🛡 ПЛАН ДЕЙСТВИЙ (ЧЕКЛИСТ)
Разбор инвентаризации: прогнать скрипт, открыть rmm_inventory.csv и по каждому найденному хосту выяснить: кто, когда и с какой производственной целью ставил софт.

Единый стандарт: утвердить один корпоративный инструмент. Подрядчиков и внешних специалистов пускать строго через него либо через корпоративный VPN с Jump-хостом, без установки их агентов.

Технический запрет:

Внедрить запрещающие политики AppLocker / WDAC (Deny по цифровому сертификату издателя для запрещенного пула).

Заблокировать облачные домены и IP-адреса сторонних RMM на корпоративном шлюзе/прокси.

Алертинг на новые службы: настроить в SIEM / Event Log триггер на Event ID 7045 в журнале System («В системе была установлена новая служба») с фильтром по ключевым словам RMM-агентов.

Контроль ScreenConnect: если продукт используется официально — срочно проверьте версии на закрытие CVE-2026-84869.

#security #rmm #remoteaccess #threathunting #powershell #windows #linux #sysadmin #admin_future