自2021年12月7日公開(kāi)，Apache Log4j 漏洞被認為是“2021年最重要的安全威脅之一”，稱(chēng)它為“核彈級”漏洞真的不是夸張。該漏洞被披露已有1個(gè)多月時(shí)間，我們一起來(lái)回顧下，這場(chǎng)“核爆炸”究竟帶來(lái)了哪些連鎖反應？
被披露僅1個(gè)多月時(shí)間，以CVE-2021-44228漏洞為起始點(diǎn)，Apache Log4j 總計爆發(fā)8個(gè)漏洞，其中包括5個(gè)遠程代碼執行漏洞、1個(gè)SQL注入漏洞、2個(gè)拒絕服務(wù)漏洞，高危以上漏洞占據了7個(gè)。
Apache Log4j 漏洞信息表
該漏洞還被廣泛應用于勒索、挖礦、僵尸網(wǎng)絡(luò )上，黑產(chǎn)組織利用漏洞發(fā)起多個(gè)攻擊事件。深信服對此梳理了完整的事件演進(jìn)時(shí)間線(xiàn)：
12月13日，深信服捕獲到勒索病毒Tellyouthepass最新變種使用CVE-2021-44228漏洞專(zhuān)門(mén)針對某OA系統對Windows和Linux雙平臺進(jìn)行攻擊，點(diǎn)擊了解：《深信服EDR成功攔截利用Apache Log4j2漏洞Tellyouthepass 勒索，警惕攻擊OA系統》
12月15日，深信服捕獲到專(zhuān)門(mén)針對某OA系統的利用CVE-2021-44228漏洞進(jìn)行傳播的挖礦病毒，并進(jìn)行了深入分析，點(diǎn)擊了解：《發(fā)現針對某OA的Log4shell漏洞利用的新型挖礦病毒W(wǎng)hiteLotusMiner》
重點(diǎn)關(guān)注：關(guān)鍵信息基礎設施安全防護
值得關(guān)注的是，在A(yíng)pache Log4j2遠程執行代碼漏洞被披露僅11天后，已有攻擊者利用此漏洞成功攻擊比利時(shí)國防部計算機網(wǎng)絡(luò )。發(fā)言人證實(shí)其部分計算機網(wǎng)絡(luò )處于癱瘓狀態(tài)，如郵件系統已經(jīng)停機數日。
據媒體報道稱(chēng)，比利時(shí)國防部是第一個(gè)報告該漏洞的政府受害者，但鑒于A(yíng)pache Log4j 漏洞在公共和私營(yíng)部門(mén)流行的軟件中無(wú)處不在，它不可能是最后一個(gè)。
與此同時(shí)，已有勒索團伙將Log4j2漏洞武器化，并擁有完整的攻擊鏈，嚴重威脅各國關(guān)基單位的安全與利益。保障關(guān)鍵信息基礎設施安全，強化應急響應能力，這是Apache Log4j 漏洞攻擊事件給我們帶來(lái)的啟示。
為什么關(guān)鍵信息基礎設施極易成為攻擊者利用Log4j 漏洞進(jìn)行攻擊的目標？
我們知道，Log4j 漏洞不僅存在于組織面向Internet的資產(chǎn)中，還存在于內部系統、第三方應用程序、SaaS和云服務(wù)等環(huán)境中。對于關(guān)鍵信息基礎設施運營(yíng)單位來(lái)說(shuō)，面對龐雜的資產(chǎn)情況，難以厘清哪些資產(chǎn)完全暴露在威脅之下。
其次，關(guān)鍵信息基礎設施所使用軟件可能包含Log4j 漏洞的受信任的第三方 API，或可能包含特定組件的所有依賴(lài)項（包括 Log4j 庫）中。由于組織缺乏API行為的可見(jiàn)性及漏洞埋藏較深，識別受影響的應用程序變得異常困難。
關(guān)鍵信息基礎設施所使用的軟件可能由第三方供應商提供，但針對Log4j 漏洞，未必所有的供應商都有可用的補丁，因此當前看似“風(fēng)平浪靜”，實(shí)則暗藏安全風(fēng)險。
解決方案：長(cháng)效治理防護，筑就安全防線(xiàn)
當前，Log4j1.x已經(jīng)停止維護，解決1.x版本漏洞，需要升級到Log4j2的新版本。未來(lái)，攻擊者還會(huì )如何利用Apache Log4j2 組件漏洞對關(guān)鍵信息基礎設施進(jìn)行攻擊不得而知。但可以確信的是，該漏洞在短時(shí)間難以全面排查，且一旦威脅快速升級，難以及時(shí)規避。
如果只是采用單次的風(fēng)險排查和應急處置，將無(wú)法持續有效控制，風(fēng)險治理異常困難。組織應基于威脅情報持續監測、快速響應，建立長(cháng)效治理機制，及時(shí)規避風(fēng)險。
針對該漏洞及后續進(jìn)化版本，深信服基于深度研究、持續跟進(jìn)，不斷更新產(chǎn)品內置規則、云端威脅情報，并根據用戶(hù)實(shí)際情況提供Apache Log4j2組件漏洞長(cháng)效治理解決方案，從風(fēng)險排查、安全加固、長(cháng)效治理三個(gè)階段，形成整體全面的建設思路，幫助用戶(hù)徹底解決該漏洞帶來(lái)的安全隱患。
深信服Apache Log4j2 組件漏洞長(cháng)效治理解決方案建設思路
1. 專(zhuān)業(yè)檢測工具匹配不同需求，快速排查安全隱患
是否存在漏洞相關(guān)組件：通過(guò)深信服云鏡配合0Day插件包，快速發(fā)現安全風(fēng)險；
是否存在利用漏洞的攻擊行為：通過(guò)深信服終端檢測響應平臺 EDR 的威脅狩獵模塊，對漏洞利用、惡意軟件執行繞過(guò)、持久化等操作進(jìn)行檢測。
2. 專(zhuān)項檢測防護，見(jiàn)招拆招，針對性有效加固
發(fā)現內部存在 Apache Log4j2 組件：深信服安全服務(wù)人員可協(xié)助用戶(hù)更新升級相關(guān)組件到最新版本；
發(fā)現繞過(guò)官方補丁的攻擊行為：通過(guò)深信服下一代防火墻 AF最新的漏洞攻擊特征識別庫，有效識別漏洞并實(shí)時(shí)更新。
3. 7*24小時(shí)持續監測，全球威脅5分鐘同步，建立長(cháng)效防護機制
從事件演變過(guò)程來(lái)看，攻擊者不斷升級其攻擊技術(shù)，修復補丁、安全策略等相關(guān)措施都存在被繞過(guò)的可能：通過(guò)深信服安全運營(yíng)團隊 7*24 小時(shí)持續監測漏洞攻擊行為，配合云端威脅情報，全球威脅5分鐘同步，通過(guò)“本地 + 云端”的方式第一時(shí)間規避該漏洞帶來(lái)的安全隱患。
針對Apache Log4j 漏洞，深信服全面梳理事件發(fā)展過(guò)程，幫助用戶(hù)更深入了解其影響面，以及如何針對Apache Log4j2 組件漏洞進(jìn)行長(cháng)效治理。
