Cómo mitigar Log4j hoy y prevenir futuros ataques

¿Qué es la vulnerabilidad de Log4j?

Han sido unas semanas difíciles para muchos profesionales del mundo de las TI. El 9 de diciembre^th se descubrió y se dio a conocer una vulnerabilidad crítica de día cero en Log4j, la omnipresente biblioteca de registro de la Apache Software Foundation utilizada en aplicaciones Java. Cientos de miles de sitios web y aplicaciones utilizan este software para generar registros que permiten a los desarrolladores depurar sus sitios web y hacer un seguimiento de otras tendencias en sus aplicaciones y páginas web. Se estima que el framework Log4j se utiliza en cientos de miles de proyectos de software de código abierto. Los desarrolladores suelen crear software a partir de estas herramientas de código abierto sin examinar el código subyacente, que podría contener vulnerabilidades.

A modo de breve resumen de la vulnerabilidad de Log4j y del tipo de ataque que permite ejecutar a los atacantes:

F5 Labs afirma: «Log4j presenta una vulnerabilidad de seguridad desconocida hasta ahora por la que los datos que se le envían a través de ese sitio web, si contienen una secuencia especial de caracteres, hacen que Log4j descargue automáticamente software adicional de un sitio web externo y lo ejecute. Si un atacante aprovecha esta vulnerabilidad, puede hacer que el servidor en el que se ejecuta Log4j ejecute cualquier software que desee, incluido software capaz de tomar el control total del servidor. Esto se conoce como ataque de ejecución remota de código (RCE)».

Log4j tiene un gran potencial para causar interrupciones en la actividad empresarial

Debido al uso generalizado de Log4j, la vulnerabilidad inicial CVE-2021-44228 (apodada Log4Shell) se consideró crítica. La gravedad de esta vulnerabilidad, junto con el hecho de que el propio parche contenía una vulnerabilidad y debe corregirse, implica que los profesionales de TI podrían tener que lidiar con sus consecuencias durante algún tiempo. Esto, sumado a que el personal de TI debe comprobar si existen referencias anidadas a Log4j —es decir, verificar si alguna de las bibliotecas utilizadas en su software hace referencia a la biblioteca Log4j—, significa que Log4Shell podría provocar un efecto en cascada. Puede resultar difícil determinar el alcance total del impacto que la vulnerabilidad de Log4j y Log4Shell podrían tener en su organización. Solicite una evaluación gratuita de amenazas si le preocupa que su organización pueda estar en riesgo.

Si aún no lo ha hecho, la primera medida que debe tomar cualquier organización para mitigar Log4j es ¡APLICAR PARCHES! Aplique parches a los servidores que ejecutan Log4j. Aplique parches al software que utiliza bibliotecas que ejecutan Log4j. ¡Limítese a APLICAR PARCHES y siga haciéndolo!

Mientras su organización continúa con el proceso esencial y exhaustivo de detectar y corregir estas vulnerabilidades, es fundamental protegerse frente a los ataques que utilizan exploits de Log4Shell y evitar que los daños se propaguen aún más si un atacante ya se ha infiltrado en su entorno. Además, el 4 ^{de enero}, la Comisión Federal de Comercio de Estados Unidos publicó un aviso en el que advertía de que las organizaciones que no subsanaran las vulnerabilidades de Log4J de Apache podrían enfrentarse a acciones legales, lo que pone de relieve la importancia de Log4j.

Aunque haya aplicado todos los parches, es importante recordar que Log4j no es la primera vulnerabilidad de este tipo ni será la última. Por eso, es fundamental protegerse de forma proactiva frente a las vulnerabilidades actuales y futuras, además de contar con un plan para proteger su red en caso de que un atacante aproveche alguna vulnerabilidad de sus sistemas. Afortunadamente, implementar una estrategia de mitigación es relativamente sencillo.

A la hora de mitigar vulnerabilidades como Log4j, asegúrese de:

1. Proteja de forma proactiva su organización frente a ataques que aprovechan Log4Shell y otras vulnerabilidades similares mediante la implementación de un WAF
2. Implemente medidas de protección para garantizar que, si su organización sufre un ataque, pueda detener la explotación de la vulnerabilidad antes de que cause daños graves en su red
3. Realice una auditoría para determinar el alcance total del impacto de la vulnerabilidad
4. Corrija todo el código que utilice la vulnerabilidad o haga referencia a ella, basándose en la auditoría para garantizar que no quede ninguna exposición sin corregir

Mitigación de la vulnerabilidad de Log4j mediante firmas que bloquean vectores de ataque conocidos

Si no se corrige, los ciberdelincuentes pueden hacerse rápidamente con el control de miles de sitios web y aplicaciones en línea, lo que les permitiría robar datos confidenciales. La solución más eficaz consiste en actualizar el código de la aplicación con la última versión de Log4j y bloquear las solicitudes maliciosas mediante un cortafuegos de aplicaciones web (WAF).

También puede que necesite proteger a su organización frente a los ataques de Log4Shell mientras instala los parches necesarios para corregir la vulnerabilidad de Log4j en sus servidores y componentes de software vulnerables. Ahí es donde un WAF también puede resultar útil.

Las soluciones WAF de F5, todas ellas basadas en el sólido y coherente motor WAF de F5 y disponibles en modelos de implementación y consumo que se adaptan de forma óptima a sus necesidades de seguridad, ayudan a mitigar el impacto de la vulnerabilidad de ejecución remota de código (RCE) de Apache Log4j en su infraestructura. F5 ofrece cuatro opciones para proteger su aplicación con nuestro sólido motor WAF:

1. F5 Advanced WAF
2. NGINX App Protect WAF
3. WAF de Silverline
4. WAF de Volterra

F5 ha publicado un conjunto de firmas que bloquean vectores de ataque conocidos para las vulnerabilidades de Log4j. Tanto F5 Advanced WAF como NGINX App Protect WAF pueden bloquear los intentos de explotación mediante firmas específicas para la inyección de Java Naming and Directory Interface (JNDI) y firmas genéricas de inyección JNDI. Estas firmas forman parte del conjunto de firmas de inyección de código del lado del servidor, que se actualiza con nuevas reglas a partir de la investigación continua de la amenaza y de las técnicas conocidas para eludir los WAF, con el fin de detectar eficazmente los ataques Log4Shell. De este modo, F5 WAF permite aplicar «parches virtuales». Visite esta página para obtener ayuda sobre medidas de mitigación para BIG-IP y los productos de seguridad de aplicaciones de NGINX.

F5 Advanced WAF ofrece protecciones avanzadas que van mucho más allá de la mera defensa frente al OWASP Top 10 y es perfecto para las organizaciones centradas en la seguridad que desean gestionar por sí mismas y personalizar controles granulares para aplicaciones tradicionales. Si ya es cliente de F5 BIG-IP, ya dispone en su red del WAF más potente del sector: el motor F5 WAF. La concesión de licencias de Advanced WAF en BIG-IP, especialmente si dispone de una licencia F5 BEST, puede automatizar la mitigación de amenazas nuevas y persistentes, mejorar la eficacia de la seguridad para ofrecer una mayor protección y habilitar el aprendizaje automático y el análisis del comportamiento para proteger las aplicaciones sin intervención manual.

Si busca una solución WAF autogestionada, creada para su equipo de DevOps ágil y diseñada para proteger su infraestructura moderna o un entorno de Kubernetes, NGINX App Protect WAF es la opción que mejor se adapta a sus necesidades. Visite el blog «Mitigación de la vulnerabilidad log4j con NGINX» para obtener más información sobre NGINX App Protect WAF.

Si desea disfrutar de las mismas protecciones que obtendría con Advanced WAF o NGINX App Protect WAF, pero necesita o prefiere un enfoque sin intervención que le ayude a mitigar los exploits de inmediato, un servicio gestionado como Silverline WAF de F5, basado en la nube, puede ser la opción perfecta. Silverline WAF es el principal servicio WAF totalmente gestionado de F5 y ofrece una solución integral para proteger sus aplicaciones en un entorno híbrido o multinube, con el respaldo de los expertos en seguridad del SOC de F5. El equipo del SOC de F5 Silverline ha implementado las medidas de mitigación necesarias, supervisando continuamente las amenazas y aplicando las medidas de mitigación y protección requeridas frente a vulnerabilidades como Log4j.

Nuestra plataforma Volterra WAF también ha recibido firmas actualizadas para reducir aún más cualquier exposición relacionada con las vulnerabilidades de Log4j. Estas firmas ya están incluidas en la política de WAF predeterminada, por lo que nuestros clientes de Volterra WAF no tienen que realizar ninguna acción adicional para mitigar los ataques de Log4Shell. Volterra WAF es la mejor opción para los usuarios que buscan un WAF nativo de la nube con una implementación basada en SaaS.

Las ofertas y los servicios de WAF de F5 —F5 Advanced WAF, NGINX App Protect WAF, F5 Silverline WAF y Volterra WAF— pueden utilizarse e implementarse conjuntamente donde sea necesario para proteger mejor sus aplicaciones y defenderlas frente a amenazas de la capa de aplicación.

Además, las campañas de ataques avanzados son difíciles de detectar a partir de ataques aislados. F5 Threat Campaigns, disponible con F5 Advanced WAF y/o NGINX App Protect WAF, protege las aplicaciones y la infraestructura de TI frente a ataques sofisticados mediante la detección precisa y el bloqueo proactivo de las campañas de ataques actuales. Aunque los WAF de F5 constituyen por sí solos un punto de control de seguridad esencial, la inteligencia sobre amenazas puede vincular un único incidente de ataque con una campaña más amplia y sofisticada, lo que permite defenderse frente a ataques dirigidos que podrían eludir las políticas de seguridad básicas del WAF. Threat Campaigns se puede añadir fácilmente a su implementación de Advanced WAF y NGINX App Protect WAF para automatizar la detección y el bloqueo de amenazas.

Establezca una defensa contra los ataques Log4Shell en caso de vulneración

Dada la cantidad de bibliotecas que utilizan Log4j, puede resultar difícil determinar de inmediato el alcance total del impacto de la vulnerabilidad en su organización. Durante este tiempo, lamentablemente, podría estar expuesto a ataques que aprovechen dicha vulnerabilidad.

Por ejemplo, un atacante podría crear una solicitud dirigida a un endpoint malicioso para obtener e implementar malware. También podría enviar una solicitud a un servidor que hiciera que el servidor comprometido ejecutase órdenes del atacante contrarias a su funcionamiento normal, poniendo así en peligro a su organización.

Aunque un atacante ya haya aprovechado la vulnerabilidad, aún dispone de opciones. Afortunadamente, una vez que un atacante ejecuta código remoto aprovechando Log4Shell, puede impedir que el ataque se propague por su red inspeccionando el tráfico saliente del servidor.

Supongamos que dispone de una solución en el perímetro de su red capaz de descifrar los paquetes de tráfico cifrado y permitir su inspección. En ese caso, podría detectar el malware o el tráfico malicioso propagado debido a una vulnerabilidad de Log4j y bloquearlo antes de que cause más daños. Por ejemplo, podría detectar un intento de conexión con un servidor de mando y control para lanzar más ataques o incluso extraer datos. Dado que los servidores suelen estar conectados a Internet, el tráfico de sus servidores atravesará su entorno mediante TLS. Por tanto, inspeccionar el tráfico cifrado de los servidores es fundamental para contener y detener la propagación en un entorno vulnerable que ya se ha visto comprometido.

El uso de un producto como F5 SSL Orchestrator proporciona visibilidad del tráfico cifrado y detiene las amenazas cifradas al facilitar el análisis del tráfico saliente una vez descifrado. SSL Orchestrator descifra el tráfico que atraviesa su red, incluido el tráfico de los servidores, y lo envía a servicios de inspección de terceros (como NGFW, WAF, SWG, IPS o DLP), que pueden permitirlo, bloquearlo u omitir su inspección para garantizar que ningún malware cifrado se propague por su red al entrar y que ningún tráfico malicioso dirigido a servidores C² (mando y control) ni ningún dato exfiltrado puedan salir de su entorno. SSL Orchestrator está diseñado específicamente para mejorar la infraestructura SSL/TLS, proporcionar a las soluciones de seguridad visibilidad del tráfico cifrado mediante SSL/TLS y optimizar y maximizar sus inversiones actuales en seguridad para proteger su red frente a ataques en cascada.

Conclusión

Log4j no es la primera vulnerabilidad grave y de gran alcance, ni será la última. Aunque ahora es importante protegerse frente a los ataques que explotan Log4j —que siguen produciéndose en el momento de la publicación—, es igualmente crucial reforzar la seguridad de sus aplicaciones y redes para proteger sus activos frente a la próxima vulnerabilidad crítica, que inevitablemente llegará.

Cuando llegue la próxima vulnerabilidad crítica, estar preparado implica seguir estos cuatro pasos. Lo ideal es implementar un WAF antes de que se anuncie una vulnerabilidad, para que tus aplicaciones estén protegidas frente a vectores de ataque conocidos como Log4Shell. Además, también preferiblemente antes de que se anuncie una vulnerabilidad, debes contar con una solución que proteja tu red. Así, si sufres un ataque durante el proceso de aplicación de parches y los atacantes consiguen infiltrarse en tu red, podrás impedir que aprovechen una vulnerabilidad para controlar tus servidores o extraer tus datos. Una vez anunciada la vulnerabilidad, el siguiente paso es determinar tu grado de exposición. (¡La evaluación gratuita de amenazas de F5 puede ayudarte!) A continuación, ¡aplica parches, parches y más parches! Con estas cuatro estrategias, estarás preparado cuando llegue la próxima vulnerabilidad.

F5 puede ayudarle a crear un plan integral de mitigación que impida a los atacantes aprovechar una vulnerabilidad y proteja su entorno frente a daños adicionales o posibles riesgos, incluso después de que la vulnerabilidad se haya explotado con éxito.

Si tiene alguna otra pregunta sobre cómo mitigar la vulnerabilidad de Log4j u otras vulnerabilidades similares, póngase en contacto con el equipo de ventas de F5 o escríbanos a sales@f5.com. Para mantenerse al día sobre la respuesta de F5 a Log4j, siga nuestro blog, que se actualiza a medida que se dispone de nueva información.

Si está sufriendo un ataque en estos momentos y necesita asistencia urgente, llame a nuestro Centro de Operaciones de Seguridad (SOC) al (866) 329-4253 o al +1 (206) 272-7969. Para consultar los números de teléfono internacionales, visite https://www.f5.com/attack. Los clientes actuales de BIG-IP pueden ponerse en contacto con el Equipo de Respuesta ante Incidentes de Seguridad.