So schützen Sie sich heute vor Log4j und verhindern künftige Exploits

Was ist die Log4j-Sicherheitslücke?

Für viele in der IT-Welt waren es schwierige Wochen. Am 9.^th Dezember wurde in der allgegenwärtigen, als Log4j bekannten Protokollierungsbibliothek der Apache Software Foundation für Java-Anwendungen eine kritische Zero-Day-Sicherheitslücke entdeckt und bekannt gegeben. Hunderttausende Websites und Anwendungen nutzen diese Software zur Protokollierung, damit Entwickler Fehler auf ihren Websites beheben und weitere Entwicklungen bei ihren Anwendungen und Webseiten verfolgen können. Schätzungen zufolge kommt das Log4j-Framework in Hunderttausenden Open-Source-Softwareprojekten zum Einsatz. Entwickler erstellen Software häufig mithilfe dieser Open-Source-Werkzeuge, ohne den zugrunde liegenden Code zu prüfen, der bereits Sicherheitslücken enthalten könnte.

Hier eine kurze Zusammenfassung der Log4j-Sicherheitslücke und der Art von Angriff, die sie Angreifern ermöglicht:

F5 Labs erklärt: „Log4j weist eine zuvor unentdeckte Sicherheitslücke auf. Wenn Daten, die über diese Website an Log4j gesendet werden, eine bestimmte Zeichenfolge enthalten, lädt Log4j automatisch zusätzliche Software von einer externen Website herunter und führt sie aus. Nutzt ein Angreifer diese Schwachstelle aus, kann er den Server, auf dem Log4j ausgeführt wird, dazu bringen, beliebige Software auszuführen – einschließlich Software, mit der sich der Server vollständig übernehmen lässt. Dies wird als Remote-Code-Execution-Angriff (RCE) bezeichnet.“

Log4j birgt ein hohes Potenzial für Betriebsstörungen

Aufgrund der weiten Verbreitung von Log4j wurde die ursprüngliche CVE-2021-44228 (auch Log4Shell genannt) als kritische Sicherheitslücke eingestuft. Angesichts der Schwere dieser Sicherheitslücke und der Tatsache, dass der Patch selbst eine Sicherheitslücke enthielt und ebenfalls gepatcht werden muss, werden IT-Fachkräfte möglicherweise noch eine Weile mit den Folgen dieser Sicherheitslücke zu tun haben. Hinzu kommt, dass IT-Mitarbeitende nach verschachtelten Verweisen auf Log4j suchen müssen – also prüfen müssen, ob in ihrer Software verwendete Bibliotheken auf die Log4j-Bibliothek verweisen. Daher kann Log4Shell einen Kaskadeneffekt auslösen. Es kann schwierig sein, das gesamte Ausmaß der Auswirkungen zu ermitteln, die die Log4j-Sicherheitslücke und Log4Shell auf Ihr Unternehmen haben könnten. Fordern Sie eine kostenlose Bedrohungsanalyse an, wenn Sie befürchten, dass Ihr Unternehmen gefährdet sein könnte.

Falls noch nicht geschehen, sollte jede Organisation zur Eindämmung von Log4j zuallererst PATCHEN! Patchen Sie Server, auf denen Log4j ausgeführt wird. Patchen Sie Software, die Bibliotheken verwendet, in denen Log4j ausgeführt wird. Einfach PATCHEN und immer weiter patchen!

Während Ihr Unternehmen den unerlässlichen und umfassenden Prozess zur Erkennung und Behebung dieser Schwachstellen fortsetzt, ist es von entscheidender Bedeutung, sich vor Angriffen zu schützen, die Log4Shell-Exploits nutzen, und eine weitere Ausbreitung des Schadens zu verhindern, falls ein Angreifer bereits in Ihre Umgebung eingedrungen ist. Darüber hinaus veröffentlichte die US-amerikanische Federal Trade Commission am 4.^th Januar eine Mitteilung, wonach Unternehmen, die es versäumen, die Log4J-Schwachstellen von Apache zu beheben, rechtliche Konsequenzen drohen könnten. Dies unterstreicht die Bedeutung von Log4j.

Selbst wenn Sie alle Patches installiert haben, sollten Sie bedenken, dass Log4j weder die erste noch die letzte Schwachstelle dieser Art ist. Daher ist es unerlässlich, sich proaktiv vor aktuellen und zukünftigen Schwachstellen zu schützen und zugleich einen Plan zum Schutz Ihres Netzwerks bereitzuhalten, falls ein Angreifer tatsächlich eine Schwachstelle in Ihren Systemen ausnutzt. Glücklicherweise lässt sich eine Strategie zur Risikominderung relativ einfach umsetzen.

Um Sicherheitslücken wie Log4j einzudämmen, sollten Sie Folgendes beachten:

1. Schützen Sie Ihr Unternehmen proaktiv vor Angriffen, die Log4Shell und ähnliche Schwachstellen ausnutzen, indem Sie eine WAF implementieren.
2. Implementieren Sie Schutzmaßnahmen, um sicherzustellen, dass Sie im Falle eines Angriffs auf Ihr Unternehmen die Ausnutzung der Schwachstelle umgehend stoppen können, bevor sie in Ihrem Netzwerk ernsthaften Schaden anrichtet.
3. Führen Sie ein Audit durch, um das gesamte Ausmaß der Auswirkungen der Schwachstelle zu ermitteln
4. Beheben Sie die Schwachstelle in sämtlichem Code, der sie nutzt oder auf sie verweist, und stellen Sie anhand Ihres Audits sicher, dass keine potenzielle Angriffsfläche ungepatcht bleibt.

Eindämmung der Log4j-Sicherheitslücke durch Signaturen, die bekannte Angriffsvektoren blockieren

Wenn keine Gegenmaßnahmen ergriffen werden, können Cyberkriminelle schnell Tausende von Websites und Online-Apps übernehmen und so sensible Daten stehlen. Die wirksamste Lösung besteht darin, den Anwendungscode mit der neuesten Version von Log4j zu aktualisieren und schädliche Anfragen mithilfe einer Web Application Firewall (WAF) zu blockieren.

Möglicherweise müssen Sie Ihr Unternehmen auch vor Log4Shell-Angriffen schützen, während Sie die erforderlichen Patches für die Log4j-Schwachstelle auf Ihren anfälligen Servern und in Ihrem Software-Stack installieren. Auch hierbei kann eine WAF helfen.

Die WAF-Lösungen von F5 basieren allesamt auf der einheitlichen, robusten WAF-Engine von F5 und sind in verschiedenen Bereitstellungs- und Nutzungsmodellen verfügbar, um Ihre Sicherheitsanforderungen optimal zu erfüllen. Sie tragen dazu bei, die Auswirkungen der Apache-Log4j-Schwachstelle zur Remotecodeausführung (RCE) auf Ihre Infrastruktur zu mindern. F5 bietet vier Optionen zum Schutz Ihrer Anwendung mit unserer robusten WAF-Engine:

1. F5 Advanced WAF
2. NGINX App Protect WAF
3. Silverline WAF
4. Volterra WAF

F5 hat eine Reihe von Signaturen veröffentlicht, die bekannte Angriffsvektoren für Log4j-Schwachstellen blockieren. Sowohl F5 Advanced WAF als auch NGINX App Protect WAF können Exploit-Versuche mithilfe von Signaturen blockieren, die speziell auf Einschleusungen über Java Naming and Directory Interface (JNDI) sowie auf generische JNDI-Einschleusungen ausgerichtet sind. Diese Signaturen sind Teil des Signatursatzes für serverseitige Code-Einschleusung, der auf Grundlage der fortlaufenden Untersuchung der Bedrohung und bekannter WAF-Umgehungen um neue Regeln erweitert wird, um Log4Shell-Angriffe wirksam zu erkennen. Auf diese Weise ermöglicht F5 WAF „virtuelles Patching“. Hier finden Sie Unterstützung bei der Risikominderung für BIG-IP und NGINX Application Security-Produkte.

F5 Advanced WAF bietet fortschrittliche Schutzfunktionen, die weit über die reine Abwehr der OWASP Top 10 hinausgehen, und eignet sich ideal für sicherheitsorientierte Unternehmen, die granulare Kontrollen für herkömmliche Anwendungen selbst verwalten und individuell anpassen möchten. Wenn Sie bereits Kunde von F5 BIG-IP sind, verfügen Sie in Ihrem Netzwerk bereits über die leistungsstärkste WAF der Branche – die F5 WAF Engine. Durch die Lizenzierung von Advanced WAF auf BIG-IP, insbesondere wenn Sie über eine F5 BEST-Lizenz verfügen, können Sie die Abwehr neuer und anhaltender Bedrohungen automatisieren, die Wirksamkeit Ihrer Sicherheitsmaßnahmen für einen besseren Schutz erhöhen und maschinelles Lernen sowie Verhaltensanalysen für einen automatisierten Anwendungsschutz nutzen.

Wenn Sie eine selbstverwaltete WAF-Lösung suchen, die für Ihr agiles DevOps-Team entwickelt wurde und Ihre moderne Infrastruktur oder eine Kubernetes-Umgebung schützen soll, ist NGINX App Protect WAF die beste Wahl für Ihre Anforderungen. Weitere Informationen finden Sie im Blogbeitrag „Behebung der log4j-Sicherheitslücke mit NGINX“ zu NGINX App Protect WAF.

Wenn Sie denselben Schutz wie mit Advanced WAF oder NGINX App Protect WAF wünschen, aber einen Ansatz bevorzugen oder benötigen, bei dem Sie sich um nichts kümmern müssen und der Ihnen hilft, Exploits sofort abzuwehren, könnte ein verwalteter Dienst wie die cloudbasierte Silverline WAF von F5 genau das Richtige sein. Silverline WAF ist der führende, vollständig verwaltete WAF-Dienst von F5 und bietet eine umfassende Lösung zum Schutz Ihrer Anwendungen in einer Hybrid- oder Multi-Cloud-Umgebung, unterstützt von den Sicherheitsexperten im SOC von F5. Das F5 Silverline SOC-Team hat die erforderlichen Abwehrmaßnahmen implementiert, überwacht kontinuierlich Bedrohungen und wendet die notwendigen Maßnahmen und Schutzmechanismen gegen Schwachstellen wie Log4j an.

Auch unsere Volterra WAF-Plattform hat aktualisierte Signaturen erhalten, um potenzielle Risiken im Zusammenhang mit Log4j-Schwachstellen weiter zu minimieren. Diese Signaturen sind nun in der standardmäßigen WAF-Richtlinie enthalten, sodass unsere Volterra WAF-Kunden keine weiteren Maßnahmen ergreifen müssen, um Log4Shell-Angriffe abzuwehren. Volterra WAF ist die beste Option für Benutzer, die eine cloudnative WAF mit SaaS-basierter Bereitstellung suchen.

Die WAF-Angebote und -Services von F5 – F5 Advanced WAF, NGINX App Protect WAF, F5 Silverline WAF und Volterra WAF – können überall dort gemeinsam genutzt und bereitgestellt werden, wo sie benötigt werden, um Ihre Anwendungen optimal abzusichern und vor Bedrohungen auf Anwendungsebene zu schützen.

Darüber hinaus sind fortschrittliche Angriffskampagnen anhand einzelner Angriffe nur schwer zu erkennen. F5 Threat Campaigns, verfügbar mit F5 Advanced WAF und/oder NGINX App Protect WAF, schützt Anwendungen und IT-Infrastruktur vor ausgeklügelten Angriffen, indem aktuelle Angriffskampagnen präzise erkannt und proaktiv blockiert werden. Während F5 WAFs bereits für sich genommen als unverzichtbarer Sicherheitskontrollpunkt dienen, können mithilfe von Threat Intelligence einzelne Angriffe einer umfassenderen und ausgeklügelteren Kampagne zugeordnet werden. So können Sie sich gegen gezielte Angriffe schützen, die möglicherweise die grundlegenden WAF-Sicherheitsrichtlinien umgehen. Threat Campaigns lässt sich problemlos zu Ihrer Bereitstellung von Advanced WAF und NGINX App Protect WAF hinzufügen, um die Erkennung und Blockierung von Bedrohungen zu automatisieren.

Schutz vor Log4Shell-Angriffen im Falle einer Kompromittierung einrichten

Da zahlreiche Bibliotheken Log4j verwenden, kann es schwierig sein, das gesamte Ausmaß der Auswirkungen dieser Schwachstelle auf Ihr Unternehmen sofort zu ermitteln. In der Zwischenzeit besteht leider die Gefahr, dass die Schwachstelle ausgenutzt wird.

Ein Angreifer könnte beispielsweise eine Anfrage an einen manipulierten Endpunkt senden, um Schadsoftware abzurufen und zu installieren. Oder er könnte eine Anfrage an einen Server senden, die den kompromittierten Server dazu veranlasst, Befehle des Angreifers auszuführen, die seinem normalen Betrieb zuwiderlaufen und Ihr Unternehmen gefährden.

Selbst wenn ein Angreifer die Schwachstelle bereits ausgenutzt hat, stehen Ihnen noch Handlungsmöglichkeiten offen. Sobald ein Angreifer Remote-Code ausführt, der Log4Shell ausnutzt, können Sie glücklicherweise verhindern, dass sich der Exploit in Ihrem Netzwerk ausbreitet, indem Sie den ausgehenden Serverdatenverkehr überprüfen.

Angenommen, Sie hätten am Rand Ihres Netzwerks eine Lösung, die verschlüsselte Datenpakete entschlüsseln und deren Überprüfung ermöglichen könnte. In diesem Fall könnten Sie Malware oder schädlichen Datenverkehr erkennen, der infolge einer Log4j-Schwachstelle verbreitet wird, und ihn blockieren, bevor er weiteren Schaden anrichtet. Ein Beispiel wäre die Kontaktaufnahme mit einem Command-and-Control-Server, um weitere Angriffe zu starten oder sogar Daten auszuschleusen. Da Server in der Regel mit dem Internet verbunden sind, durchläuft Ihr Serverdatenverkehr Ihre Umgebung über TLS. Daher ist die Überprüfung des verschlüsselten Serverdatenverkehrs entscheidend, um die Ausbreitung in einer bereits kompromittierten und anfälligen Umgebung einzudämmen und zu stoppen.

Der Einsatz eines Produkts wie F5 SSL Orchestrator ermöglicht Einblick in den verschlüsselten Datenverkehr und wehrt verschlüsselte Bedrohungen ab, indem es die Analyse des entschlüsselten ausgehenden Datenverkehrs unterstützt. SSL Orchestrator entschlüsselt den Datenverkehr in Ihrem Netzwerk, einschließlich des Serverdatenverkehrs, und leitet ihn an Prüfdienste von Drittanbietern weiter (z. B. NGFW, WAF, SWG, IPS oder DLP). Diese können den Datenverkehr dann zulassen, blockieren oder von der Prüfung ausnehmen. So wird sichergestellt, dass sich eingeschleuste verschlüsselte Malware nicht in Ihrem Netzwerk ausbreitet und weder schädlicher Datenverkehr an C²-Server (Command and Control) noch ausgeschleuste Daten Ihre Umgebung verlassen können. SSL Orchestrator wurde speziell dafür entwickelt, die SSL/TLS-Infrastruktur zu verbessern, Sicherheitslösungen Einblick in SSL/TLS-verschlüsselten Datenverkehr zu ermöglichen und Ihre bestehenden Sicherheitsinvestitionen zu optimieren und bestmöglich zu nutzen, um Ihr Netzwerk vor kaskadierenden Angriffen zu schützen.

Fazit

Log4j ist weder die erste schwerwiegende und weitreichende Sicherheitslücke noch wird es die letzte sein. So wichtig es ist, sich jetzt vor der Ausnutzung von Log4j zu schützen – die zum Zeitpunkt der Veröffentlichung noch immer andauert –, so entscheidend ist es auch, die Sicherheit Ihrer Anwendungen und Netzwerke zu stärken, um Ihre Ressourcen vor der nächsten unvermeidlichen kritischen Sicherheitslücke zu schützen.

Wenn die nächste kritische Schwachstelle auftritt, bedeutet Vorbereitung, diese vier Schritte zu befolgen. Setzen Sie idealerweise bereits vor der Bekanntgabe einer Schwachstelle eine WAF ein, damit Ihre Anwendungen vor bekannten Angriffsvektoren wie Log4Shell geschützt sind. Nutzen Sie außerdem – ebenfalls idealerweise vor der Bekanntgabe einer Schwachstelle – eine Lösung zum Schutz Ihres Netzwerks. So können Sie verhindern, dass Hacker mithilfe eines Exploits die Kontrolle über Ihre Server übernehmen oder Ihre Daten exfiltrieren, falls Sie während des Patchens angegriffen werden und Angreifer in Ihr Netzwerk eindringen können. Nach der Bekanntgabe einer Schwachstelle besteht der nächste Schritt darin, das Ausmaß Ihrer Gefährdung zu ermitteln. (Die kostenlose Bedrohungsanalyse von F5 kann dabei helfen!) Danach heißt es: patchen, patchen, patchen! Mit diesen vier Strategien sind Sie auf die nächste Schwachstelle vorbereitet.

F5 unterstützt Sie bei der Entwicklung eines umfassenden Risikominderungsplans, der verhindert, dass Angreifer eine Schwachstelle ausnutzen, und Ihre Umgebung selbst nach einer erfolgreichen Ausnutzung vor weiteren Schäden oder Beeinträchtigungen schützt.

Wenn Sie weitere Fragen zur Eindämmung der Log4j-Sicherheitslücke oder ähnlicher Sicherheitslücken haben, wenden Sie sich an Ihr F5-Vertriebsteam oder kontaktieren Sie uns unter sales@f5.com. Um darüber auf dem Laufenden zu bleiben, wie F5 auf Log4j reagiert, folgen Sie unserem Blog, der aktualisiert wird, sobald neue Informationen verfügbar sind.

Wenn Sie derzeit angegriffen werden und dringend Hilfe benötigen, rufen Sie unser Security Operations Center (SOC) unter (866) 329-4253 oder +1 (206) 272-7969 an. Internationale Telefonnummern finden Sie unter https://www.f5.com/attack. Bestehende BIG-IP Kunden können sich an das Security Incident Response Team wenden.