tpower2112/writing-sample-1CVE-2021-44228 Log4j Zusammenfassung
B. Installation von Endpoint Detection & Response (EDR) auf Server-Endpunkten
C. Platzierung verwundbarer Unternehmensanwendungen hinter dem F5
Log4j ist ein Protokollierungstool, das in vielen Java-basierten Anwendungen verwendet wird. Im Dezember 2021 veröffentlichte Apache eine Sicherheitslücke für die Remotecodeausführung (RCE), bei der ein Angreifer mit der Berechtigung, die Protokollierungskonfigurationsdatei zu ändern, schädlichen Code erstellen und ausführen kann. Laut Apache sind die Log4j2-Versionen 2.0-beta7 bis 2.17.0 anfällig für eine RCE-Sicherheitslücke. Die NIST National Vulnerability Database hat für diese Sicherheitslücke die höchste CVSS-Bewertung von 10,0 von 10,0 vergeben. Der einzige Weg, diese Sicherheitslücke vollständig zu entschärfen, ist ein Upgrade auf Log4j 2.3.2 (für Java 6), 2.12.4 (für Java 7) oder 2.17.1 (für Java 8 und später).
Bedrohungsakteure nutzen diese Sicherheitslücke im Internet auf öffentlich zugänglichen Systemen aus, um Ransomware einzusetzen. Das Patchen verwundbarer Endpunkte muss zeitnah erfolgen. Die unten beschriebenen Gegenmaßnahmen verschaffen den Teams nur eine begrenzte Zeit, um Patch-Pläne zu entwickeln und zu testen, sind aber keine langfristigen Lösungen.
Die größte Herausforderung ist die Identifizierung verwundbarer Endpunkte. Jede Abteilung muss sich mit ihren jeweiligen Anbietern in Verbindung setzen, um festzustellen, ob ihre Anwendungen und Dienste verwundbar sind. Zur Unterstützung bei der Identifizierung verwundbarer Dienste ist Logpresso ein Befehlszeilentool zum Scannen nach CVE-2021-44228.
Netzwerkadministratoren können Snort-Regeln an der Grenzfirewall aktivieren, um eingehende Versuche zur Ausnutzung dieser Sicherheitslücke zu blockieren. Diese Regeln blockieren eingehenden Internetverkehr auf unverschlüsselten allgemeinen Web-Ports wie HTTP. Diese Regeln bieten keinen Schutz für eine Website, die HTTPS verwendet, da der Datenverkehr von der Grenzfirewall nicht abgefangen und entschlüsselt werden kann. Ausnutzungen dieser Sicherheitslücke sind sehr spezifisch, und die Wahrscheinlichkeit von Fehlalarmen ist sehr gering.
EDR-Software ist auf allen Endpunkten gemäß dem Informationssicherheitsstandard U7 erforderlich. Der Sicherheitsbetrieb empfiehlt, EDR zuerst auf allen Server-Endpunkten zu installieren, da der Sensor Einblick in verwundbare Endpunkte bietet und die Ausnutzung durch Bedrohungsakteure verhindert.
Systembesitzer benötigen möglicherweise Zeit, um mit Anbietern an Patches für CVE-2021-44228 zu arbeiten. Systembesitzer mit verwundbaren Diensten können sich an das Anwendungssicherheitsteam wenden, um eine WAF-Signatur (Web Application Firewall) zu erstellen, die den Webverkehr zwischen einer Anwendung und dem Internet schützt. Der F5 überwacht und filtert bösartigen Webverkehr, da die JNDI-Injektionssignaturen mit dieser Sicherheitslücke zusammenhängen.
Apache-Migration von Loj4j 1 zu Log4j2
Apache-Sicherheitslücke - Log4j
F5 und Log4j2-Sicherheitslückenentschärfung
Logpresso Sicherheitslückenscanner
Microsoft Security Response Center - Log4j2
MSRC-Leitfaden zur Prävention, Erkennung und Jagd nach Log4j2
