Am Freitag, dem 10. Dezember 2021, gab die Apache Foundation eine schwerwiegende Sicherheitslücke (CVE 2021-44228) in den meisten Versionen ihres Open-Source-Dienstprogramms „ “ Log4j bekannt, einem beliebten Protokollierungsprogramm, das in Tausenden – wenn nicht sogar Hunderttausenden – von Softwareanwendungen und Diensten integriert ist.
Die Java Naming and Directory Interface (JNDI)-API ermöglicht es Java-Anwendungen, Daten und Ressourcen aus externen Verzeichnisdiensten, darunter LDAP oder DNS, abzurufen. Ein Angreifer kann die JNDI-Funktionalität ausnutzen und ein Opfersystem dazu veranlassen, eine externe Bibliothek von einem Server abzurufen, den der Angreifer kontrolliert. Diese Befehle könnten dazu genutzt werden, Schadsoftware zu installieren, Daten zu löschen, Daten abzugreifen, Zugangsdaten zu kopieren oder andere böswillige Aktionen durchzuführen.
Die Auswirkungen sind enorm. Tausende von Softwareanwendungen, darunter bekannte kommerzielle Anwendungen von einigen der größten Namen im Bereich der Unternehmenssoftware, sind anfällig dafür, gehackt und für böswillige Zwecke missbraucht zu werden.
Die Software ist sogar in Alltagsgeräten wie Fernsehern und Kiosksystemen in Geschäften zu finden. Google schätzt, dass etwa 4 % des Maven Central Java-Repositorys – des bedeutendsten Java-Paket-Repositorys überhaupt – von dieser Sicherheitslücke betroffen sind.
Angriffe können über Webbrowser, Befehlszeilen und andere Eingabemöglichkeiten gestartet werden. Ein Sicherheitsforscher wies sogar darauf hin, dass das Vorzeigen eines sorgfältig gestalteten QR-Codes an einem Preisabfrage-Kiosk im Geschäft Angreifern die Kontrolle über die IT-Systeme des Geschäfts verschaffen könnte.
Um einen detaillierten Einblick in das Verständnis und die Abwehr von Log4j Bedrohungen zu erhalten, sehen Sie sich unser aufgezeichnetes Webinar an.
https://youtu.be/ygaaetd-9Is
Sicherheitsteams bemühen sich mit Hochdruck, Log4j Angriffe zu verhindern
Apache hat Patches für Version Log4j veröffentlicht, die dieses Problem beheben.
Nun beginnt der Wettlauf: Können die IT-Sicherheitsteams alle Vorkommen von „ Log4j “ in ihrer gesamten Software auf allen Endgeräten aufspüren, bevor Angreifer diese Schwachstelle ausnutzen, um Angriffe zu starten?
Die Angreifer bleiben nicht untätig. Innerhalb von 72 Stunden nach Bekanntgabe der Sicherheitslücke wurden über 800 000 Angriffe auf Anwendungen gestartet. Und die Bedrohungslage verschärft sich zunehmend.
- Cloudflare meldet nun über 1 000 Exploits pro Stunde gegenüber Log4j.
- Eine Cyberkriminellenbande in China nutzt „ Log4j “, um die VMware Horizon-Software mit der Ransomware „“ NightSky – einer neuen Ransomware-Familie – zu infizieren.
- Krypto-Miner haben bereits Angriffe auf Systeme gestartet, auf denen Version Log4j läuft.
- Angreifer haben die Portnummer Log4j genutzt, um Geräte in zwei Linux-Botnetze, Muhstik und Mirai, einzubinden.
- Angreifer haben erfolgreich Zugang zu hochrangigen Zielen erlangt, wie beispielsweise und des belgischen Verteidigungsministeriums.
- Einige beliebte Red-Team-Toolkits wurden um Funktionen zur Ausnutzung von Log4j Schwachstellen erweitert, wodurch dieser Exploit nun einer noch größeren Zahl von Personen zugänglich ist.
Auf jedem Endgerät könnte die anfällige Software „ Log4j “ installiert sein. Schlimmer noch: Es könnte auch in Sicherungskopien und Gold-Images vorhanden sein, was bedeutet, dass Log4j Instanzen, die in diesem Monat entfernt wurden, in Zukunft möglicherweise wieder auftauchen, wenn ein System wiederhergestellt oder neue Systeme bereitgestellt werden müssen.
Die FTC erwartet von den Unternehmen, dass sie Sicherheitslücken beheben; andernfalls müssen sie mit behördlichen Sanktionen rechnen
Da die Auswirkungen dieser Sicherheitslücke so weitreichend sind, schritt die US-amerikanische Federal Trade Commission (FTC) ein. Am 4. Januar 2022 veröffentlichte die Behörde unter eine Stellungnahme, in der sie darauf hinwies, dass Log4j den Schutz von Verbraucherdaten gefährde, und Unternehmen daran erinnerte, dass „die Pflicht, angemessene Maßnahmen zur Minderung bekannter Software-Schwachstellen zu ergreifen, unter anderem Gesetze wie den Federal Trade Commission Act und den Gramm-Leach-Bliley Act betrifft“.
Um sicherzustellen, dass niemand den Ernst dieser Warnung unterschätzt, verweist die FTC auf die von ihr verhängte Geldbuße in Höhe von 700 Millionen US-Dollar gegen Equifax im Fall „ “ ( 2017 ), da das Unternehmen es versäumt hatte, eine bekannte Sicherheitslücke in Apache Struts zu beheben. Diese Versäumnis bei der Bereitstellung von Patches durch Drittanbieter führte zu einer Datenpanne, durch die schließlich die privaten Daten von 143 Millionen Verbrauchern offengelegt wurden und die Marke Equifax in Verruf geriet.
Die FTC betrachtet den Fall „ Log4j “ nicht als besonderen Anlass für eine behördliche Überprüfung. Vielmehr erwartet sie von den Unternehmen, dass sie ähnliche Risiken in Zukunft erkennen und umgehend mindern. Die FTC könnte sich nicht deutlicher ausdrücken: „Die FTC beabsichtigt, ihre gesamten rechtlichen Befugnisse auszuschöpfen, um gegen Unternehmen vorzugehen, die keine angemessenen Maßnahmen ergreifen, um Verbraucherdaten vor einer Offenlegung infolge der Sicherheitslücke Log4j oder ähnlicher bekannter Sicherheitslücken in der Zukunft zu schützen.“
Das Fazit für Sicherheitsteams: Die Tools und Prozesse, die IT-Sicherheitsteams jetzt zur Behebung der „ Log4j “-Sicherheitslücke einrichten, sollten auch in Zukunft kontinuierlich eingesetzt werden, um ähnliche Risiken zu erkennen und zu mindern.
Ein andauerndes Problem erfordert eine dauerhafte Lösung
Selbst wenn man die unvermeidliche Existenz weiterer anfälliger Softwarekomponenten außer Acht lässt, wird die Bereinigung von Log4j einen langfristigen Einsatz der IT-Teams erfordern. Und zwar aus folgendem Grund.
Erstens sind mehr als einen Monat nach Bekanntgabe der Sicherheitslücke über 40 % der kürzlich erfolgten Downloads von Log4J Versionen, die nach wie vor anfällig für Angriffe sind. Das entspricht 40 % von über 10 Millionen Downloads, was Angreifern zahlreiche Angriffsmöglichkeiten eröffnet.
Zweitens werden bei Scans von Unternehmensnetzwerken nicht nur aktuelle, anfällige Versionen von Log4j , sondern auch 1.x-Versionen des Dienstprogramms gefunden, für die Apache offiziell das Ende des Lebenszyklus unter August 2015 erklärt hat. Dies ist zudem ein Hinweis darauf, dass sich wahrscheinlich Exemplare von „ Log4j “ an unerwarteten Orten im gesamten Unternehmen befinden.
Drittens: Selbst wenn es einem IT-Team gelingt, alle anfälligen Instanzen der Datei „JndiLookup.class“ in Log4j zu finden und zu entfernen, muss es dennoch darauf achten, dass keine anfälligen Instanzen aus Backups oder „ “-Golden-Images wiederhergestellt werden. Zudem müssen sie sich Sorgen machen, dass Mitarbeiter anfällige Kopien aus dem Internet herunterladen oder dass Dritte anfällige Versionen verwenden, was Angreifern letztendlich Möglichkeiten eröffnet, in das Netzwerk einzudringen.
Beyond Log4j to continuous threat hunting
Diese fortlaufende Praxis geht über das bloße Aufdecken und Beheben der Log4j Schwachstellen an sich hinaus. Da die FTC entschlossen ist, Unternehmen zu bestrafen, bei denen es aufgrund von Sicherheitslücken wie der „ Log4j“ zu Datenlecks kommt, signalisiert eine wichtige Aufsichtsbehörde, dass langjährige Versäumnisse beim Patch-Management nicht länger toleriert werden. Ein Verstoß könnte zu Geldstrafen in Höhe von bis zu mehreren hundert Millionen Dollar führen.
IT-Teams müssen jetzt handeln – nicht nur, um Log4j Sicherheitslücken zu finden und zu beheben, sondern auch, um Tools und Prozesse zur allgemeinen Erkennung von Sicherheitslücken in Softwarekomponenten einzuführen. Sollte in sechs Monaten festgestellt werden, dass eine weitere Open-Source-Softwarekomponente eine Sicherheitslücke aufweist, müssen die Sicherheitsteams schnell reagieren, um alle Instanzen dieser Komponente aufzuspüren und zu beheben.
Unternehmen aller Art benötigen eine schnelle, effektive und umfassende Methode, um anfällige Softwarekomponenten zu erkennen und die damit verbundenen Risiken zu beheben. Das bloße Ausführen von Shell-Skripten zur Suche nach Dateinamen wird das Problem nicht lösen.
Solche Skripte lassen sich zwar leicht erstellen oder von einer Sicherheitswebsite herunterladen, doch werden dabei mit ziemlicher Sicherheit Softwareabhängigkeiten und eingebettete Komponenten übersehen. Und was noch schlimmer ist: Sie werden die CPU-Auslastung auf kritischen Systemen im gesamten Netzwerk in die Höhe treiben. IT-Sicherheitsteams müssen schnell und gründlich suchen, ohne dabei die durchsuchten Systeme zum Absturz zu bringen.
Wie Tanium Ihnen helfen kann
Tanium trägt zum Schutz vor der Sicherheitslücke „ Log4j “ bei – mit der einzigen Plattform, die vollständige, präzise und hochgenaue Endpunktdaten liefert, auf die selbst die anspruchsvollsten und komplexesten Unternehmen weltweit vertrauen.
Die Tanium-Plattform von identifiziert anfällige Instanzen von Log4j.
- Tanium Reveal identifiziert innerhalb weniger Minuten anfällige Instanzen, einschließlich solcher, die von Drittanbietern neu verpackt wurden.
- Mit Tanium Interact lassen sich betroffene Endgeräte ganz einfach kennzeichnen und Workflows für Wiederherstellungspläne einleiten.
Tanium erkennt zudem Anzeichen einer Ausnutzung .
- Die Tanium Threat Response- e erkennt Vorfälle, die auf Ausnutzungsversuche auf allen Endgeräten hindeuten. Nutzen Sie „Threat Response“, um Endgeräte zu isolieren, bei denen Anzeichen für eine Kompromittierung oder andere verdächtige Aktivitäten vorliegen.
Tanium unterstützt Sicherheitsteams dabei, Bedrohungen zu beseitigen und Endgeräte gegen Angriffe abzusichern.
- Tanium Deploy automatisiert Software-Upgrades, sobald die Anbieter neue Pakete veröffentlichen.
- Mit Tanium Interact lassen sich variable Hotfixes für Systeme ganz einfach anwenden.
Tanium erstellt zudem Berichte unter sowie unter über die Gefährdung durch „ Log4j “ und andere Bedrohungen.
- Tanium Comply erstellt anhand von Echtzeitdaten Berichte zu allen Endgeräten hinsichtlich Sicherheitslücken in der Konfiguration und Software-Schwachstellen.
- Mit dem Tanium Asset- -Tool können Sie umfassende Berichte über Ihre Online- und Offline-Assets erstellen, während Sie anfällige Softwareversionen identifizieren und nachverfolgen.
In 94 % der Unternehmen übersehen die Endpunktmanagement-Lösungen von „ “ ( ) bis zu 20 % der Endpunkte, die Schutz benötigen. Tanium identifiziert diese übersehenen Endgeräte und bietet eine schnelle, praktikable Lösung zur Erkennung und Abwehr von Log4j Bedrohungen.
Mit Tanium können Sie feststellen, ob diese Sicherheitslücke Auswirkungen auf Ihre Umgebung hat. Wir bieten Funktionen an, mit denen Unternehmen „ Log4j “ kostenlos identifizieren können. Nehmen Sie noch heute Kontakt mit uns auf unter.
