آسیب پذیری Apache Log4J: پرسشنامه و نکات VRM

Apache Log4j 2، یک کتابخانه ورود به سیستم مبتنی بر جاوا، در 9 دسامبر 2021 تحت تأثیر یک آسیب پذیری روز صفر قرار گرفت. این آسیب پذیری که با نام Log4Shell شناخته می شود و توسط موسسه ملی استاندارد و فناوری (NIST) با نام CVE-2021-44228 شناسایی شده است، به مجرمان سایبری اجازه می دهد تا کنترل سیستم ها و سرورهای آسیب پذیر را در دست بگیرند.

بسیاری از برنامه های وب، پلتفرم های ابری منبع باز و ارائه دهندگان خدمات از Log4j استفاده می کنند. این استفاده گسترده می تواند سطح حمله داخلی سازمان شما و اکوسیستم شخص ثالث را در معرض آسیب پذیری Log4Shell قرار دهد. برای ایمن سازی موثر سیستم ها و داده های حیاتی، سازمان شما باید استفاده داخلی خود از Log4j و استفاده فروشنده آن از کتابخانه ورود به سیستم را ارزیابی کند.

برای کشف 11 سوالی که تیم مدیریت ریسک فروشنده شما می تواند برای تعیین نحوه استفاده فروشندگان از Log4j در زنجیره تامین شخص ثالث شما و اینکه چگونه می تواند بر وضعیت امنیتی سازمان شما تأثیر بگذارد، به خواندن ادامه دهید.

درباره UpGuard Vendor Risk: راه حل مدیریت ریسک فروشنده #1 جهان بیشتر بدانید>

خلاصه ای از آسیب پذیری Log4Shell

در دسامبر 2021، محققان امنیتی یک نقص امنیتی مهم در چارچوب Apache Log4j را اعلام کردند که به هکرهای مخرب اجازه می دهد تا سیستم های آسیب پذیر را از طریق تزریق کد به خطر بیندازند.

در اولین روزهای برخورد، محققان امنیتی تقریبا 10 میلیون تلاش بهره برداری از Log4Shell را در هر ساعت شناسایی کردند. صنایع مختلف در برابر Log4Shell آسیب پذیر هستند زیرا بسیاری از محصولات و نرم افزارهای دیجیتال، از جمله برنامه های مایکروسافت و IOS، از جاوا استفاده می کنند.

صنعت خرده فروشی بیشترین آسیب پذیری را تحت تأثیر آسیب پذیری Log4Shell قرار داد، اما سایر بخش ها از جمله فناوری، خدمات مالی، تولید و مراقبت های بهداشتی نیز تحت تأثیر قرار گرفتند.

پچ کردن آسیب پذیری Log4J

آپاچی به سرعت پس از آگاهی از آسیب پذیری در دسامبر 2021، شروع به توسعه یک پچ برای Log4Shell کرد. با این حال، Log4j با توجه به استفاده گسترده از آن، هنوز خطرات امنیتی قابل توجهی را به همراه دارد.

هر نسخه ای از Log4j 2 زودتر از 2.17.1 در برابر آسیب پذیری Log4Shell آسیب پذیر است. برای محافظت موثر از خود در برابر این آسیب پذیری، سازمان ها باید به هر نسخه آسیب پذیر Log4j 2 که در زیرساخت های داخلی و اکوسیستم های شخص ثالث خود استفاده می شود، رسیدگی کنند.

تیم های امنیتی می توانند پروتکل زیر را برای رفع آسیب پذیری دنبال کنند:

به آخرین نسخه Log4j 2 به روز رسانی کنید
اسکن های آسیب پذیری را با استفاده از اسکنر اجرا کنید
به روز رسانی ویژگی های سیستم جاوا
JNDI را غیرفعال کنید
ارسال پرسشنامه Apache Log4j به فروشندگان
از احراز هویت چند عاملی استفاده کنید

توصیه می شود بخوانید: Log4Shell: آسیب پذیری Log4J به وضوح توضیح داده شده است

آسیب پذیری های مربوط به Log4J

در حالی که آپاچی برای رفع آسیب پذیری Log4Shell تلاش می کرد، محققان و عوامل تهدید نقص های بیشتری را در نسخه های مختلف Log4j کشف کردند. NIST این ایرادات را با کدهای زیر شناسایی کرده است:

CVE-2021-45046: به مجرمان سایبری اجازه می دهد تا جستجوهای مخرب JNDI را که در Log4j 2.15 و پایین تر وجود دارد ارسال کنند.

CVE-2021-45105: به مجرمان سایبری اجازه می دهد تا حملات انکار سرویس را از طریق پیام های مخرب موجود در Log4j 2.16 و پایین تر مستقر کنند

CVE-2021-44832: یک آسیب پذیری اجرای کد از راه دور (RCE) که به هکرها اجازه می دهد در صورت داشتن مجوزهای بالا، از سیستم هایی با کد دلخواه سوء استفاده کنند، موجود در Log4j 2.17 و پایین تر

11 سوال Apache Log4J که باید از فروشندگان خود بپرسید

پرسشنامه های امنیتی یکی از موثرترین راه هایی است که یک سازمان می تواند وضعیت امنیتی فروشندگان شخص ثالث خود را ارزیابی کند. سازمان شما می تواند از 11 سوال زیر برای ایجاد یک پرسشنامه امنیتی برای شناسایی نسخه های قدیمی Log4j در کل اکوسیستم فروشنده خود استفاده کند.

کتابخانه پرسشنامه امنیتی قوی UpGuard را کشف کنید>

1. آیا سازمان شما نسخه ای از Log4j 2 را اجرا می کند؟

بله
نه
[باز کردن فیلد متنی برای نظرات فروشنده]

2. آیا سازمان شما به Log4j 2.17.1 همانطور که بنیاد نرم افزار آپاچی و CISA توصیه کرده است به روز شده است؟

بله، سازمان به Log4j 2.17.1 به روز شده است
خیر، سازمان قادر به به روز رسانی به Log4j 2.17.1 نیست (لطفا در زیر توضیح دهید)
این سازمان هنوز به Log4j 2.17.1 به روز نشده است
[باز کردن فیلد متنی برای نظرات فروشنده]

3. اگر خیر، سازمان شما در حال حاضر چه نسخه ای از Log4j 2 را اجرا می کند؟

سازمان از نسخه Log4j 2 بین 2.7 و 2.14.1 استفاده می کند (به سوال 3 بروید)
سازمان از نسخه ای از Log4j 2 بین 2.0-beta9 و 2.10.0 استفاده می کند (به سوال 4 بروید)
این سازمان از Log4j 2 استفاده می کند.17.1

4. اگر سازمان شما از نسخه ای از Log4j2 بین 2.7 و 2.14.1 استفاده می کند، تلاش های کاهش موارد زیر را اجرا کنید:

الف) یا ویژگی سیستم، log4j2.formatMsgNoLookups یا متغیر محیط، LOG4J_FORMAT_MSG_NO_LOOKUPS، روی true تنظیم شده اند

ب) تمام الگوهای PatternLayout به جای ٪m به ٪m{nolookups} تغییر یافته اند

این سازمان اقدامات احتیاطی را انجام داده است: الف)
سازمان اقدامات احتیاطی را اجرا کرده است ب)
این سازمان اقدامات احتیاطی الف) و ب) را اجرا کرده است
[باز کردن فیلد متنی برای نظرات فروشنده]

5. اگر سازمان شما از نسخه ای از Log4j2 بین 2.0-beta9 و 2.10.0 استفاده می کند، تلاش های کاهش زیر را اجرا کنید:

الف) یا ویژگی سیستم، log4j2.formatMsgNoLookups یا متغیر محیط، LOG4J_FORMAT_MSG_NO_LOOKUPS، روی true تنظیم شده اند

ب) کلاس JndiLookup از مسیر خارج شده است: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class.

این سازمان اقدامات احتیاطی را انجام داده است: الف)
سازمان اقدامات احتیاطی را اجرا کرده است ب)
این سازمان اقدامات احتیاطی الف) و ب) را اجرا کرده است
[باز کردن فیلد متنی برای نظرات فروشنده]

6. آیا سازمان شما از مخزن GitHub CISA برای شناسایی دارایی های آسیب پذیر در برابر Log4Shell استفاده کرده است؟

بله
نه
[باز کردن فیلد متنی برای نظرات فروشنده]

7. آیا سازمان شما شاخص های سازش (IOC) ناشی از آسیب پذیری Log4Shell را شناسایی کرده است؟

بله (لطفا در زیر لیست کنید)
نه
[باز کردن فیلد متنی برای نظرات فروشنده]

8. آسیب پذیری Log4Shell چه تاثیری بر سازمان شما داشت؟

این آسیب پذیری بر سازمان تأثیر نگذاشت و ما در معرض هیچ حمله سایبری یا مسائل امنیتی ناشی از آسیب پذیری قرار نگرفتیم
این آسیب پذیری به طور متوسط بر سازمان تأثیر گذاشت، اما هیچ سیستم، زیرساخت، خدمات یا داده حیاتی تحت تأثیر قرار نگرفت (لطفا در زیر توضیح دهید)
این آسیب پذیری مستقیما بر سیستم ها، زیرساخت ها، خدمات و/یا داده های حیاتی سازمان تأثیر می گذارد (لطفا در زیر توضیح دهید)
[باز کردن فیلد متنی برای نظرات فروشنده]

9. آیا سازمان شما برنامه واکنش به حادثه برای پاسخگویی به تهدیدات سایبری دارد؟

بله، سازمان یک برنامه واکنش به حادثه دارد
این سازمان در حال نهایی کردن یک برنامه اختصاصی واکنش به حوادث است
خیر، سازمان برنامه واکنش به حادثه ندارد
[باز کردن فیلد متنی برای نظرات فروشنده]

10. سازمان شما هر چند وقت یکبار ارزیابی های عمیق ریسک را برای ارزیابی آسیب پذیری های امنیت داخلی به کار می گیرد؟

سالانه
هر شش ماه یکبار
در صورت نیاز، یا ما آهنگ برنامه ریزی شده ای برای ارزیابی ریسک نداریم
[باز کردن فیلد متنی برای نظرات فروشنده]

11. نقطه تماس سازمان شما برای مطرح کردن سوالات و سوالات اضافی کیست؟

نام:
عنوان:
ایمیل:
تلفن:
[باز کردن فیلد متنی برای نظرات فروشنده]

چگونه ریسک های فروشنده را اصلاح کنیم

اگر سازمان شما یک پرسشنامه امنیتی Apache Log4j را مستقر می کند و متوجه می شود که فروشنده ای نسخه آسیب پذیر Log4j 2 را اجرا می کند، باید فورا خطر را برطرف کنید. سازمان شما باید تلاش های اصلاحی را بر اساس بحرانی بودن فروشنده در صورت قرار گرفتن چندین فروشنده در اولویت قرار دهد.

بسته به سطح آگاهی امنیتی فروشنده، سازمان شما ممکن است نیاز به همکاری در کنار تیم امنیتی فروشنده برای استقرار به روزرسانی های لازم و پروتکل های اصلاحی داشته باشد.

تیم شما می تواند با شناسایی فروشنده در معرض نور، گردش کار اصلاح زیر را دنبال کند:

با نقطه تماس شناسایی شده ارتباط برقرار کنید و درخواست اصلاح کنید
پیشنهاد رویه های کاهش، مانند حذف جستجوهای JNDI، به روز رسانی به آخرین نسخه Log4j، استفاده از مخزن GitHub CISA به فروشندگان موجودی، و سایر موارد توصیه شده توسط Apache و CISA
انتظارات، جدول زمانی و پیامدهای مشاوره ای برای شکست اصلاح را بیان کنید
ارسال یک پرسشنامه امنیتی جدید برای تأیید اینکه خطر اصلاح شده است

خواندن پیشنهادی: انتخاب نرم افزار اصلاح ریسک فروشنده خودکار در سال 2024

UpGuard یک شرکت امنیت سایبری است که به تیم های امنیتی کمک می کند تا از سطوح حمله داخلی و شخص ثالث خود محافظت کنند. دو محصول UpGuard، Vendor Risk و BreachSight، به سازمان ها اجازه می دهد تا بهداشت سایبری خود را بهبود بخشند، وضعیت امنیتی فروشندگان فردی را ارزیابی کنند و پروتکل های مدیریت ریسک فروشنده و مدیریت ریسک سایبری را به کار گیرند.

قابلیت های اسکن آسیب پذیری و ارزیابی آسیب پذیری UpGuard به سازمان ها این امکان را می دهد که آسیب پذیری های مختلفی را که می تواند بر وضعیت امنیتی آنها تأثیر بگذارد و منجر به حملات سایبری مانند بدافزار یا باج افزار شود، شناسایی کنند.

UpGuard Vendor Risk و BreachSight شامل ویژگی های زیر است:

تشخیص نشت داده ها: با تشخیص به موقع نشت داده ها، از شهرت، مالکیت معنوی و داده های مشتری برند خود محافظت کنید
نظارت مداوم: به روزرسانی های بلادرنگ را دریافت کنید و نوردهی ها را در سطح حمله خود، از جمله دامنه ها، IP ها، برنامه ها، نقاط پایانی، افزونه ها و فایروال ها مدیریت کنید
کاهش سطح حمله: با کشف آسیب پذیری های قابل بهره برداری و دامنه هایی که در معرض خطر اشتباه تایپی هستند، سطح حمله خود را کاهش دهید
نمایه امنیتی مشترک: یک نمایه UpGuard Shared ایجاد کنید تا دردسر پاسخ دادن به پرسشنامه های امنیتی را از بین ببرید
گردش کار و چشم پوشی ها: گردش کار اصلاح را ساده کنید، به سرعت از خطرات چشم پوشی کنید و به پرس و جوهای امنیتی پاسخ دهید
گزارش و بینش: به گزارش های سفارشی برای ذینفعان مختلف دسترسی داشته باشید و اطلاعات مربوط به سطح حمله خارجی خود را مشاهده کنید
پرسشنامه های امنیت فروشنده: پرسشنامه های امنیتی را خودکار کنید تا بینش عمیق تری در مورد روابط فروشنده و وضعیت امنیتی شخص ثالث خود به دست آورید
رتبه بندی های امنیتی: وضعیت امنیتی فروشندگان فردی را با استفاده از رتبه بندی های امنیتی مبتنی بر داده، عینی و پویا ارزیابی کنید
ارزیابی ریسک: گردش کار ارزیابی ریسک را ساده کنید، شواهد را جمع آوری کنید و به سرعت درخواست اصلاح کنید