事故摘要

Kaseya VSA 2021 事件指出 MSP 管理平台若失守，攻擊可沿著託管關係快速擴展到多個客戶環境。

本案例的演示焦點：MSP / RMM 管理平面被入侵 → 透過自動化能力批次下發 → 多客戶同時感染的 fan-out 供應鏈擴散。重點在「管理平面權限範圍」與「客戶分域隔離」設計。

攻擊路徑

1. 攻擊管理平台入口。
2. 透過自動化管理能力下發惡意行為。
3. 連鎖影響多個下游客戶系統。

失效控制面

• 管理平面與客戶環境隔離不足。
• 自動化任務缺少高風險動作保護。
• 多租戶事件協調流程準備不足。

如果 workflow 少一步會發生什麼

若少了「跨客戶分批隔離」步驟，事件會在同一時間窗內形成大規模連鎖衝擊。

可落地的 workflow 檢查點

• 共同基線：以 runbook 與 incident timeline 固定記錄觸發條件與處置節奏。
• 發布前：限制管理平面高風險任務範圍（破壞性動作要求 multi-party approval / 批次上限），mechanism 是讓單點接管不會立刻 fan-out 到所有客戶。
• 日常：建立多租戶事件通知與處置模板（含跨時區、跨法域的客戶通報路由）。
• 事故中：先分域隔離、再啟動客戶側回復計畫（前提是事先有客戶分組與隔離開關）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

• 控制面：7.6 供應鏈完整性與 artifact 信任 + 7.5 工作負載身份與 federated trust —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
• 演練 / 控制落地：Supply chain artifact drill + Recovery readiness pattern + Vulnerability response pattern —— 把樣式轉成多租戶演練、回復欄位與漏洞處理流程。
• 跨章交接：backend/08-incident-response 的跨組織通訊節奏、backend/05-deployment-platform 的多租戶部署治理。

供應鏈類事故不對應紅隊 problem-cards，主要 chain 直接從控制面起步。

來源