Como mitigar o Log4j hoje e impedir futuras explorações

O que é a vulnerabilidade do Log4j?

As últimas semanas têm sido difíceis para muitos profissionais do mundo da TI. Em 9 de dezembro^th, uma vulnerabilidade crítica de dia zero foi descoberta e divulgada na onipresente biblioteca de registro da Apache Software Foundation usada em aplicações Java, conhecida como Log4j. Centenas de milhares de sites e aplicações usam esse software para gerar registros que ajudam os desenvolvedores a depurar seus sites e acompanhar outras tendências em suas aplicações e páginas da web. Estima-se que o framework Log4j seja usado em centenas de milhares de projetos de software de código aberto. Muitas vezes, os desenvolvedores criam softwares com base nessas ferramentas de código aberto sem examinar o código subjacente, que pode conter vulnerabilidades.

Como uma breve recapitulação da vulnerabilidade do Log4j e do tipo de exploração que ela permite aos invasores executar:

F5 Labs afirma: “O Log4j tem uma vulnerabilidade de segurança até então desconhecida que faz com que os dados enviados a ele por meio desse site — caso contenham uma sequência especial de caracteres — levem o Log4j a buscar automaticamente software adicional em um site externo e executá-lo. Se um invasor explorar essa vulnerabilidade, poderá fazer com que o servidor que executa o Log4j rode qualquer software que desejar — inclusive um software capaz de assumir o controle total desse servidor. Isso é conhecido como ataque de execução remota de código (RCE).”

O Log4j tem alto potencial para causar interrupções nos negócios

Devido à ampla utilização do Log4j, a vulnerabilidade inicial CVE-2021-44228 (apelidada de Log4Shell) foi classificada como crítica. A gravidade dessa vulnerabilidade, somada ao fato de que o próprio patch continha uma vulnerabilidade e precisa ser corrigido, significa que os profissionais de TI talvez tenham que lidar com as consequências dessa vulnerabilidade por algum tempo. Além disso, como a equipe de TI precisa verificar referências aninhadas ao Log4j — ou seja, verificar se alguma biblioteca usada nos softwares faz referência à biblioteca Log4j —, o Log4Shell pode gerar um efeito cascata. Pode ser difícil determinar toda a extensão do impacto que a vulnerabilidade do Log4j e o Log4Shell podem causar à sua organização. Obtenha uma avaliação gratuita de ameaças se você acredita que sua organização possa estar em risco.

Se ainda não fez isso, a primeira medida que qualquer organização deve tomar para mitigar o Log4j é APLICAR AS CORREÇÕES! Aplique as correções nos servidores que executam o Log4j. Aplique as correções nos softwares que usam bibliotecas que executam o Log4j. Simplesmente APLIQUE AS CORREÇÕES e continue aplicando-as!

Enquanto sua organização dá continuidade ao processo essencial e abrangente de identificar e corrigir essas vulnerabilidades, é fundamental se proteger contra ataques que utilizam exploits do Log4Shell e evitar que os danos se propaguem ainda mais caso um invasor já tenha se infiltrado em seu ambiente. Além disso, em 4 de janeiro^th a Comissão Federal de Comércio dos EUA emitiu um aviso informando que as organizações que não corrigirem as vulnerabilidades do Log4j da Apache poderão enfrentar medidas judiciais, ressaltando a importância do Log4j.

Mesmo que todas as correções já tenham sido aplicadas, é importante lembrar que o Log4j não é a primeira vulnerabilidade desse tipo e não será a última. Por isso, é essencial se proteger proativamente contra vulnerabilidades atuais e futuras, além de ter um plano para proteger sua rede caso um invasor explore uma vulnerabilidade em seus sistemas. Felizmente, uma estratégia de mitigação é relativamente fácil de implementar.

Para mitigar vulnerabilidades como a Log4j, certifique-se de:

1. Proteja proativamente sua organização contra ataques que exploram o Log4Shell e outras vulnerabilidades semelhantes implementando um WAF
2. Implemente medidas de proteção para garantir que, caso sua organização seja atacada, você consiga interromper a exploração da vulnerabilidade antes que ela cause danos graves à sua rede
3. Realize uma auditoria para determinar toda a extensão do impacto da vulnerabilidade
4. Corrija todo o código que esteja usando ou fazendo referência à vulnerabilidade, utilizando sua auditoria para garantir que nenhuma exposição fique sem correção

Mitigação da vulnerabilidade do Log4j com assinaturas que bloqueiam vetores de ataque conhecidos

Se não for corrigida, essa vulnerabilidade pode permitir que agentes mal-intencionados assumam rapidamente o controle de milhares de sites e aplicativos online, possibilitando o roubo de dados confidenciais. A solução mais eficaz é atualizar o código do aplicativo com a versão mais recente do Log4j e bloquear solicitações maliciosas com um firewall de aplicações web (WAF).

Talvez também seja necessário proteger sua organização contra ataques Log4Shell enquanto você instala as correções necessárias para a vulnerabilidade do Log4j nos servidores vulneráveis e na pilha de software. É aí que um WAF também pode ajudar.

As soluções de WAF da F5 — todas desenvolvidas com base no mecanismo de WAF consistente e robusto da F5 e disponíveis em modelos de implantação e consumo que melhor atendem às suas necessidades de segurança — ajudam a mitigar o impacto da vulnerabilidade de execução remota de código (RCE) do Apache Log4j em sua infraestrutura. A F5 oferece quatro opções para proteger sua aplicação com nosso robusto mecanismo de WAF:

1. F5 Advanced WAF
2. NGINX App Protect WAF
3. Silverline WAF
4. WAF da Volterra

A F5 lançou um conjunto de assinaturas que bloqueiam vetores de ataque conhecidos para vulnerabilidades do Log4j. Tanto o F5 Advanced WAF quanto o NGINX App Protect WAF podem bloquear tentativas de exploração usando assinaturas específicas para injeção de Java Naming and Directory Interface (JNDI) e assinaturas genéricas de injeção de JNDI. Essas assinaturas fazem parte do conjunto de assinaturas de injeção de código no lado do servidor, que está sendo atualizado com base na investigação contínua da ameaça e de técnicas conhecidas para contornar o WAF, com novas regras para detectar ataques Log4Shell de forma eficaz. Dessa forma, o F5 WAF possibilita a “aplicação de patches virtuais”. Acesse aqui para obter suporte de mitigação para produtos de segurança de aplicações BIG-IP e NGINX.

O F5 Advanced WAF oferece proteções avançadas que vão muito além da simples defesa contra o OWASP Top 10 e é perfeito para organizações focadas em segurança que desejam gerenciar por conta própria e personalizar controles granulares para aplicações tradicionais. Se você já é cliente do F5 BIG-IP, já conta em sua rede com o WAF mais poderoso do setor: o mecanismo F5 WAF. O licenciamento do Advanced WAF no BIG-IP, especialmente se você tiver uma licença F5 BEST, pode automatizar a mitigação de ameaças novas e contínuas, aumentar a eficácia da segurança para oferecer maior proteção e disponibilizar recursos de aprendizado de máquina e análise comportamental para proteger aplicações sem intervenção manual.

Para uma solução de WAF autogerenciada, desenvolvida para sua equipe de DevOps ágil e projetada para proteger sua infraestrutura moderna ou um ambiente Kubernetes, o NGINX App Protect WAF será a melhor opção para suas necessidades. Acesse o blog Como mitigar a vulnerabilidade do log4j com o NGINX para saber mais sobre o NGINX App Protect WAF.

Se você deseja contar com as mesmas proteções oferecidas pelo Advanced WAF ou pelo NGINX App Protect WAF, mas precisa ou prefere uma abordagem sem intervenção para mitigar explorações imediatamente, um serviço gerenciado como o Silverline WAF da F5, baseado em nuvem, pode ser a opção ideal. O Silverline WAF é o principal serviço de WAF totalmente gerenciado da F5, oferecendo uma solução abrangente para proteger suas aplicações em ambientes híbridos ou multinuvem, com o suporte dos especialistas em segurança do SOC da F5. A equipe do SOC do F5 Silverline implementou as medidas de mitigação necessárias, monitorando continuamente as ameaças e aplicando as medidas de mitigação e proteção necessárias contra vulnerabilidades como a Log4j.

Nossa plataforma Volterra WAF também recebeu assinaturas atualizadas para reduzir ainda mais qualquer exposição relacionada às vulnerabilidades do Log4j. Essas assinaturas agora estão incluídas na política padrão do WAF, e nossos clientes do Volterra WAF não precisam realizar nenhuma ação adicional para mitigar ataques Log4Shell. O Volterra WAF é a melhor opção para usuários que procuram um WAF nativo da nuvem com implantação baseada em SaaS.

As ofertas e os serviços de WAF da F5 — F5 Advanced WAF, NGINX App Protect WAF, F5 Silverline WAF e Volterra WAF — podem ser utilizados e implantados em conjunto onde quer que sejam necessários para melhor atender e proteger suas aplicações e defendê-las contra ameaças na camada de aplicação.

Além disso, campanhas de ataques avançados são difíceis de detectar com base em ataques isolados. F5 Threat Campaigns, disponível com o F5 Advanced WAF e/ou o NGINX App Protect WAF, protege aplicações e a infraestrutura de TI contra ataques sofisticados, detectando com precisão e bloqueando proativamente campanhas de ataques em andamento. Embora os WAFs da F5, por si só, funcionem como um ponto de controle de segurança essencial, a inteligência contra ameaças pode associar um único incidente de ataque a uma campanha mais ampla e sofisticada, permitindo que você se proteja contra ataques direcionados que podem contornar as políticas básicas de segurança do WAF. O Threat Campaigns pode ser facilmente adicionado à sua implantação do Advanced WAF e do NGINX App Protect WAF para automatizar a segurança na detecção e no bloqueio de ameaças.

Estabeleça uma defesa contra ataques Log4Shell em caso de comprometimento

Considerando a quantidade de bibliotecas que usam o Log4j, pode ser difícil determinar imediatamente toda a extensão do impacto da vulnerabilidade para a sua organização. Durante esse período, infelizmente, você pode estar vulnerável à exploração.

Por exemplo, um invasor poderia criar uma solicitação para um endpoint mal-intencionado a fim de obter e implantar um malware. Ou poderia enviar uma solicitação a um servidor, fazendo com que o servidor comprometido executasse comandos do hacker que contrariassem seu funcionamento normal e comprometessem sua organização.

Mesmo que um invasor já tenha explorado a vulnerabilidade, você ainda tem opções. Felizmente, depois que um invasor executa um código remoto que explora o Log4Shell, é possível impedir que o ataque se propague pela sua rede inspecionando o tráfego de saída do servidor.

Suponha que você tivesse uma solução na borda da sua rede capaz de descriptografar e permitir a inspeção de pacotes de tráfego criptografado. Nesse caso, seria possível detectar malware ou tráfego malicioso propagado devido a uma vulnerabilidade do Log4j e bloqueá-lo antes que causasse mais danos. Um exemplo seria uma tentativa de conexão com um servidor de comando e controle para iniciar novos ataques ou até mesmo exfiltrar dados. Como os servidores normalmente estão conectados à internet, o tráfego deles atravessará seu ambiente por TLS. Portanto, inspecionar o tráfego criptografado dos servidores é fundamental para conter e impedir a propagação em um ambiente já comprometido e vulnerável.

O uso de um produto como o F5 SSL Orchestrator proporciona visibilidade do tráfego criptografado e bloqueia ameaças criptografadas, ajudando a realizar a análise do tráfego de saída descriptografado. O SSL Orchestrator descriptografa o tráfego que atravessa sua rede, inclusive o tráfego de servidores, e o envia a serviços de inspeção de terceiros (como NGFW, WAF, SWG, IPS ou DLP), que podem então permitir, bloquear ou ignorar o tráfego para garantir que nenhum malware criptografado se espalhe pela rede ao entrar e que nenhum tráfego malicioso destinado a servidores de C² (comando e controle), nem dados exfiltrados, saia do seu ambiente. O SSL Orchestrator foi projetado e desenvolvido especificamente para aprimorar a infraestrutura SSL/TLS, proporcionar às soluções de segurança visibilidade do tráfego criptografado por SSL/TLS e otimizar e maximizar seus investimentos atuais em segurança para proteger sua rede contra ataques em cascata.

Conclusão

A Log4j não é a primeira vulnerabilidade grave e de amplo alcance, e não será a última. Embora seja importante se proteger agora contra explorações da Log4j — que ainda estão em andamento no momento da publicação —, é igualmente essencial reforçar a segurança de suas aplicações e de sua rede para proteger seus ativos da próxima vulnerabilidade crítica, que inevitavelmente surgirá.

Quando surgir a próxima vulnerabilidade crítica, estar preparado significa seguir estas quatro etapas. O ideal é que, antes que uma vulnerabilidade seja anunciada, você implemente um WAF para proteger seus aplicativos contra vetores de ataque conhecidos, como o Log4Shell. Além disso, também de preferência antes que uma vulnerabilidade seja anunciada, adote uma solução para proteger sua rede. Assim, caso você seja atacado durante o processo de aplicação de correções e os invasores consigam se infiltrar na rede, será possível impedir que eles usem uma exploração para controlar seus servidores ou exfiltrar seus dados. Depois que uma vulnerabilidade for anunciada, a próxima medida é determinar seu nível de exposição. (A avaliação gratuita de ameaças da F5 pode ajudar!) Em seguida, aplique as correções, aplique as correções, aplique as correções! Com essas quatro estratégias implementadas, você estará preparado quando surgir a próxima vulnerabilidade.

A F5 pode ajudar você a criar um plano abrangente de mitigação que impeça invasores de explorar uma vulnerabilidade e proteja seu ambiente contra danos adicionais ou comprometimento, mesmo após uma exploração bem-sucedida.

Se você tiver outras dúvidas sobre como mitigar a vulnerabilidade do Log4j ou outras vulnerabilidades semelhantes, entre em contato com a equipe de vendas da F5 ou conosco pelo e-mail sales@f5.com. Para acompanhar as ações da F5 em resposta ao Log4j, siga nosso blog, que é atualizado à medida que novas informações são disponibilizadas.

Se você estiver sofrendo um ataque e precisar de assistência urgente, ligue para o nosso Centro de Operações de Segurança (SOC) pelo telefone (866) 329-4253 ou +1 (206) 272-7969. Para consultar os números de telefone internacionais, acesse https://www.f5.com/attack. Os clientes atuais do BIG-IP podem entrar em contato com a Equipe de Resposta a Incidentes de Segurança.