Ranljivosti Log4j bodo tu, da ostanejo — ste pripravljeni?

Razširjena ranljivost, ki se je prvič pojavila v Apache Log4j leta 2021 bodo še naprej izkoriščali, potencialno celo na hujše načine, kot smo jih videli do danes. Bolj zaskrbljujoč vidik teh groženj je, da obstaja velika verjetnost, da jih bodo še naprej izkoriščali mesece ali leta v prihodnosti.

Odbor za pregled kibernetske varnosti Ministrstva za domovinsko varnost je debitiral leta 2021, leta 2022 pa je objavil uvodno varnostno poročilo (PDF). V njem je odbor Log4j označil za »endemično ranljivost«, predvsem zato, ker ni celovitega »seznama strank« za Log4j, zaradi česar je sledenje ranljivostim skoraj nemogoča naloga. En zvezni kabinetni oddelek je porabil celo 33,000 ur za svoj odziv Log4j.

Številne organizacije in varnostne rešitve na trgu ne prepoznajo razlike med možnostjo izkoriščanja in ranljivostjo, kar pušča možnost napadalcem, da izvedejo zlonamerno dejavnost.

Izkoriščanje proti ranljivosti

Eno od ključnih vprašanj današnje kibernetske varnosti je razumevanje razlike med ranljivostmi in njihovo resnostjo. Ko gre za merjenje možnosti izkoriščanja v primerjavi z ranljivostjo, obstaja velika razlika med tem, ali je varnostno grožnjo mogoče izkoristiti v vašem podjetju ali pa je le »ranljiva« in ne more ovirati poslovanja ali doseči kritičnega sredstva. Varnostne ekipe porabijo preveč časa za nerazumevanje razlike med obema in popravljajo vsako ranljivost, ko pride, namesto da bi dale prednost tistim, ki jih je mogoče izkoristiti.

Vsako podjetje ima na tisoče pogostih ranljivosti in izpostavljenosti (CVE), od katerih mnoge dosegajo visoke ocene v sistemu točkovanja skupnih ranljivosti (CVSS), zato jih je nemogoče odpraviti vse. Za boj proti temu upamo, da bodo orodja za upravljanje ranljivosti na podlagi tveganja (RBVM). olajšajte določanje prednosti z razjasnitvijo, kaj je mogoče izkoristiti.

Vendar pa pristopi za določanje prednostnih nalog varnosti, ki združujejo rezultate CVSS z informacijami o grožnjah RBVM, ne zagotavljajo optimalnih rezultatov. Tudi po filtriranju in pregledu, kaj je v divjini mogoče izkoriščati, imajo varnostne ekipe še vedno preveč dela, saj je seznam dolg in neobvladljiv. In samo zato, ker CVE danes nima izkoriščanja, še ne pomeni, da ga naslednji teden ne bo imel.

V odgovor so podjetja dodajala umetno inteligenco za predvidevanje tveganj, ki lahko uporabnikom pomaga razumeti, ali bi lahko CVE v prihodnosti izkoriščali. To še vedno ni dovolj in povzroča preveč težav, ki jih je treba odpraviti. Na tisoče ranljivosti bo še vedno kazalo, da jih je mogoče izkoriščati, vendar bodo mnoge imele druge sklope pogojev, ki morajo biti izpolnjeni, da bi dejansko izkoristili težavo.

Na primer, pri Log4j je treba identificirati naslednje parametre:

• Ali obstaja ranljiva knjižnica Log4j?
• Ali ga naloži izvajajoča se aplikacija Java?
• Ali je iskanje JNDI omogočeno?
• Ali Java posluša oddaljene povezave in ali obstaja povezava za druge stroje?

Če pogoji in parametri niso izpolnjeni, ranljivost ni kritična in ji ne bi smeli dati prednosti. In tudi če bi lahko ranljivost izkoristili na stroju, kaj torej? Ali je ta stroj izjemno kritičen ali morda ni povezan z nobenim kritičnim ali občutljivim sredstvom?

Možno je tudi, da stroj ni pomemben, vendar lahko napadalcu omogoči, da nadaljuje do kritičnih sredstev na bolj prikrite načine. Z drugimi besedami, kontekst je ključen – ali je ta ranljivost na potencialni poti napada na kritično sredstvo? Ali je dovolj, da odrežete ranljivost na dušilni točki (presek več poti napada), da preprečite, da bi pot napada dosegla kritično sredstvo?

Varnostne ekipe sovražijo procese ranljivosti in njihove rešitve, ker je ranljivosti vedno več – nihče nikoli ne more v celoti pobrisati. Če pa lahko osredotočite se na to, kar lahko ustvarite škoda na kritično sredstvo, lahko bolje razumejo, kje začeti.

Boj proti ranljivostim Log4j

Dobra novica je, da lahko pravilno upravljanje ranljivosti pomaga zmanjšati in popraviti izpostavljenost napadom, osredotočenim na Log4j, tako da ugotovi, kje obstaja tveganje morebitnega izkoriščanja.

Upravljanje ranljivosti je pomemben vidik kibernetske varnosti in je potrebno za zagotavljanje varnosti in celovitosti sistemov in podatkov. Vendar to ni popoln postopek in ranljivosti so lahko še vedno prisotne v sistemih, kljub vsem prizadevanjem za njihovo prepoznavanje in ublažitev. Pomembno je, da redno pregledujete in posodabljate procese in strategije upravljanja ranljivosti, da zagotovite, da so učinkoviti in da se ranljivosti obravnavajo pravočasno.

Pri upravljanju ranljivosti ne bi smeli biti osredotočeni le na same ranljivosti, ampak tudi na potencialno tveganje izkoriščanja. Pomembno je identificirati točke, kjer je napadalec morda pridobil dostop do omrežja, kot tudi poti, ki jih lahko uporabijo za ogrožanje kritičnih sredstev. Najučinkovitejši in stroškovno najučinkovitejši način za ublažitev tveganja določene ranljivosti je prepoznavanje povezav med ranljivostmi, napačnimi konfiguracijami in vedenjem uporabnikov, ki bi jih lahko izkoristil napadalec, ter proaktivna obravnava teh težav, preden se ranljivost izkoristi. To lahko pomaga prekiniti napad in preprečiti poškodbe sistema.

Naredite tudi naslednje:

• Obliž: Prepoznajte vse svoje izdelke, ki so ranljivi za Log4j. To je mogoče storiti ročno ali z uporabo odprtokodnih skenerjev. Če je izdan ustrezen popravek za enega od vaših ranljivih izdelkov, popravite sistem ASAP.
• Rešitev: V različicah Log4j 2.10.0 in novejših v vrstici Java CMD nastavite naslednje: log4j2.formatMsgNoLookups=true
• Blok: Če je mogoče, požarnemu zidu spletne aplikacije dodajte pravilo za blokiranje: »jndi:«

Popolna varnost je nedosegljiv podvig, zato nima smisla delati popolnega sovražnika dobrega. Namesto tega se osredotočite na določanje prednosti in zaklepanje potencialnih poti napada, ki nenehno izboljšujejo varnostno držo. Prepoznavanje in realistični pogled na to, kaj je dejansko ranljivo v primerjavi s tem, kaj je mogoče izkoristiti, lahko pri tem pomaga, saj bo omogočilo strateško usmerjanje virov proti kritičnim področjem, ki so najpomembnejša.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• Platoblockchain. Web3 Metaverse Intelligence. Razširjeno znanje. Dostopite tukaj.
• vir: https://www.darkreading.com/attacks-breaches/log4j-vulnerabilities-are-here-to-stay-are-you-prepared-