Comment atténuer les risques liés à Log4j dès aujourd’hui et prévenir de futures exploitations

Qu’est-ce que la vulnérabilité Log4j ?

Ces dernières semaines ont été difficiles pour de nombreux professionnels de l’informatique. Le 9 décembre^th, une vulnérabilité zero-day critique a été découverte et rendue publique dans Log4j, l’omniprésente bibliothèque de journalisation de l’Apache Software Foundation utilisée pour les applications Java. Des centaines de milliers de sites web et d’applications utilisent ce logiciel pour générer des journaux qui permettent aux développeurs de déboguer leurs sites web et de suivre d’autres tendances concernant leurs applications et leurs pages web. Selon certaines estimations, le framework Log4j est utilisé dans des centaines de milliers de projets logiciels open source. Les développeurs créent souvent des logiciels à partir de ces outils open source sans examiner le code sous-jacent, qui peut contenir des vulnérabilités existantes.

Pour résumer brièvement la vulnérabilité Log4j et le type d’exploitation qu’elle permet aux attaquants de mettre en œuvre :

F5 Labs déclare : « Log4j présente une vulnérabilité de sécurité jusqu’alors inconnue : lorsque les données qui lui sont envoyées par l’intermédiaire de ce site web contiennent une séquence particulière de caractères, Log4j récupère automatiquement un logiciel supplémentaire depuis un site web externe et l’exécute. En exploitant cette vulnérabilité, un attaquant peut contraindre le serveur exécutant Log4j à lancer n’importe quel logiciel de son choix, y compris un logiciel capable de prendre entièrement le contrôle de ce serveur. C’est ce que l’on appelle une attaque par exécution de code à distance (RCE). »

Log4j présente un fort potentiel de perturbation des activités

En raison de l’utilisation généralisée de Log4j, la vulnérabilité initiale CVE-2021-44228 (surnommée Log4Shell) a été considérée comme critique. La gravité de cette vulnérabilité, ainsi que le fait que le correctif lui-même contenait une vulnérabilité et devait être corrigé, signifie que les professionnels de l’informatique pourraient devoir gérer les conséquences de cette vulnérabilité pendant un certain temps. De plus, le personnel informatique doit rechercher les références imbriquées à Log4j, c’est-à-dire vérifier si les bibliothèques utilisées dans leurs logiciels font référence à la bibliothèque Log4j. Log4Shell pourrait donc entraîner un effet en cascade. Il peut être difficile de déterminer toute l’étendue des répercussions que la vulnérabilité Log4j et Log4Shell pourraient avoir sur votre organisation. Obtenez gratuitement une évaluation des menaces si vous craignez que votre organisation ne soit exposée à des risques.

Si ce n’est pas déjà fait, la première mesure que toute organisation doit prendre pour atténuer les risques liés à Log4j est d’APPLIQUER LES CORRECTIFS ! Appliquez les correctifs aux serveurs exécutant Log4j. Appliquez-les aux logiciels utilisant des bibliothèques qui exécutent Log4j. APPLIQUEZ LES CORRECTIFS, tout simplement, et continuez à le faire !

Alors que votre organisation poursuit le processus essentiel et exhaustif de détection et de correction de ces vulnérabilités, il est crucial de vous protéger contre les attaques exploitant Log4Shell et d’empêcher les dommages de se propager davantage si un attaquant a déjà infiltré votre environnement. En outre, le 4 ^janvier, la Commission fédérale du commerce des États-Unis a publié un avis indiquant que les organisations qui ne corrigent pas les vulnérabilités Log4j d’Apache s’exposent à des poursuites judiciaires, soulignant ainsi l’importance de Log4j.

Même si tous vos systèmes sont à jour, il est important de garder à l’esprit que Log4j n’est pas la première vulnérabilité de ce type et que ce ne sera pas la dernière. Il est donc essentiel de vous protéger de manière proactive contre les vulnérabilités actuelles et futures, tout en prévoyant un plan pour protéger votre réseau au cas où un attaquant exploiterait une vulnérabilité de vos systèmes. Heureusement, une stratégie d’atténuation est relativement facile à mettre en œuvre.

Pour atténuer les vulnérabilités telles que Log4j, veillez à :

1. Protégez de manière proactive votre organisation contre les attaques exploitant Log4Shell et d’autres vulnérabilités similaires en mettant en place un pare-feu applicatif web (WAF).
2. Mettez en place des mesures de protection afin que, si votre organisation est attaquée, vous puissiez stopper l’exploitation de la vulnérabilité avant qu’elle ne cause de graves dommages au sein de votre réseau.
3. Effectuez un audit afin de déterminer toute l’étendue de l’impact de la vulnérabilité
4. Corrigez tout le code qui utilise ou référence la vulnérabilité, en vous appuyant sur votre audit pour vous assurer qu'aucune exposition ne reste sans correctif.

Atténuer la vulnérabilité Log4j à l’aide de signatures bloquant les vecteurs d’attaque connus

Si elle n’est pas corrigée, cette vulnérabilité peut permettre à des cybercriminels de prendre rapidement le contrôle de milliers de sites web et d’applications en ligne, et ainsi de dérober des données sensibles. La solution la plus efficace consiste à mettre à jour le code de l’application avec la dernière version de Log4j et à bloquer les requêtes malveillantes à l’aide d’un pare-feu applicatif web (WAF).

Vous devrez peut-être également protéger votre organisation contre les attaques Log4Shell pendant que vous installez les correctifs nécessaires pour remédier à la vulnérabilité Log4j sur vos serveurs et votre pile logicielle vulnérables. C’est là qu’un pare-feu d’applications web (WAF) peut également s’avérer utile.

Les solutions WAF de F5, toutes basées sur le moteur WAF robuste et cohérent de F5 et proposées selon des modèles de déploiement et de consommation adaptés au mieux à vos besoins de sécurité, contribuent à atténuer l’impact de la vulnérabilité d’exécution de code à distance (RCE) d’Apache Log4j sur votre infrastructure. F5 propose quatre options pour protéger votre application grâce à son robuste moteur WAF :

1. F5 Advanced WAF
2. NGINX App Protect WAF
3. WAF Silverline
4. WAF Volterra

F5 a publié un ensemble de signatures qui bloquent les vecteurs d’attaque connus exploitant les vulnérabilités de Log4j. F5 Advanced WAF et NGINX App Protect WAF peuvent bloquer les tentatives d’exploitation à l’aide de signatures propres aux injections Java Naming and Directory Interface (JNDI) et de signatures génériques d’injection JNDI. Ces signatures font partie de l’ensemble de signatures d’injection de code côté serveur, qui est mis à jour au fil des investigations sur la menace et les techniques connues de contournement des WAF, avec de nouvelles règles permettant de détecter efficacement les attaques Log4Shell. F5 WAF permet ainsi d’appliquer des « correctifs virtuels ». Consultez cette page pour obtenir de l’aide sur les mesures d’atténuation concernant BIG-IP et les produits de sécurité des applications NGINX.

F5 Advanced WAF offre des protections avancées qui vont bien au-delà d’une simple défense contre le Top 10 de l’OWASP. Cette solution est idéale pour les entreprises particulièrement soucieuses de leur sécurité qui souhaitent gérer elles-mêmes et personnaliser des contrôles granulaires pour leurs applications traditionnelles. Si vous êtes déjà client de F5 BIG-IP, vous disposez déjà sur votre réseau du WAF le plus puissant du marché : le moteur F5 WAF. L’octroi d’une licence Advanced WAF sur BIG-IP, en particulier si vous détenez une licence F5 BEST, permet d’automatiser l’atténuation des menaces nouvelles et persistantes, d’améliorer l’efficacité de la sécurité pour une protection renforcée, et de bénéficier du machine learning et de l’analyse comportementale afin de protéger les applications sans intervention.

Pour une solution WAF autogérée, conçue pour votre équipe DevOps Agile et destinée à protéger votre infrastructure moderne ou un environnement Kubernetes, NGINX App Protect WAF répondra au mieux à vos besoins. Consultez le blog « Atténuation de la vulnérabilité log4j avec NGINX » pour en savoir plus sur NGINX App Protect WAF.

Si vous souhaitez bénéficier des mêmes protections qu’avec Advanced WAF ou NGINX App Protect WAF, mais que vous avez besoin ou préférez une approche sans intervention de votre part pour atténuer immédiatement les exploitations, un service géré basé dans le cloud de F5 tel que Silverline WAF peut être la solution idéale. Silverline WAF est le service WAF entièrement géré de référence de F5. Il offre une solution complète pour protéger vos applications dans un environnement hybride ou multicloud, avec l’appui des experts en sécurité du SOC de F5. L’équipe du SOC F5 Silverline a mis en œuvre les mesures d’atténuation nécessaires, surveille en permanence les menaces et applique les mesures d’atténuation et de protection requises contre des vulnérabilités telles que Log4j.

Notre plateforme Volterra WAF a également reçu des signatures mises à jour afin de réduire davantage toute exposition liée aux vulnérabilités de Log4j. Ces signatures sont désormais incluses dans la politique WAF par défaut, et aucune action supplémentaire n’est requise de la part de nos clients Volterra WAF pour se protéger contre les attaques Log4Shell. Volterra WAF constitue la meilleure option pour les utilisateurs à la recherche d’un WAF cloud natif avec un déploiement basé sur le modèle SaaS.

Les offres et services WAF de F5 — F5 Advanced WAF, NGINX App Protect WAF, F5 Silverline WAF et Volterra WAF — peuvent être utilisés et déployés conjointement là où ils sont nécessaires afin de répondre au mieux aux besoins de vos applications, de les protéger et de les défendre contre les menaces visant la couche applicative.

En outre, les campagnes d’attaques avancées sont difficiles à détecter à partir d’attaques isolées. F5 Threat Campaigns, disponible avec F5 Advanced WAF et/ou NGINX App Protect WAF, protège les applications et l’infrastructure informatique contre les attaques sophistiquées en détectant avec précision et en bloquant de manière proactive les campagnes d’attaques en cours. Si les WAF de F5 constituent à eux seuls un point de contrôle de sécurité essentiel, les renseignements sur les menaces permettent de relier un incident d’attaque isolé à une campagne plus vaste et sophistiquée, afin de vous protéger contre les attaques ciblées susceptibles de contourner les politiques de sécurité WAF de base. Threat Campaigns peut être facilement ajouté à votre déploiement Advanced WAF et NGINX App Protect WAF afin d’automatiser la détection et le blocage des menaces.

Mettez en place une défense contre les attaques Log4Shell en cas de compromission

Compte tenu du nombre de bibliothèques qui utilisent Log4j, il peut être difficile de déterminer immédiatement toute l’étendue de l’impact de cette vulnérabilité sur votre organisation. Pendant ce temps, vous risquez malheureusement d’être exposé à son exploitation.

Par exemple, un attaquant pourrait élaborer une requête vers un point de terminaison malveillant afin de récupérer et de déployer un logiciel malveillant. Il pourrait également envoyer une requête à un serveur, amenant ainsi le serveur compromis à exécuter des commandes du pirate qui perturbent son fonctionnement normal et compromettent votre organisation.

Même si un attaquant a déjà exploité la vulnérabilité, vous disposez encore de moyens d’action. Heureusement, lorsqu’un attaquant exécute du code à distance en exploitant Log4Shell, vous pouvez empêcher l’exploit de se propager au sein de votre réseau en inspectant le trafic sortant du serveur.

Imaginez que vous disposiez, à la périphérie de votre réseau, d’une solution capable de déchiffrer les paquets de trafic chiffrés et d’en permettre l’inspection. Vous pourriez alors détecter les logiciels malveillants ou le trafic malveillant propagés à la suite d’une vulnérabilité Log4j, et les bloquer avant qu’ils ne causent davantage de dégâts. Il pourrait s’agir, par exemple, d’une connexion à un serveur de commande et de contrôle visant à lancer d’autres attaques, voire à exfiltrer des données. Les serveurs étant généralement connectés à Internet, leur trafic transite par votre environnement via TLS. L’inspection du trafic chiffré des serveurs est donc essentielle pour contenir et enrayer la propagation au sein d’un environnement déjà compromis et vulnérable.

L’utilisation d’un produit tel que F5 SSL Orchestrator offre une visibilité sur le trafic chiffré et neutralise les menaces chiffrées en facilitant l’analyse du trafic sortant après déchiffrement. SSL Orchestrator déchiffre le trafic qui transite par votre réseau, y compris celui des serveurs, et l’envoie à des services d’inspection tiers (tels qu’un NGFW, un WAF, une SWG, un IPS ou une solution DLP), qui peuvent alors l’autoriser, le bloquer ou le laisser passer afin d’empêcher tout logiciel malveillant chiffré de se propager dans votre réseau lors de son entrée, et d’éviter que du trafic malveillant destiné à des serveurs C² (commande et contrôle) ou des données exfiltrées ne sorte de votre environnement. SSL Orchestrator est spécialement conçu pour améliorer l’infrastructure SSL/TLS, offrir aux solutions de sécurité une visibilité sur le trafic chiffré SSL/TLS, ainsi qu’optimiser et rentabiliser au maximum vos investissements de sécurité existants afin de protéger votre réseau contre les attaques en cascade.

Conclusion

Log4j n’est pas la première vulnérabilité à être à la fois grave et de grande ampleur, et ce ne sera pas la dernière. S’il est important de vous protéger dès maintenant contre les exploitations de Log4j — qui se poursuivent encore au moment de la publication —, il est tout aussi essentiel de renforcer la sécurité de vos applications et de votre réseau afin de protéger vos actifs contre la prochaine vulnérabilité critique, qui ne manquera pas de survenir.

Lorsque la prochaine vulnérabilité critique surviendra, être prêt impliquera de suivre ces quatre étapes. Dans l’idéal, avant même qu’une vulnérabilité ne soit annoncée, déployez un WAF afin de protéger vos applications contre les vecteurs d’attaque connus tels que Log4Shell. Par ailleurs, toujours idéalement avant l’annonce d’une vulnérabilité, mettez en place une solution de protection de votre réseau. Ainsi, si vous êtes attaqué pendant l’application des correctifs et que les attaquants parviennent à s’introduire dans votre réseau, vous pourrez empêcher les pirates d’exploiter la vulnérabilité pour prendre le contrôle de vos serveurs ou exfiltrer vos données. Une fois la vulnérabilité annoncée, l’étape suivante consiste à déterminer votre niveau d’exposition. (L’évaluation gratuite des menaces de F5 peut vous y aider !) Ensuite, appliquez les correctifs, encore et encore ! Grâce à ces quatre stratégies, vous serez prêt lorsque la prochaine vulnérabilité surviendra.

F5 peut vous aider à élaborer un plan d’atténuation complet qui empêche les attaquants d’exploiter une vulnérabilité et protège votre environnement contre tout dommage ou toute compromission supplémentaire, même après une exploitation réussie.

Si vous avez d’autres questions sur les mesures d’atténuation de la vulnérabilité Log4j ou d’autres vulnérabilités similaires, adressez-vous à votre équipe commerciale F5 ou contactez-nous à l’adresse sales@f5.com. Pour vous tenir au courant de la réponse de F5 à Log4j, suivez notre blog, qui est mis à jour à mesure que de nouvelles informations sont disponibles.

Si vous êtes actuellement victime d’une attaque et avez besoin d’une assistance urgente, appelez notre centre des opérations de sécurité (SOC) au (866) 329-4253 ou au +1 (206) 272-7969. Pour connaître les numéros de téléphone internationaux, consultez https://www.f5.com/attack. Les clients BIG-IP existants peuvent contacter l’équipe d’intervention en cas d’incident de sécurité.