ИЮНЬ. RMM и удалённый доступ: реестр инструментов, контроль Zoho Assist, N-central и аварийное отключение

RMM хорош тем же, чем опасен: один оператор может управлять десятками или тысячами узлов. Когда инструмент установлен легитимно, его трафик и процессы легко принять за нормальную административную работу. Поэтому RMM нельзя контролировать только списком запрещённых программ. Нужен реестр разрешённых средств, владельцев и способов доступа.

  

Первый сценарий: легитимный RMM используют атакующие

Cisco Talos IR в Q2 2026 наблюдала Warlock/Storm-2603, который устанавливал Zoho Assist Unattended Agent для постоянного удалённого доступа без активной пользовательской сессии. В других атаках злоумышленники также использовали легитимные management tools. Сигнатурный подход здесь слаб: бинарник может быть настоящий, а действие — нет.

 

Второй сценарий: уязвима сама RMM-платформа

В августе 2026 ACSC сообщил о таргетировании CVE-2026-18556 и CVE-2026-18577. В сентябре N-able выпустила исправления для новых CVE-2026-86206, CVE-2026-86207 и критической CVE-2026-86218, позже компания сообщила о нескольких успешных эксплуатациях у клиентов. С 02.10.2026 эти исправления входят также в N-central 2026.4.  

Это показывает другую сторону риска: даже доверенная management-платформа должна рассматриваться как высокопривилегированный сервис, который нужно патчить, ограничивать и мониторить особенно жёстко.
    

Что должно быть в реестре

Название инструмента, назначение, владелец, способ аутентификации, откуда разрешён доступ, какие endpoints управляются, как хранятся логи, как быстро отключить доступ и какой процесс действует при security advisory. Отдельно отмечайте unattended access и массовые функции запуска команд.

 

Проверка пройдена, если

Список RMM полный, неизвестная установка обнаруживается, доступ к консоли защищён сильной аутентификацией и ограничен, журналы действий сохраняются отдельно, а команда знает процедуру экстренного отключения. Для on-prem management server есть отдельный patch SLA и внешний exposure пересмотрен.

 

Аварийный сценарий

Представьте, что ваш основной RMM признан скомпрометированным. Что вы делаете в первые 30 минут? Можете ли временно заблокировать соединения, отозвать учётные данные, найти все агенты, сохранить журналы и перейти на резервный способ администрирования? Ответы стоит подготовить до инцидента.

 

Как это связано с решениями Смарт-Софт

TING может участвовать в контроле сетевых путей удалённого доступа, VPN и фильтрации management-трафика. Это помогает ограничить, откуда и куда могут подключаться RMM-агенты. Однако hardening самой RMM-платформы, MFA и безопасная конфигурация консоли — задачи, которые решаются на уровне администраторов и процессов.

 

Что сделать сегодня

• Составить список разрешённых RMM.
• Отметить unattended access и внешнюю доступность консоли.
• Проверить emergency disable и актуальность security hotfix.

 

Источники

• Cisco Talos Incident Response. IR Trends Q2 2026. Warlock/Storm-2603 and Zoho Assist.
• Australian Signals Directorate / ACSC. Active exploitation of remote monitoring and management platform within Australia. 19.08.2026.
• N-able. N-central 2026.3 hotfix advisories, August-September 2026.

 
Последняя техническая проверка: 14.10.2026.