Apache Log4J Güvenlik Açığı: Anket ve VRM İpuçları

Java tabanlı bir günlük kitaplığı olan Apache Log4j 2, 9 Aralık 2021'de bir sıfır gün güvenlik açığından etkilendi. Log4Shell olarak bilinen ve Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından CVE-2021-44228 olarak tanımlanan güvenlik açığı, siber suçluların savunmasız sistemlerin ve sunucuların kontrolünü ele geçirmesine olanak tanır.

Birçok web uygulaması, açık kaynaklı bulut platformu ve servis sağlayıcı Log4j'yi kullanır. Bu yaygın kullanım, kuruluşunuzun dahili saldırı yüzeyini ve üçüncü taraf ekosistemini Log4Shell güvenlik açığına maruz bırakabilir. Kritik sistemleri ve verileri etkili bir şekilde güvence altına almak için kuruluşunuzun dahili Log4j kullanımını ve satıcısının günlük kitaplığı kullanımını değerlendirmesi gerekir.

Satıcı risk yönetimi ekibinizin, satıcıların üçüncü taraf tedarik zincirinizde Log11j'yi nasıl kullandığını ve bunun kuruluşunuzun güvenlik duruşunu nasıl etkileyebileceğini belirlemek için kullanabileceği 4 soruyu keşfetmek için okumaya devam edin.

UpGuard Vendor Risk hakkında daha fazla bilgi edinin: dünyanın #1 numaralı tedarikçi risk yönetimi çözümü>

Log4Shell Güvenlik Açığının Özeti

Aralık 2021'de güvenlik araştırmacıları, Apache Log4j çerçevesinde, kötü niyetli bilgisayar korsanlarının tek bir kod enjeksiyonu yoluyla savunmasız sistemleri tehlikeye atmasına izin veren kritik bir güvenlik açığını duyurdu.

Etkinin ilk günlerinde, güvenlik araştırmacıları her saat yaklaşık 10 milyon Log4Shell istismar girişimi tespit etti. Microsoft ve IOS uygulamaları da dahil olmak üzere birçok dijital ürün ve yazılım Java kullandığından, çeşitli endüstriler Log4Shell'e karşı savunmasızdır.

Log4Shell güvenlik açığından en çok perakende sektörü etkilendi, ancak teknoloji, finansal hizmetler, üretim ve sağlık hizmetleri dahil olmak üzere diğer sektörler de etkilendi.

Log4J Güvenlik Açığını Düzeltme

Apache, Aralık 2021'de güvenlik açığının farkına vardıktan kısa bir süre sonra Log4Shell için bir yama geliştirmeye başladı. Ancak Log4j, yaygın kullanımı göz önüne alındığında hala önemli güvenlik riskleri sunmaktadır.

Log4j 2'nin 2.17.1'den önceki herhangi bir sürümü, Log4Shell güvenlik açığına karşı savunmasızdır. Kuruluşlar, kendilerini bu güvenlik açığına karşı etkili bir şekilde korumak için, dahili altyapılarında ve üçüncü taraf ekosistemlerinde kullanımda olan herhangi bir savunmasız Log4j 2 sürümünü ele almalıdır.

Güvenlik ekipleri, güvenlik açığını gidermek için aşağıdaki protokolü izleyebilir:

  1. Log4j 2'nin en son sürümüne güncelleyin
  2. Bir tarayıcı kullanarak güvenlik açığı taramaları çalıştırın
  3. Java sistem özelliklerini güncelleyin
  4. JNDI'yi devre dışı bırak
  5. Satıcılara bir Apache Log4j anketi gönderin
  6. Çok faktörlü kimlik doğrulama kullanın

Önerilen Okuma: Log4Shell: Log4J Güvenlik Açığı Açıkça Açıklandı

İlgili Log4J Güvenlik Açıkları

Apache, Log4Shell güvenlik açığını çözmek için çalışırken, araştırmacılar ve tehdit aktörleri Log4j'nin çeşitli sürümlerinde ek kusurlar keşfetti. NIST, bu kusurları aşağıdaki kodlarla belirlemiştir:

  • CVE-2021-45046: Siber suçluların Log4j 2.15 ve altında bulunan kötü amaçlı JNDI aramaları göndermesine izin verir
  • CVE-2021-45105: Siber suçluların Log4j 2.16 ve önceki sürümlerde bulunan kötü amaçlı mesajlar aracılığıyla hizmet reddi saldırıları dağıtmasına izin verir

CVE-2021-44832: Log4j 2.17 ve altında bulunan, bilgisayar korsanlarının yükseltilmiş izinlere sahip olmaları durumunda rastgele kod içeren sistemlerden yararlanmasına izin veren bir uzaktan kod yürütme güvenlik açığı (RCE)

Satıcılarınıza Sormanız Gereken 11 Apache Log4J Sorusu

Güvenlik anketleri, bir kuruluşun üçüncü taraf satıcılarının güvenlik durumunu değerlendirebilmesinin en etkili yollarından biridir. Kuruluşunuz, tüm satıcı ekosistemindeki Log4j'nin eski sürümlerini belirlemek üzere bir güvenlik anketi oluşturmak için aşağıdaki 11 soruyu kullanabilir.

UpGuard'ın güçlü güvenlik anketi kitaplığını keşfedin>

1. Kuruluşunuz Log4j 2'nin herhangi bir sürümünü çalıştırıyor mu?

  • Evet
  • Hayır
  • [Satıcı yorumları için açık metin alanı]

2. Kuruluşunuz, Apache Software Foundation ve CISA'nın önerdiği şekilde Log4j 2.17.1'e güncelleme yaptı mı?

  • Evet, kuruluş Log4j 2.17.1'e güncellendi
  • Hayır, kuruluş Log4j 2.17.1'e güncelleme yapamıyor (lütfen aşağıda açıklayın)
  • Kuruluş henüz Log4j 2.17.1'e güncelleme yapmadı
  • [Satıcı yorumları için açık metin alanı]

3. Hayır ise, kuruluşunuz şu anda hangi Log4j 2 sürümünü çalıştırıyor?

  • Kuruluş, Log4j 2'nin 2.7 ile 2.14.1 arasında bir sürümünü kullanır (3. soruya geçin)
  • Kuruluş, Log4j 2'nin 2.0-beta9 ve 2.10.0 arasında bir sürümünü kullanır (4. soruya geçin)
  • Kuruluş Log4j 2'yi kullanır.17.1

4. Kuruluşunuz 4 ile 2.7 arasında bir Log2.14j1 sürümü kullanıyorsa, aşağıdaki azaltma çabalarının uygulanmasını sağlayın:

a) Sistem özelliği, log4j2.formatMsgNoLookups veya ortam değişkeni, LOG4J_FORMAT_MSG_NO_LOOKUPS, true olarak ayarlanmıştır

VE

b) Tüm PatternLayout desenleri yalnızca %m yerine %m{nolookups} olarak değiştirildi

  • Kuruluş önlemi uygulamıştır a)
  • Kuruluş önlemi uygulamıştır b)
  • Kuruluş a) ve b) önlemlerini uygulamıştır
  • [Satıcı yorumları için açık metin alanı]

5. Kuruluşunuz 4-beta2 ile 2.0 arasında bir Log9j2.10.0 sürümü kullanıyorsa, aşağıdaki azaltma çabalarının uygulanmasını sağlayın:

a) Sistem özelliği, log4j2.formatMsgNoLookups veya ortam değişkeni, LOG4J_FORMAT_MSG_NO_LOOKUPS, true olarak ayarlanmıştır

VE

>

b) JndiLookup sınıfı yoldan çekildi: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class.

  • Kuruluş önlemi uygulamıştır a)
  • Kuruluş önlemi uygulamıştır b)
  • Kuruluş a) ve b) önlemlerini uygulamıştır
  • [Satıcı yorumları için açık metin alanı]

6. Kuruluşunuz, Log4Shell'e karşı savunmasız varlıkları belirlemek için CISA'nın GitHub deposunu kullandı mı?

  • Evet
  • Hayır
  • [Satıcı yorumları için açık metin alanı]

7. Kuruluşunuz Log4Shell güvenlik açığından kaynaklanan herhangi bir güvenlik ihlali göstergesi (IOC) belirledi mi?

  • Evet (lütfen aşağıda listeleyin)
  • Hayır
  • [Satıcı yorumları için açık metin alanı]

8. Log4Shell güvenlik açığı kuruluşunuzu nasıl etkiledi?

  • Güvenlik açığı kuruluşu etkilemedi ve güvenlik açığından kaynaklanan herhangi bir siber saldırıya veya güvenlik sorununa maruz kalmadık
  • Güvenlik açığı kuruluşu orta derecede etkiledi, ancak hiçbir kritik sistem, altyapı, hizmet veya veri etkilenmedi (lütfen aşağıda açıklayın)
  • Güvenlik açığı, kuruluşun kritik sistemlerini, altyapısını, hizmetlerini ve/veya verilerini doğrudan etkiledi (lütfen aşağıda açıklayın)
  • [Satıcı yorumları için açık metin alanı]

9. Kuruluşunuzun siber tehditlere yanıt vermek için bir olay müdahale planı var mı?

  • Evet, kuruluşun bir olay müdahale planı var
  • Kuruluş, özel bir olay müdahale planını tamamlama sürecindedir
  • Hayır, kuruluşun yürürlükte olan bir olay müdahale planı yok
  • [Satıcı yorumları için açık metin alanı]

10. Kuruluşunuz dahili güvenlik açıklarını değerlendirmek için ne sıklıkla derinlemesine risk değerlendirmeleri yapıyor?

  • Yıllık
  • Her altı ayda bir
  • Gerektiğinde veya risk değerlendirmeleri için planlanmış bir tempomuz yok
  • [Satıcı yorumları için açık metin alanı]

11. Ek sorular ve sorgular almak için kuruluşunuzun iletişim noktası kimdir?

  • Ad:
  • Başlık:
  • E-posta:
  • Telefon:
  • [Satıcı yorumları için açık metin alanı]

Satıcı Riskleri Nasıl Düzeltilir?

Kuruluşunuz bir Apache Log4j güvenlik anketi dağıtırsa ve bir satıcının Log4j 2'nin savunmasız bir sürümünü çalıştırdığını tespit ederse, riski hemen düzeltmeniz gerekir. Kuruluşunuz, birden çok satıcının açığa çıkması durumunda satıcı kritikliğine dayalı düzeltme çabalarına öncelik vermelidir.

Satıcının güvenlik farkındalığı düzeyine bağlı olarak, kuruluşunuzun gerekli güncellemeleri ve düzeltme protokollerini dağıtmak için satıcının güvenlik ekibiyle birlikte çalışması gerekebilir.

Ekibiniz, açıkta kalan bir satıcıyı belirledikten sonra aşağıdaki düzeltme iş akışını izleyebilir:

  • Belirlenen iletişim noktasıyla iletişim kurun ve düzeltme talebinde bulunun
  • JNDI aramalarını kaldırmak, Log4j'nin en son sürümüne güncellemek, envanter satıcıları için CISA'nın GitHub deposunu kullanmak ve Apache ve CISA tarafından önerilen diğerleri gibi azaltma prosedürleri önerin
  • Düzeltme hatası için beklentileri, zaman çizelgelerini ve danışmanlık sonuçlarını iletin
  • Riskin düzeltildiğini doğrulamak için yeni bir güvenlik anketi gönderin

Önerilen Okuma: 2024'te Otomatik Satıcı Risk Düzeltme Yazılımını Seçme

UpGuard, güvenlik ekiplerinin dahili ve üçüncü taraf saldırı yüzeylerini korumalarına yardımcı olmaya kendini adamış bir siber güvenlik şirketidir. UpGuard'ın iki ürünü olan Vendor Risk ve BreachSight, kuruluşların siber hijyenlerini iyileştirmelerine, bireysel satıcıların güvenlik duruşlarını değerlendirmelerine ve sağlam satıcı risk yönetimi ve siber risk yönetimi protokollerini uygulamalarına olanak tanır.

UpGuard'ın güvenlik açığı tarama ve güvenlik açığı değerlendirme yetenekleri, kuruluşların güvenlik duruşlarını etkileyebilecek ve kötü amaçlı yazılım veya fidye yazılımı gibi siber saldırılara yol açabilecek çeşitli güvenlik açıklarını belirlemelerine olanak tanır.

UpGuard Vendor Risk ve BreachSight aşağıdaki özellikleri içerir:

  • Veri sızıntısı tespiti: Veri sızıntılarının zamanında tespiti ile markanızın itibarını, fikri mülkiyetini ve müşteri verilerini koruyun
  • Sürekli izleme: Etki alanları, IP'ler, uygulamalar, uç noktalar, eklentiler ve güvenlik duvarları dahil olmak üzere saldırı yüzeyinizdeki gerçek zamanlı güncelleştirmeler alın ve maruz kalmaları yönetin
  • Saldırı yüzeyini azaltma: Kötüye kullanılabilecek güvenlik açıklarını ve typosquatting riski taşıyan etki alanlarını keşfederek saldırı yüzeyinizi azaltın
  • Paylaşılan güvenlik profili: Güvenlik anketlerini yanıtlama zahmetini ortadan kaldırmak için bir UpGuard Paylaşılan profili oluşturun
  • İş akışları ve feragatler: Düzeltme iş akışlarını kolaylaştırın, risklerden hızla feragat edin ve güvenlik sorgularına yanıt verin
  • Raporlama ve içgörüler: Farklı paydaşlar için özel olarak hazırlanmış raporlara erişin ve harici saldırı yüzeyinizle ilgili bilgileri görüntüleyin
  • Satıcı Güvenlik anketleri: Satıcı ilişkileriniz ve üçüncü taraf güvenlik duruşunuz hakkında daha derin bilgiler edinmek için güvenlik anketlerini otomatikleştirin
  • Güvenlik derecelendirmeleri: Veriye dayalı, objektif ve dinamik güvenlik derecelendirmelerimizi kullanarak bireysel satıcıların güvenlik duruşunu değerlendirin
  • Risk değerlendirmeleri: Risk değerlendirmesi iş akışlarını kolaylaştırın, kanıt toplayın ve hızlı bir şekilde düzeltme talep edin