Log4j：私たちはどれだけねじ込まれていますか？

まあ、それは確かにサイバー 大失敗 の年だったので、確かに、インターネット上のほとんどすべてに影響を与える素晴らしい、太ったセキュリティの脆弱性と物事を結びつけてみませんか？それは正しいように聞こえます。

要するに、Apachelog4jのバグ は悪いです。アメリカのサイバーセキュリティおよびインフラストラクチャセキュリティエージェンシーのディレクターであるジェンイースタリーによると、彼女が「キャリア全体」で見たのは「最も深刻なものの1つ」です。最近のメディア出演で、Easterlyは記者団に、連邦当局は「脆弱性が高度な攻撃者によって広く悪用される」ことを完全に期待していると語り、CISAの脆弱性管理オフィスの同僚であるJay Gazlayは、バグが「数百の 何百万ものデバイス。」

詳細： Web3とは何ですか？なぜ気にする必要がありますか？

日常のWebユーザーはこの状況全体について多くのことを行うことはできませんが、何が起こっているのかを知ることは役立つかもしれません。ここにすべての恐ろしさの簡単な要約があります。

影響を受けるプログラムであるApacheのlog4jは、多くの企業が使用する無料のオープンソースのログライブラリです。ロギングライブラリは、プログラムの実行方法を記録するためにエンジニアによって実装されます。これらはコード監査を可能にし、バグやその他の機能の問題を調査するための日常的なメカニズムです。log4jは無料で広く信頼されているため、大小の企業があらゆる種類のものにlog4jを採用しています。皮肉なことに、もちろん、このバグチェックツールにはバグがあります。

セキュリティ研究者は、適切な悪用によりサーバーのシステムへのシェルアクセス（「リモートコードアクセス」とも呼ばれる）が発生する可能性があるため、この脆弱性を「Log4Shell」と呼んでいます。一方、その正式な指定はCVE-2021-44228であり、Common Vulnerability ScoringSystemスケールで10の重大度評価を持っています。これは明らかにあなたが得ることができる最悪のことです。アリババのクラウドセキュリティチームのメンバーであるChenZhaojunによって最初に発見された後、1週間も経たない12月9日に最初に公開されました。

技術的に言えば、このバグはゼロデイリモートコード実行の脆弱性です。つまり、「攻撃者が標的のサーバーにスクリプトをダウンロードして実行し、リモート制御を完了するためにそれらを開いたままにすることができます」と、Bitdefenderの研究者は最近の内訳で書いています。脆弱性。また、悪用するのもかなり簡単です。犯罪者は、多くの問題を引き起こすために多くのことをする必要はありません。

log4jが普及しているため、インターネット上で最大のプラットフォームのほとんどは大失敗に巻き込まれています。誰が影響を受け、誰が影響を受ける可能性があるかを示すことを目的とした複数の リストが公開されていますが、現時点では、完全に包括的な会計は奇妙な野心のようです。さまざまな報告によると、苦しんでいるのはApple、Twitter、Amazon、LinkedIn、CloudFlareなどの有名人です。

関与を明確に確認した企業は、自社の製品やサービスの大部分にパッチを適用する必要があると頻繁に報告しています。たとえば、クラウドコンピューティング企業のVMWareは、44の製品が影響を受けていると報告しています。ネットワーキングの巨人であるCiscoは、 35のツールが脆弱であると述べています。著名なサイバーセキュリティ企業であるFortigardは最近、少なくとも12の製品が影響を受けていることを明らかにしました。リストはどんどん増えていきます。

アマゾンは明らかにそのリストで最大の企業の1つです。技術の巨人は定期的に自社の製品とサービスに関連するアップデートを公開しており（そのうちかなりの数があるようです）、一方Appleは最近、iCloudがバグの影響を受けていることを確認し、その後パッチを適用しました。Blackberry、Dell、Huawei、Citrixなどの大手テクノロジー企業や、SonicWall、McAfee、TrendMicro、Oracle、Qlikなどの著名なテクノロジー企業など、他の企業はまだ失敗したかどうかを調査しています。

しかし、このバグは技術の外にまで及ぶ可能性があり、この種の問題に自然に関連することのない業界を混乱させる可能性があります。運用システムと産業システムに関連するセキュリティを分析するDragosは、最近、次のように書いています。

だから、それは悪いニュースです。良いニュース？JK、良いニュースはありません。代わりに、もっと悪いニュースがあります。このギャップのある脆弱性は、サイバー犯罪者の大群による大量の搾取の試みをすでに見ています。インターネット全体のセキュリティ研究者は、彼らが見ている活動に関するレポートを公開し始めました—そしてそれは特にきれいではありません。

問題の大部分は、ほとんどの犯罪者が他のすべての人とほぼ同時にlog4jの脆弱性を発見したように見えることです。このように、脆弱なシステムやプラットフォームでの悪用の試みは先週から指数関数的に増加しています。ウェブ全体のハッカーがこの独特の恐ろしい状況を猛烈に利用しようとしているためです。サイバーセキュリティ会社のチェックポイントは最近、バグに関する最初の開示以来、エクスプロイトの試みの爆発的な増加を観察したことを示すデータを公開しました。レポートは次のように述べています。

サイバーセキュリティ会社Dragosの脅威インテリジェンス担当バイスプレジデントであるSergioCaltagirone氏は、この種の活動は当然のことであるとGizmodoに語った。「ランサムウェアが最終的にlog4jの脆弱性を利用する可能性が高く、予想されます。特に脆弱なシステムはサーバーなどの重要な資産である可能性が高いためです」と彼は電子メールで述べています。

実際、サイバーセキュリティ会社のBitdefenderは火曜日に調査を発表し、「Khonsari」として知られるランサムウェアの新しいファミリーによる脆弱なマシンでの悪用の試みを示しているようです。調査によると、KhonsariのランサムウェアハッカーはMicrosoftシステムを標的にしており、身代金のメモを残しています。

また、ランサムウェアは主要な懸念事項の1つですが、他のサイバーセキュリティの専門家は、クリプトマイニングやボットネットのインストールから、次のような偵察タイプのアクティビティまで、さまざまなエクスプロイトの試みについて書いています。一般的なスキャンとCobalt-Strikeビーコンの展開。

多くの場合、これらの攻撃は猛烈な勢いでやってくるようです。「1秒あたり1,000回を超えるエクスプロイトが試みられています。そしてペイロードはより恐ろしくなります。ランサムウェアのペイロードは過去24時間で有効になりました」と、CloudflareのCEOであるMatthew Princeはツイートしました。これも、悪用活動を監視しているようです。

さらに悪いことに、今週、 CVE-2021-45046と呼ばれる2番目の脆弱性が発見されました。LunaSecの研究者は、以前にパッチが適用されたシステムは依然として最新のバグに反する可能性があり、Apacheはリスクを軽減するためのアップデートをすでにリリースしていると述べました。

カジュアルなWebユーザーの場合、現時点で実際にできることは、プロンプトが表示されたらデバイスとアプリケーションを更新し、依存しているプラ​​ットフォームが脆弱性を特定し、パッチを作成するのに十分な速度であることを期待することだけです。更新をプッシュします。要するに：皆さん、そこにぶら下がってください。