Багато організацій досі не можуть обробляти Log4j - ось чому

Не змогли відвідати Transform 2022? Перегляньте всі сесії саміту в нашій бібліотеці за запитом! Подивіться сюди.

З усіх уразливостей, виявлених за останні кілька років, є одна, яка виділяється з хмари: Log4j. Коли в грудні 2021 року вразливість було вперше виявлено після того, як дослідники виявили експлойт віддаленого виконання коду в бібліотеці Apache Log4j, стало зрозуміло, що мільярди пристроїв, які використовують Java, опинилися під загрозою.

Хоча більшість галасу навколо Log4j вщухла, багато організацій все ще намагаються повністю усунути вразливість.

Нове дослідження, опубліковане постачальником засобів керування поверхнею атак Cycognito, виявило, що 70% організацій, які раніше мали Log4j у своїй поверхні атак, досі намагаються виправити вразливі активи від Log4j і запобігти повторній появі нових екземплярів Log4j у своїх обчислювальних системах. стек.

Насправді деякі компанії спостерігають збільшення впливу Log4j. Двадцять один відсоток організацій із уразливими активами повідомили про тризначне зростання кількості вразливих активів Log4j у липні порівняно з січнем.

Найважливіше те, що результати вказують на те, що катастрофа Log4j ще далека від завершення і продовжуватиме переслідувати організації, які не готові проактивно керувати поверхнею атак і виправляти системи, які виявились небезпечними.

Log4j все ще становить загрозу?

Приблизно місяць тому у звіті Комітету з аналізу кібербезпеки США відновився інтерес до Log4j і була спроба розібрати справжній довгостроковий вплив уразливості.

Одним із ключових висновків звіту було те, що Log4j є «ендемічною вразливістю», яка «залишається глибоко вбудованою в системи».

Автори припустили, що одна з головних проблем полягає в тому, що групи безпеки часто не можуть визначити, де в середовищі знаходиться вразливе програмне забезпечення.

Для Еллі Меллен, старшого аналітика безпеки Forrester, проблеми з пом’якшенням Log4j зводяться до компаній, які не мають повної інвентаризації програмного забезпечення.

«Без точної інвентаризації того, де використовується ця функція, може бути дуже важко відстежити кожну програму, яка використовується на підприємстві», — сказав Меллен.

Якщо організація має інвентаризацію програмного забезпечення, вона може почати виправляти вразливі системи. Оскільки Log4j класифікується як уразливість CVSS 10, це має бути головним пріоритетом для команд безпеки.

«Агенти з безпеки додатків, спеціалісти з управління ризиками повинні співпрацювати з групами ІТ і розробників, які займаються багатофункціональністю, щоб визначити пріоритетність виправлень Log4j», — сказала вона. «Ці команди мають багато конкуруючих пріоритетів, але Log4j має бути першим у списку, враховуючи вплив, який він має на екосистему».

Хоча є кілька публічних прикладів порушень, спричинених Log4j, є кілька прикладів завданої значної шкоди. Зловмисники використали вразливість, щоб зламати в’єтнамську платформу криптотрейдингу ONUS, вимагаючи викуп у розмірі 5 мільйонів доларів і видавши дані майже 2 мільйонів онлайн-клієнтів.

У будь-якому випадку Log4j надає зловмисникам точку входу, яку вони можуть використовувати для використання веб-програм і отримання доступу до цінної особистої інформації (PII) та інших деталей.

Переосмислення керування поверхнею атаки

Ключ до виявлення та усунення вразливих систем Log4j полягає у використанні масштабованого підходу до керування поверхнею атак із можливістю виявлення exp...