Log4j es y sigue siendo una vulnerabilidad peligrosa casi tres meses después de su divulgación. E incluso si aún no se están ejecutando ataques, los oficiales de seguridad de TI deben asumir que los ciberdelincuentes han obtenido acceso a los sistemas de TI. Por Cristian Avram, arquitecto sénior de soluciones en Bitdefender.
Para defenderse eficazmente contra ataques inminentes, en los próximos meses será necesario localizar y cerrar de inmediato los puntos débiles y monitorear la propia TI y el tráfico de red.
Log4j: una carga a largo plazo
Los piratas informáticos pueden ejecutar código de forma remota utilizando la biblioteca de inicio de sesión Log4J ampliamente utilizada. La vulnerabilidad CVE-9-2021, que se anunció el 2021 de diciembre de 44228, es particularmente peligrosa debido al uso generalizado del estándar de facto Log4J en una amplia variedad de aplicaciones web. Muchas empresas no saben si han implementado Log4j en sus sistemas y dónde lo han hecho. Ya en diciembre de 2021, Bitdefender Labs notó acciones específicas de los ciberdelincuentes, por ejemplo, para instalar criptomineros a través de botnets o para lanzar nuevos ataques de ransomware.
Si bien la gran ola de ataques aparentemente aún no se ha materializado, se puede asumir una situación de riesgo muy dinámica. Debido a que es tan fácil instalar un código ejecutable remoto a través de Log4j, el peligro es inminente. Los atacantes también utilizan Log4J como puerta de enlace para acceder a la red corporativa. Se puede suponer que los ataques reales seguirán, porque los piratas informáticos inicialmente pusieron un pie en la puerta de la red de la empresa de la manera más discreta posible. Es posible que muchos de los ataques que se están preparando ahora y que comenzarán en un futuro cercano ya no se detecten como resultado de una intrusión a través de Log4j.
Incertidumbre entre fabricantes y empresas
La propia biblioteca Log4j ofrece una función muy útil y sencilla para registrar y procesar solicitudes a los sistemas. Por eso se ha convertido en el estándar de facto. Como marco versátil y multiplataforma, se ejecuta en varios sistemas operativos como Windows, Linux, macOS y FreeBSD. Java, y por lo tanto Log4J, se utiliza, por ejemplo, en cámaras web, sistemas de navegación para automóviles, terminales, reproductores de DVD, decodificadores, dispositivos médicos e incluso en parquímetros. Sin embargo, esto crea un problema: muchos administradores de TI no sabrán qué aplicaciones conectan la red de su empresa a Internet a través de Log4j. No es coincidencia que los datos de telemetría de Bitdefender, es decir, la información de los sistemas Bitdefender instalados, muestren que muchos equipos de seguridad están abordando las vulnerabilidades potenciales por sí mismos para ver si se ven afectados.
Y usted no está solo con esta falta de visión general. Los proveedores de software o los proyectos de código abierto tampoco saben si sus productos o proyectos contienen la vulnerabilidad. Como todas las empresas, deben hacerse una idea del estado de la seguridad y ahora están informando a sus clientes, o seguirán haciéndolo en un futuro próximo.
Cinco consejos para la "maratón Log4J" de los próximos meses
En esta situación de riesgo poco clara y en constante cambio, los responsables de seguridad informática de las empresas y los proveedores de seguridad gestionada deberán estar muy atentos en los próximos meses al servicio de sus clientes. Los siguientes consejos ayudarán a identificar riesgos y bloquear ataques a corto y largo plazo:
- 1. Parche y actualice inmediatamente donde ya se conoce la vulnerabilidad: las empresas deben importar inmediatamente todos los parches disponibles para sus aplicaciones de acuerdo con las instrucciones del proveedor del software. Este principio se aplica ahora más que nunca.
- 2. Inventario de infraestructura de TI y lista de materiales de software: los administradores deben auditar toda su infraestructura y cualquier software. Esto le permite identificar todos los sistemas que han implementado un marco de registro de Apache Lofj2. Luego sigue la actualización a Log4j versión 2.17.1.
- 3. Verifique la cadena de suministro de software en busca de actualizaciones: una vez que los administradores de TI saben qué sistemas están afectados, deben mantenerse informados sobre si los respectivos proyectos de software de código abierto. ¿Los proveedores de productos de software comercial proporcionan parches? ¿Qué medidas recomienda para cerrar la brecha?
- 4. No olvide los sistemas sin acceso directo a Internet: por supuesto, las aplicaciones y los sistemas que están conectados directamente a Internet tienen la máxima prioridad en el inventario de seguridad. Pero muchos piratas informáticos solo usan esta puerta de entrada como punto de partida para los movimientos laterales para atacar otros sistemas. Por lo tanto, los responsables de TI deben estar igual de atentos a la hora de monitorear y proteger los sistemas sin conexión directa a Internet.
- 5. Es hora de una defensa en profundidad: Explotar Log4j es el primer paso; lanzar un ataque es el siguiente. Esto puede dar tiempo a los administradores de TI para prepararse y evitar que una vulnerabilidad se convierta en un incidente de seguridad real. Los datos de telemetría muestran qué módulos de seguridad cibernética evitan que los atacantes exploten la vulnerabilidad. Comienza con la protección a nivel de red: Threat Intelligence proporciona información sobre la reputación de las URL o las direcciones IP. Pero el malware estático también está haciendo su parte y ha instalado criptomineros o payloads maliciosos conocidos. Esto no solo ofrece protección contra estos ataques. Los administradores y proveedores de seguridad administrada también deben asumir que estos ataques continuarán propagándose. La detección y respuesta extendidas (XDR) detecta el movimiento lateral de un sistema al siguiente. Las técnicas avanzadas de detección de amenazas identifican comportamientos sospechosos en los procesos. Expertos externos de un servicio de detección y respuesta gestionada (MDR) ayudan a identificar riesgos y ataques.
Defenderse de los ataques a través de Log4j será una tarea a largo plazo. Los administradores deben monitorear el acceso a su red y lo que sucede en la red con mucho cuidado en los próximos meses. Cada anomalía necesita ser revisada. En particular, los administradores de TI y los proveedores de servicios administrados deben tomar en serio cualquier signo de shell TCP inverso.
Más en Bitdefender.com
Acerca de Bitdefender Bitdefender es líder mundial en soluciones de ciberseguridad y software antivirus, y protege más de 500 millones de sistemas en más de 150 países. Desde su fundación en 2001, las innovaciones de la compañía han brindado regularmente excelentes productos de seguridad y protección inteligente para dispositivos, redes y servicios en la nube para clientes privados y empresas. Como proveedor elegido, la tecnología de Bitdefender se encuentra en el 38 por ciento de las soluciones de seguridad implementadas en el mundo y cuenta con la confianza y el reconocimiento de profesionales de la industria, fabricantes y consumidores por igual. www.bitdefender.de