Viele Organisationen verarbeiten Log4j immer noch nicht – hier ist der Grund

Sie konnten nicht an der Transform 2022 teilnehmen? Sehen Sie sich jetzt alle Summit-Sessions in unserer On-Demand-Bibliothek an! Schau mal hier.

Von allen Sicherheitslücken, die in den letzten Jahren entdeckt wurden, sticht eine aus der Cloud heraus: Log4j. Als die Schwachstelle im Dezember 2021 erstmals identifiziert wurde, nachdem Forscher einen Exploit zur Remotecodeausführung in der Apache Log4j-Bibliothek identifiziert hatten, wurde klar, dass Milliarden von Geräten, die Java verwenden, gefährdet waren.

Während ein Großteil des Aufruhrs um Log4j abgeklungen ist, kämpfen viele Organisationen immer noch darum, die Schwachstelle vollständig zu beseitigen.

Eine neue Studie des Angriffsoberflächen-Managementanbieters Cycognito ergab, dass 70 % der Unternehmen, die zuvor Log4j in ihrer Angriffsoberfläche hatten, immer noch Schwierigkeiten haben, anfällige Assets von Log4j zu beheben und zu verhindern, dass neue Instanzen von Log4j in ihrem Computing-Stack wieder auftauchen .

Tatsächlich beobachten einige Unternehmen, dass sie zunehmend Log4j ausgesetzt sind. Einundzwanzig Prozent der Unternehmen mit anfälligen Assets gaben an, im Juli im Vergleich zum Januar ein dreistelliges prozentuales Wachstum bei der Anzahl anfälliger Log4j-Assets zu verzeichnen.

Am wichtigsten ist, dass die Ergebnisse zeigen, dass das Log4j-Debakel noch lange nicht vorbei ist und weiterhin Unternehmen verfolgen wird, die nicht bereit sind, ihre Angriffsfläche proaktiv zu verwalten und exponierte Systeme zu reparieren.

Ist Log4j immer noch eine Bedrohung?

Vor etwa einem Monat meldete das U.S. Cyber ​​​​Safety Review Board erneutes Interesse an Log4j und versuchte, die wahren langfristigen Auswirkungen der Schwachstelle zu analysieren.

Eines der wichtigsten Ergebnisse des Berichts war, dass Log4j eine "endemisch anfällige Schwachstelle" ist, die "tief in Systemen eingebettet bleibt".

Die Autoren vermuten, dass eines der Hauptprobleme darin besteht, dass Sicherheitsteams oft nicht in der Lage sind, zu erkennen, wo sich anfällige Software in der Umgebung befindet.

Für Allie Mellen, Senior Security Operations Analyst bei Forrester, sind die Probleme mit der Log4j-Minderung auf Unternehmen zurückzuführen, die nicht über ein umfassendes Softwareinventar verfügen.

"Ohne eine genaue Bestandsaufnahme darüber, wo die Funktion verwendet wird, kann es sehr schwierig sein, jede Anwendung aufzuspüren, die im gesamten Unternehmen verwendet wird", sagte Mellen.

Sobald ein Unternehmen über ein Softwareinventar verfügt, kann es damit beginnen, anfällige Systeme zu patchen. Da Log4j als CVSS 10-Schwachstelle eingestuft wird, sollte es für Sicherheitsteams oberste Priorität haben.

„CISOs sollten mit Anwendungssicherheitsteams, Risikomanagementteams und funktionsübergreifend mit IT- und Entwicklungsteams zusammenarbeiten, um Log4j-Korrekturen zu priorisieren“, sagte sie. "Es gibt viele konkurrierende Prioritäten für diese Teams, aber Log4j muss angesichts der Auswirkungen auf das Ökosystem ganz oben auf der Liste stehen."

Obwohl es nur wenige öffentliche Beispiele für Verstöße aufgrund von Log4j gibt, gibt es einige wenige Beispiele für erheblichen Schaden. Die Kriminellen nutzten die Schwachstelle, um sich in die vietnamesische Krypto-Handelsplattform ONUS zu hacken, forderten ein Lösegeld von 5 Millionen US-Dollar und ließen die Daten von fast 2 Millionen Online-Kunden preis.

In jedem Fall bietet Log4j Angreifern einen Einstiegspunkt, den sie verwenden können, um Webanwendungen auszunutzen und Zugang zu wertvollen personenbezogenen Daten (PII) und anderen Details zu erhalten.

Attack Surface Management neu denken

Der Schlüssel zur Identifizierung und Behebung anfälliger Log4j-Systeme liegt in der Verwendung eines skalierbaren Ansatzes zur Verwaltung der Angriffsfläche, mit der Fähigkeit, die exponierten...