O Log4j é e continua sendo uma vulnerabilidade perigosa quase três meses após sua divulgação. E mesmo que nenhum ataque esteja em execução ainda, os responsáveis pela segurança de TI devem presumir que os cibercriminosos obtiveram acesso aos sistemas de TI. Por Cristian Avram, Arquiteto de Soluções Sênior da Bitdefender.
Para se defender de forma eficaz contra ataques iminentes, será necessário, nos próximos meses, localizar e fechar imediatamente os pontos fracos e monitorar o próprio tráfego de TI e rede.
Log4j: uma carga de longo prazo
Os hackers podem executar código remotamente usando a biblioteca de login Log4J amplamente usada. A vulnerabilidade CVE-9-2021, anunciada em 2021 de dezembro de 44228, é particularmente perigosa devido ao uso generalizado do padrão de fato Log4J em uma ampla variedade de aplicativos da web. Muitas empresas não sabem se e onde implementaram o Log4j em seus sistemas. Já em dezembro de 2021, o Bitdefender Labs notou ações específicas de cibercriminosos, por exemplo, instalar criptomineradores por meio de botnets ou lançar novos ataques de ransomware.
Mesmo que a grande onda de ataques aparentemente ainda não tenha se materializado, uma situação de risco altamente dinâmica pode ser assumida. Como é muito fácil instalar código executável remoto via Log4j, o perigo é iminente. Os invasores também usam o Log4J como um gateway para obter acesso à rede corporativa. Pode-se presumir que os ataques reais ocorrerão, porque os hackers inicialmente colocaram o pé na porta da rede da empresa da maneira mais discreta possível. Muitos dos ataques que estão sendo preparados e que começarão em um futuro próximo podem não ser mais detectados como resultado de uma invasão via Log4j.
Incerteza entre fabricantes e empresas
A própria biblioteca Log4j oferece uma função muito útil e simples para registrar e processar solicitações aos sistemas. É por isso que se tornou o padrão de fato. Como uma estrutura multiplataforma versátil, ela é executada em vários sistemas operacionais, como Windows, Linux, macOS e FreeBSD. Java – e, portanto, Log4J – é usado, por exemplo, em webcams, sistemas de navegação de carros, terminais, DVD players, set-top boxes, dispositivos médicos e até mesmo em parquímetros. No entanto, isso cria um problema: muitos administradores de TI não saberão quais aplicativos conectam a rede de sua empresa à Internet via Log4j. Não é por acaso que os dados de telemetria do Bitdefender, ou seja, informações dos sistemas Bitdefender instalados, mostram que muitas equipes de segurança estão lidando com possíveis vulnerabilidades para ver se foram afetadas.
E você não está sozinho com essa falta de visão geral. Provedores de software ou projetos de código aberto também não sabem se seus produtos ou projetos contêm a vulnerabilidade. Como todas as empresas, elas precisam ter uma ideia do status de segurança e agora estão informando seus clientes – ou continuarão a fazê-lo em um futuro próximo.
Cinco dicas para a “maratona Log4J” dos próximos meses
Nesta situação de risco pouco clara e em constante mudança, os gerentes de segurança de TI nas empresas e os provedores de segurança gerenciada devem estar muito vigilantes nos próximos meses no atendimento a seus clientes. Os conselhos a seguir ajudarão a identificar riscos e bloquear ataques a curto e longo prazo:
- 1. Corrija e atualize imediatamente onde a vulnerabilidade já é conhecida: As empresas devem importar imediatamente todos os patches disponíveis para seus aplicativos de acordo com as instruções do fornecedor do software. Este princípio se aplica agora mais do que nunca.
- 2. Inventário de infraestrutura de TI e BOM de software: os administradores devem auditar toda a sua infraestrutura e qualquer software. Isso permite que você identifique todos os sistemas que implementaram uma estrutura de criação de log Apache Lofj2. A atualização para Log4j versão 2.17.1 segue.
- 3. Verifique se há atualizações na cadeia de fornecimento de software: Uma vez que os administradores de TI saibam quais sistemas são afetados, eles devem se manter informados sobre se os respectivos projetos de software de código aberto. Os fornecedores de produtos de software comercial fornecem patches. Que medidas você recomenda para fechar a lacuna?
- 4. Não se esqueça dos sistemas sem acesso direto à Internet: É claro que aplicativos e sistemas conectados diretamente à Internet têm prioridade máxima no inventário de segurança. Mas muitos hackers usam esse portão de entrada apenas como ponto de partida para movimentos laterais para atacar outros sistemas. Portanto, os responsáveis por TI devem estar igualmente vigilantes no monitoramento e proteção de sistemas sem conexão direta com a Internet.
- 5. Tempo para uma defesa em profundidade: Explorar o Log4j é o primeiro passo – lançar um ataque é o próximo. Isso pode dar aos administradores de TI tempo para se preparar e evitar que uma vulnerabilidade se torne um incidente de segurança real. Os dados de telemetria mostram quais módulos de segurança cibernética impedem que os invasores explorem a vulnerabilidade. Começa com a proteção no nível da rede: Threat Intelligence fornece informações sobre a reputação de URLs ou endereços IP. Mas o malware estático também está fazendo sua parte e instalou criptomineradores ou cargas maliciosas conhecidas. Isso não apenas oferece proteção contra esses ataques. Administradores e provedores de segurança gerenciada também devem presumir que esses ataques continuarão a se espalhar. A detecção e resposta estendida (XDR) detecta o movimento lateral de um sistema para o próximo. Técnicas avançadas de detecção de ameaças identificam comportamentos suspeitos em processos. Especialistas externos de um serviço gerenciado de detecção e resposta (MDR) ajudam a identificar riscos e ataques.
A defesa contra ataques via Log4j será uma tarefa de longo prazo. Os administradores devem monitorar o acesso à sua rede e o que está acontecendo na rede com muito cuidado nos próximos meses. Toda anomalia precisa ser verificada. Em particular, administradores de TI e provedores de serviços gerenciados devem levar a sério qualquer sinal de shell TCP reverso.
Mais em Bitdefender.com
Sobre o Bitdefender A Bitdefender é líder global em soluções de segurança cibernética e software antivírus, protegendo mais de 500 milhões de sistemas em mais de 150 países. Desde a sua fundação em 2001, as inovações da empresa fornecem regularmente excelentes produtos de segurança e proteção inteligente para dispositivos, redes e serviços em nuvem para clientes particulares e empresas. Como fornecedor preferido, a tecnologia da Bitdefender é encontrada em 38 por cento das soluções de segurança implantadas no mundo e é confiável e reconhecida por profissionais da indústria, fabricantes e clientes. www.bitdefender.de