Am Freitag, 10. Dezember 2021kündigte die Apache Foundation eine schwerwiegende Sicherheitslücke (CVE 2021-44228) in den meisten Versionen ihres Open Source Log4j -Dienstprogramms an, ein beliebtes Protokollierungsdienstprogramm, das in Tausende – wenn nicht sogar Hunderttausende – Softwareanwendungen und -dienste eingebettet wurde.
Die Java Naming and Directory Interface (JNDI) API ermöglicht es Java-Anwendungen, Daten und Ressourcen von externen Verzeichnisdiensten, einschließlich LDAP oder DNS, nachzuschlagen. Ein Angreifer kann die JNDI-Funktionalität nutzen und ein Opfersystem auslösen, um eine externe Bibliothek von einem Server abzurufen, den der Angreifer steuert. Diese Befehle können verwendet werden, um Malware zu installieren, Daten zu löschen, Daten zu exfiltrieren, Anmeldeinformationen zu kopieren oder andere bösartige Aktionen durchzuführen.
Die Auswirkungen sind enorm. Tausende von Softwareanwendungen, einschließlich bekannter kommerzieller Anwendungen von einigen der größten Namen in Unternehmenssoftware, sind anfällig für Hacking und die Verwendung für bösartige Zwecke.
Die Software ist sogar in alltäglichen Geräten wie Fernsehern und Ladenkiosken zu finden. Google schätzt, dass etwa 4 % des Maven Central Java-Repository, das bedeutendste Java-Paket-Repository der Welt, durch diese Schwachstelle kompromittiert wird.
Angriffe können über Webbrowser, Befehlszeilen und andere Arten von Eingaben gestartet werden. Ein Sicherheitsforscher schlug sogar vor, dass die Präsentation eines sorgfältig erstellten QR-Codes an einem Ladenpreisprüfkiosk Angreifern die Kontrolle über die IT-Systeme des Ladens geben könnte.
Sehen Sie sich unser aufgezeichnetes Webinar an, um einen tiefen Einblick in das Verständnis und die Minderung von Log4j Bedrohungen zu erhalten.
https://youtu.be/ygaaetd-9Is
Sicherheitsteams fahren, um Log4j Angriffe zu verhindern
Apache hat Patches an Log4j ausgegeben, die dieses Problem beheben.
Jetzt ist das Rennen angelaufen: Können IT-Sicherheitsteams alle Instanzen von Log4j in ihrer gesamten Software auf all ihren Endpunkten finden, bevor Angreifer diese Schwachstelle nutzen, um Angriffe zu starten?
Angreifer stehen nicht idyllisch da. Innerhalb von 72 Stunden nach Bekanntgabe der Schwachstelle wurden mehr als 800 000 Angriffe auf Anwendungen gestartet. Und die Bedrohungslandschaft wird immer schlimmer.
- Cloudflare meldet jetzt über 1 000 Exploits pro Stunde gegenüber Log4j.
- Eine Cyberkriminalbande in China verwendet Log4j , um VMware Horizon-Software mit NightSky zu infizieren, einer neuen Familie von Ransomware.
- Coin Miners haben bereits Angriffe auf Systeme gestartet, die Log4j ausführen.
- Angreifer haben Log4j verwendet, um Geräte zu zwei Linux-Botnets, Muhstik und Mirai, hinzuzufügen.
- Angreifer haben erfolgreich hochwertige Ziele durchdrungen, wie das Verteidigungsministerium Belgiens.
- Einige beliebte rote Team-Toolkits haben Funktionen zur Ausnutzung von Log4j Schwachstellen hinzugefügt, sodass dieser Exploit für eine noch größere Anzahl von Personen verfügbar ist.
Schwachstellensoftware Log4j kann auf jedem Schreibtisch eines Endpunkts installiert werden. Schlimmer noch, es kann auch in Backups und Goldbildern vorhanden sein, was bedeutet, dass Log4j Instanzen, die diesen Monat entfernt wurden, in Zukunft wieder erscheinen könnten, wenn ein System wiederhergestellt oder neue Systeme bereitgestellt werden müssen.
Die FTC erwartet von Unternehmen, Schwachstellen zu beheben oder mit regulatorischen Strafen zu rechnen
Da die Auswirkungen der Schwachstelle so weitreichend sind, trat die US Federal Trade Commission (FTC) ein. Am veröffentlichte sie eine Erklärung 4. Januar 2022, die darauf hinwies, dass Log4j den Schutz von Verbraucherdaten gefährdete, und erinnerte Unternehmen daran, dass „die Pflicht, angemessene Schritte zur Minderung bekannter Softwareschwachstellen impliziert Gesetze, einschließlich unter anderem des Federal Trade Commission Act und des Gramm Leach Bliley Act.“
Um sicherzustellen, dass niemand die Ernsthaftigkeit seiner Warnung verwechselt, zitiert die FTC ihre Geldstrafe in Höhe von 700 Millionen US-Dollar gegen Equifax im Jahr 2017 für das Versäumnis dieses Unternehmens, eine bekannte Apache Struts-Schwachstelle zu beheben. Dieser Fehler beim Patching von Drittanbietern führte zu einer Datenschutzverletzung, die schließlich die privaten Informationen von 143 Millionen Verbrauchern aufdeckte und die Marke Equifax schädigte.
Die FTC sieht den Log4j nicht als einzigartigen Anlass für eine regulatorische Überprüfung. Vielmehr erwartet sie von Unternehmen, dass sie ähnliche Risiken in Zukunft entdecken und umgehend mindern. Die FTC könnte nicht klarer sein: „Die FTC beabsichtigt, ihre volle rechtliche Befugnis zu nutzen, um Unternehmen zu verfolgen, die keine angemessenen Schritte unternehmen, um Verbraucherdaten als Folge von Log4j oder ähnlichen bekannten Schwachstellen in der Zukunft vor der Exposition zu schützen.“
Das Endergebnis für Sicherheitsteams: Die Tools und Prozesse, die IT-Sicherheitsteams jetzt einsetzen, um die Log4j -Schwachstelle zu beheben, sollten in Zukunft kontinuierlich verwendet werden, um ähnliche Risiken zu erkennen und zu mindern.
Ein laufendes Problem erfordert eine laufende Lösung
Abgesehen von der Unvermeidbarkeit anderer anfälliger Softwarekomponenten wird die Bereinigung von Log4j einen langfristigen Aufwand von IT-Teams erfordern. Das ist der Grund.
Erstens sind über einen Monat nach der Ankündigung der Schwachstelle mehr als 40 % der jüngsten Downloads von Log4J Versionen immer noch anfällig für Kompromittierungen. Das sind 40 % von über 10 Millionen Downloads, was viele Möglichkeiten für Angreifer schafft.
Zweitens finden Scans von Unternehmensnetzwerken nicht nur aktuelle, anfällige Versionen von Log4j , sondern auch 1.x-Versionen des Dienstprogramms, die Apache offiziell im Jahr für das Ende der Lebensdauer erklärt hat August 2015. Es ist auch ein Zeichen dafür, dass es wahrscheinlich Kopien von Log4j gibt, die an ahnungslosen Orten in einem Unternehmen lauern.
Drittens muss ein IT-Team, auch wenn es schafft, alle gefährdeten Instanzen der JndiLookup.class in Log4j zu finden und zu entfernen, immer noch auf der Suche nach gefährdeten Instanzen sein, die aus Backups oder goldenen Bildern wiederhergestellt werden. Sie müssen sich auch Sorgen machen, dass Mitarbeiter gefährdete Kopien aus dem Internet oder von Dritten herunterladen, indem sie gefährdete Versionen verwenden, die letztendlich Möglichkeiten für Angreifer schaffen, das Netzwerk zu durchdringen.
Über Log4j hinaus bis zur kontinuierlichen Bedrohungssuche
Diese fortlaufende Praxis ist breiter als nur das Erkennen und Beheben von Log4j Schwachstellen selbst. Da sich die FTC verpflichtet hat, Unternehmen zu bestrafen, die Daten aufgrund von Schwachstellen verlieren, die Log4j ähnlich sind, signalisiert eine große Aufsichtsbehörde, dass langjährige Ausfälle im Patchmanagement nicht mehr toleriert werden. Der Ausfall kann zu Bußgeldern von bis zu Hunderten Millionen Dollar führen.
IT-Teams müssen jetzt handeln, nicht nur, um Log4j Schwachstellen zu finden und zu beheben, sondern auch Tools und Prozesse zur allgemeinen Erkennung von Schwachstellen von Softwarekomponenten zu implementieren. Wenn in sechs Monaten eine andere Open-Source-Softwarekomponente einen Sicherheitsfehler enthält, müssen Sicherheitsteams schnell reagieren, um alle Instanzen dieser Komponente zu erkennen und zu beheben.
Organisationen aller Art benötigen eine schnelle, effektive und umfassende Möglichkeit, um gefährdete Softwarekomponenten zu erkennen und ihre Bedrohungen zu beheben. Wenn Sie einfach Shell-Skripte ausführen, um nach Dateinamen zu suchen, wird das Problem nicht gelöst.
Solche Skripte lassen sich zwar leicht von einer Sicherheitswebsite schreiben oder herunterladen, aber mit ziemlicher Sicherheit Softwareabhängigkeiten und eingebettete Komponenten übersehen. Und schlimmer noch, sie werden CPUs auf kritischen Systemen im gesamten Netzwerk anstecken. IT-Sicherheitsteams müssen schnell und gründlich suchen, ohne die gesuchten Systeme abzustürzen.
Wie Tanium helfen kann
Tanium schützt vor der Log4j -Schwachstelle mit der einzigen Plattform, die vollständige, genaue und hochpräzise Endpunktdaten bereitstellt, denen die anspruchsvollsten und komplexesten Organisationen der Welt vertrauen.
Die Tanium-Plattformidentifiziert vulnerable Instanzen von Log4j.
- Tanium Reveal identifiziert in nur wenigen Minuten gefährdete Instanzen, einschließlich solcher, die von Drittanbietern neu verpackt wurden.
- Tanium Interact macht es einfach, betroffene Endpunkte zu markieren und Wiederherstellungsplan-Workflows zu initiieren.
Tanium erkennt auch Anzeichen von Ausbeutung.
- Tanium Threat Response erkennt Vorfälle, die Ausbeutungsversuche über alle Endpunkte anzeigen. Verwenden Sie Threat Response, um Endpunkte zu isolieren, die Hinweise auf eine Gefährdung oder andere verdächtige Aktivitäten zeigen.
Tanium hilft Sicherheitsteams, Bedrohungen zu beheben und Endpunkte gegen Kompromisse zu verhärten.
- Tanium Deploy automatisiert Software-Upgrades, sobald Anbieter Pakete veröffentlichen.
- Tanium Interact macht es einfach, variable Hotfixes von Systemen anzuwenden.
Tanium berichtet auch über die Exposition gegenüber Log4j und anderen Bedrohungen.
- Tanium Comply berichtet über alle Endpunkte für Sicherheitskonfigurationsexpositionen und Softwareschwachstellen unter Verwendung von Live-Daten.
- Tanium Asset erstellt umfassende Berichte über Ihre Online- und Offline-Assets, während Sie anfällige Softwareversionen identifizieren und verfolgen.
In 94 % der Unternehmen fehlen Endpunktmanagementlösungen bis zu 20 % der Endpunkte, die geschützt werden müssen. Tanium entdeckt diese übersehenen Endpunkte und bietet eine schnelle, praktikable Lösung zur Entdeckung und Minderung von Log4j Bedrohungen.
Tanium kann Ihnen dabei helfen zu bestimmen, ob diese Schwachstelle Ihre Umgebung beeinträchtigt. Wir bieten Funktionen, mit denen Unternehmen Log4j kostenlos identifizieren können. Kontaktieren Sie uns noch heute.
