。

儘管存在這些安全疑慮，RMM 工具對現代 IT 營運仍不可或缺。了解其合法價值，可說明為何組織持續部署這些工具，以及為何威脅行為者會如此青睞它們。

RMM 的主要優勢

RMM 平台為管理大規模分散式基礎架構的 IT 團隊帶來可衡量的營運效率。這些合法優勢說明了為何組織會部署 RMM 工具，以及為何威脅行為者會系統性地利用它們。

• 大規模集中管理 使單一管理員能透過統一主控台管理跨地理位置的數千個端點。然而，根據 CISA 與 FBI 的文件，當 RMM 平台遭到入侵時，這種集中化會帶來重大的安全風險，影響已記錄在案的 勒索軟體活動。
• 主動式系統監控 可對 RMM 活動進行持續記錄與監控，以找出未經授權的存取與可疑的 橫向移動模式。針對異常 RMM 行為的自主警示可縮短駐留時間，並加快事件回應。
• 自主修補程式管理 部署安全性更新、應用程式修補程式和組態變更，無需人工介入。RMM 平台可在受管端點間處理散佈、安裝與驗證，比手動流程更快縮短漏洞暴露時間。
• 降低現場支援需求 消除了大多數疑難排解與維護工作的實體存取需求。支援團隊可透過遠端工作階段解決服務台工單，而非派遣技術人員，從而降低支援成本並加快解決時間。

讓 RMM 對 IT 團隊不可或缺的相同能力：特權存取、遠端命令執行與持續連線，也讓這些工具對尋求網路控制權的攻擊者同樣具有價值。

威脅行為者如何利用 RMM 工具

威脅行為者透過四種主要攻擊向量利用 RMM 工具，每一種都利用了組織對遠端管理基礎架構的固有信任。

• 憑證竊取與帳戶入侵 是最常見的利用方式。根據 CISA Advisory AA23-025A，威脅行為者透過網路釣魚活動、使用先前外洩事件中的密碼清單進行憑證填充攻擊，以及從暗網市集上的初始存取掮客購買遭竊憑證，鎖定「legitimate, compromised credentials」。一旦攻擊者取得有效的 RMM 憑證，他們便可繼承所有受管端點上的完整管理員權限，而不會觸發安全警示。 憑證竊取 讓攻擊者能與合法管理活動無縫混合，使偵測變得極為困難。威脅行為者也會鎖定服務帳戶與 API 金鑰，因為這些帳戶可能採用較弱的密碼原則或缺乏 MFA 強制措施。
• 漏洞利用 鎖定具有已知安全缺陷且未修補的 RMM 平台。ConnectWise ScreenConnect 的 CVE-2024-1709 嚴重性達到 CVSS 10.0，具備可繞過驗證並啟用未經驗證遠端程式碼執行的能力。在揭露後數日內，威脅行為者便將此漏洞武器化，用於對數千個組織大規模部署勒索軟體。根據 CISA Advisory AA25-163A，對 SimpleHelp RMM 的主動利用導致「service disruptions and double extortion incidents」，影響一家公用事業計費軟體供應商及其下游客戶。
• 惡意 RMM 部署涉及威脅行為者在遭入侵的系統上安裝未經授權的遠端存取工具，以建立不受現有安全控制影響的持續性存取。攻擊者部署合法的 RMM 軟體，例如 AnyDesk 或 TeamViewer，並透過網路釣魚電子郵件偽裝成商業文件。根據 CISA Advisory AA23-025A，攻擊者使用以服務台為主題的網路釣魚活動，誘使使用者授予遠端存取權限，或安裝不需要安裝權限的可攜式 RMM 執行檔。這些可攜式版本可繞過應用程式白名單控制，並在不需要系統管理員認證的情況下提供即時遠端存取。

• 供應鏈入侵 鎖定為多個客戶管理 RMM 基礎架構的 MSP 與 IT 服務供應商。單一 MSP 遭入侵，便會透過受信任的管理通道連帶影響所有下游客戶。2021 年的 Kaseya VSA 攻擊展示了這種放大效應，當 REvil ransomware 透過 MSP 關係傳播，在數小時內加密了超過 1,500 個下游組織。攻擊者特別鎖定 MSP，因為入侵一家供應商即可取得對數十或數百個客戶環境的存取權。

鑑於這些利用方式，安全團隊需要可靠的指標，以區分惡意 RMM 活動與合法管理行為。

如何偵測基於 RMM 的攻擊

偵測基於 RMM 的攻擊需要監控可將惡意活動與合法管理區分開來的行為異常。傳統的基於特徵碼偵測會失效，因為 RMM 工具是執行預期功能的合法軟體。

• 未經授權的 RMM 工具安裝： 監控端點上未經變更管理核准的新遠端存取軟體。留意未獲 IT 原則認可的工具，包括 TeamViewer、AnyDesk、ScreenConnect、Atera、Splashtop、LogMeIn、RemotePC 和 NetSupport Manager。根據 MITRE ATT&CK 文件，威脅行為者經常同時部署多個 RMM 工具，以建立備援存取通道。
• 異常的工作階段時間與持續時間： 標記非上班時間的存取模式以進行調查。從與管理員所在地理位置不一致的地點於凌晨 2 點發起的 RMM 工作階段，應立即審查。監控與基準管理活動相比持續時間異常的工作階段，特別是那些很少需要遠端管理的系統上的延長工作階段。
• 可疑的命令執行： 針對 base64-encoded PowerShell 命令、鎖定 LSASS 記憶體或 Veeam 備份資料庫的憑證擷取工具，以及透過 RMM 通道執行的網路列舉命令（如 nltest、net group、dsquery 或 systeminfo）發出警示。根據 CISA Advisory AA25-071A，威脅行為者透過 RMM 平台使用 cmd.exe 和 PowerShell，在部署勒索軟體前進行檔案系統列舉與憑證擷取。
• 橫向移動指標： 追蹤管理員通常管理哪些端點，並在 RMM 工作階段未經文件化變更要求即鎖定網域控制站、備份伺服器、財務系統或高階主管工作站時發出警示。先前閒置的 RMM 連線突然存取高價值資產，表示可能已遭入侵。
• 多個並行的 RMM 安裝： 如果安全團隊停用其主要存取權，攻擊者會安裝備用 RMM 工具以維持持續性。當端點顯示超過一個作用中的 RMM 代理程式，或在安全事件發生後不久出現新的 RMM 工具時，應發出警示。維護已核准 RMM 工具的允許清單，並將任何偏差視為潛在入侵指標。
• 檔案傳輸活動： 監控傳送至外部目的地的大量檔案傳輸，尤其是在非上班時間傳輸的壓縮封存檔或資料庫匯出。威脅行為者通常會在部署勒索軟體前，利用 RMM 檔案傳輸功能外洩敏感資料。

將 RMM 記錄集中至 SIEM 平台，以便在各環境中關聯這些指標，並能對新興威脅快速回應。

即使已具備強大的偵測能力，組織仍面臨 RMM 架構固有的根本安全挑戰，這些挑戰使防禦工作更加複雜。

RMM 安全挑戰與限制

RMM 平台帶來傳統方法無法解決的根本安全挑戰。這些挑戰源自於在架構設計上優先考量管理功能而非安全控制的決策。

• 依設計繞過應用程式控制 之所以發生，是因為 RMM 工具看起來像是執行預期管理功能的合法、預先核准軟體。根據 MITRE ATT&CK T1219.002，RMM 工具「are commonly used as legitimate technical support software and may be allowed by application control within a target environment.」端點防護會將其視為已授權軟體並允許執行。
• 特權存取需求 要求 RMM 代理程式以 SYSTEM 或 root 層級權限執行，才能執行管理工作。當威脅行為者入侵 RMM 工作階段時，他們會繼承這些提升的權限，同時維持合法管理活動的表象。
• 合法流量模式 使基於網路的識別失效，因為 RMM 通訊看起來與已授權的管理工作階段完全相同。根據 CISA 的 Remote Access Guide，威脅行為者使用合法的 RMM 基礎架構來「manage multiple intrusions at once,」透過已核准通道同時控制多個遭入侵的網路。
• 漏洞暴露視窗 當 RMM 平台遭遇驗證繞過或遠端程式碼執行漏洞時，會產生緊急修補需求。威脅行為者會掃描網際網路以尋找暴露的 RMM 基礎架構，因此這些漏洞會迅速被武器化利用。
• 多廠商工具擴散 當組織在各部門、併購子公司或特定專案需求中部署多種 RMM 解決方案時，會造成可視性缺口。IT 部門核准 ScreenConnect，而開發團隊安裝 TeamViewer，服務台則部署 Splashtop，卻沒有集中式監督。

當這些架構挑戰與常見的營運疏失結合時，就會成為關鍵漏洞。

常見的 RMM 安全錯誤

組織經常犯下可避免的錯誤，使其 RMM 基礎架構暴露於遭利用的風險：

• 影子 IT 與未經授權的 RMM 部署 發生於組織未能盤點其環境中部署的所有遠端存取工具時。根據 CISA Advisory AA23-025A，威脅行為者會利用影子 IT 安裝，這些安裝在安全團隊不知情的情況下持續擴散。
• RMM 平台上的弱密碼或預設認證 會透過認證濫用直接提供管理員存取權限。CISA Advisory AA23-025A 指出，使用弱認證或先前外洩事件中遭入侵的認證，是一項關鍵漏洞。
• 不足的網路分段 會在 RMM 初始遭入侵後，使橫向移動得以遍及整個環境。威脅行為者會利用 RMM 進行橫向移動，從初始存取擴展到整個網路遭入侵。
• 記錄與監控不足 讓威脅行為者得以在看似合法的管理工作階段中執行惡意操作。未監控 RMM 工作階段記錄會使資料外洩 與惡意軟體部署在未被察覺的情況下持續進行。
• 未修補的 RMM 軟體 提供了已知的利用途徑，且公開可取得利用程式碼。ConnectWise ScreenConnect CVE-2024-1709 影響 23.9.7 及更早版本，CVSS 評分為 10.0。

解決這些錯誤需要系統化實施安全控制，在營運需求與風險降低之間取得平衡。

RMM 安全最佳實務

根據 CISA、NSA 與 CIS Controls 指引實施安全最佳實務，可在維持營運功能的同時降低 RMM 遭利用的風險。

• 強制執行 RMM 軟體盤點與稽核： 建立對所有已部署於各環境中的遠端存取工具的可視性。使用端點識別工具與網路流量分析，每季稽核一次 RMM 軟體。透過符合 CIS Control 2 的應用程式控制原則，封鎖未經授權遠端存取軟體的執行。
• 強式驗證與 MFA 強制執行： 要求 多重要素驗證 用於所有 RMM 管理存取。實作具抗網路釣魚能力的 MFA 方法，以防止透過工作階段權杖竊取進行繞過。
• 具優先修補機制的持續性漏洞管理： 監控 CISA 的 Known Exploited Vulnerabilities 目錄，以掌握與 RMM 相關的 CVE。針對面向網際網路的 RMM 基礎架構，建立獨立於標準修補週期之外的緊急修補程序。
• 網路分段與存取限制： 將 RMM 基礎架構部署於隔離的網路區段中，並套用嚴格的防火牆規則。根據管理需求，將 RMM 存取限制於特定端點群組。
• 抗網路釣魚與使用者意識訓練： 訓練使用者辨識與 RMM 相關的 網路釣魚活動。實施電子郵件安全控制，封鎖偽裝成稅務文件或發票的可執行附件。
• 事件回應規劃 以因應 RMM 遭入侵：記錄緊急撤銷 RMM 存取權限的程序。維持不依賴可能已遭入侵之 RMM 平台的備援管理存取方法。
• 用於模式辨識的 Behavioral AI 實作： 部署具備 Behavioral AI 能力的端點防護平台，以監控可疑的遠端存取工具行為。安全平台應針對同時部署多種 RMM 工具、非上班時間的非預期管理動作，或來自異常地理位置的 RMM 工作階段發出警示。

實作 Behavioral AI 偵測需要專為識別異常 RMM 活動而打造的安全平台，同時允許合法的管理作業。

使用 SentinelOne 阻止以 RMM 為基礎的攻擊

SentinelOne Singularity Platform 採用 Behavioral AI，透過持續監控端點行為來發現並自主阻止以 RMM 為基礎的攻擊。該平台在獨立的 MITRE ATT&CK 評估中展現強勁表現，具備高度威脅可視性且零延遲。SentinelOne 被評為 Gartner Magic Quadrant 端點防護平台領導者。

當威脅行為者部署偽裝成商業文件的 RMM 用戶端時，Singularity Endpoint 會使用 Behavioral AI 來發現執行鏈，包括程序注入、權限提升，以及連線至未經授權 RMM 基礎架構的網路連線。安全團隊可透過 Storyline 技術接收具關聯性的警示與完整鑑識內容脈絡；該技術會自動重建完整攻擊敘事，並將其對應至 MITRE ATT&CK TTP。

Purple AI 透過自然語言查詢與 AI 產生的分析，加速 RMM 威脅調查。當團隊在凌晨 2 點調查可疑的 ScreenConnect 活動時，Purple AI 會以對話式方式提供洞察，說明哪些系統曾被存取，以及為何特定行為可能顯示惡意意圖。早期採用者回報，透過 Purple AI 的自然語言介面，威脅狩獵速度最高可提升 80%。

當威脅行為者透過遭入侵的 RMM 工作階段執行勒索軟體酬載時，Singularity Platform 的行為式 AI 會識別可疑活動模式，並觸發自主回應動作，包括終止程序與網路隔離。一鍵回復可將受影響系統還原至攻擊前狀態，將損害降至最低並免除支付贖金。根據 SentinelOne MITRE 評估 結果，該平台產生的警示比競爭解決方案少 88%，在維持完整威脅可視性的同時降低警示疲勞。

申請 SentinelOne 示範，了解行為式 AI 如何自主阻止以 RMM 為基礎的攻擊。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

RMM 工具已從必要的 IT 平台演變為攻擊面，遭 BlackSuit、Medusa、LockBit、Play、RansomHub、Akira、Phobos 與 Rhysida 等勒索軟體家族利用。FBI 與 CISA 記錄指出，截至 2025 年 5 月，僅 Play 勒索軟體活動就已影響超過 900 個組織。威脅行為者透過憑證竊取、漏洞利用、部署惡意工具，以及鎖定 MSP 的供應鏈入侵來利用 RMM 工具。

來自 CISA、FBI 與 NSA 的政府公告指出，RMM 利用已成為成熟且被廣泛採用的手法，因此需要強制性的防禦控制。組織應實施軟體稽核、強制 MFA、網路分段，以及完整的記錄與監控，以降低 RMM 安全風險。偵測策略必須聚焦於行為異常，包括非上班時間存取、未經授權的工具安裝，以及透過 RMM 指令碼引擎執行的可疑命令。

行為式 AI 方法可透過持續監控端點行為，找出以特徵碼為基礎的工具所遺漏的異常使用模式。SentinelOne Singularity Platform 在 MITRE ATT&CK 評估中展現強勁表現，產生的警示比競爭解決方案少 88%，可針對以 RMM 為基礎的威脅提供自主防護。