מה זה Log4j? כיצד להגן על עצמך מפני הפגיעות של Log4j

מערכות רבות כבר משתמשות ב-Log4j, ספריית Java לרישום הודעות שגיאה ביישומים. אבל פגם, שנחשף לאחרונה על ידי Apache, עלול לאפשר להאקרים לקבל גישה בלתי מבוקרת למכשירים ברחבי העולם.

למעשה, פושעי סייבר כבר מנסים לנצל את הפגיעות הזו וכל סוגי היישומים המקוונים, תוכנות קוד פתוח, פלטפורמות ענן ושירותי דואר אלקטרוני עלולים להיות בסיכון.

אז מה זה Log4j? איפה משתמשים בו? והאם יש דרכים בהן תוכל להגן על עצמך מפני הפגם ב-Log4j?

מה זה Log4j?

שיטה אמינה לאיתור באגים בתוכנה במהלך מחזור חיי הפיתוח שלה כרוכה בהכנסת הצהרות יומן לקוד. Log4j היא ספריית רישום כזו עבור Java, שהיא אמינה וגמישה כאחד.

פותח ומתוחזק על ידי קרן הקוד הפתוח Apache Software Foundation, Log4j יכול לרוץ בכל הפלטפורמות העיקריות כולל Windows, Linux ו-macOS של אפל.

כיצד משתמשים ב-Log4j?

רישום הוא חיוני בפיתוח תוכנה מכיוון שהוא מציין את מצב המערכת בזמן הריצה. קיום יומני פעילות מערכת זמינים בכל נקודה יכול להיות מועיל מאוד במעקב אחר בעיות.

מיותר לציין שמפתחים משתמשים ב-Log4j במהלך שלבי פיתוח שונים. הוא משמש גם במשחקים מקוונים, תוכנות ארגוניות ומרכזי נתונים בענן.

ישנם שלושה רכיבים בסיסיים המכונים לוגרים, נספחים ופריסות המרכיבים את Log4j; כולם פועלים יחד כדי לשרת את מטרת הרישום בצורה שיטתית.

מהי הפגיעות של Log4j?

הפגיעות של Log4j עלולה להשאיר את המערכות שמשלבות את Log4j פתוחות לפריצות מבחוץ, מה שמקל על גורמי איומים לפלס את דרכם פנימה ולקבל גישה מוסמכת.

פגיעות זו תמיד הייתה קיימת והתעלמו ממנה כאשר התגלתה בשנת 2020. עם זאת, Apache חשפה כעת רשמית את הפגיעות הזו בתוך Log4j ספרייה לאחר שחוקר LunaSec זיהה אותה ב-Minecraft של מיקרוסופט.

ומאז, יותר תוקפים החלו, באופן טבעי, להוציא את זה החוצה, והפכו את הפגיעות שהתעלמה בעבר (או לפחות כך נראה) למשהו רציני יותר תוך פרק זמן קצר.

אילו מערכות והתקנים נמצאים בסיכון?

כל התוכנות והשרתים הארגוניים העיקריים מבוססי Java משתמשים בספריית Log4j. בשל השימוש הנרחב שלה בין יישומי תוכנה ושירותים מקוונים, שירותים רבים חשופים לניצול זה.

זה יכול להוות סיכונים לכל מכשיר המריץ את גרסאות Apache Log4j 2.0 עד 2.14.1 וניגש לאינטרנט. למעשה, מספר עצום של שירותים משתמשים ב-Log4j, כמו iCloud של אפל, Minecraft של מיקרוסופט, טוויטר, Steam, Tencent, Google, Amazon, CloudFare, NetEase, Webex ולינקדאין.

בהיותו מסווג כפגיעות של יום אפס, Log4j מגיע עם השלכות רבות. אם לא יתוקן, הוא יכול לפתוח פחית גדולה של תולעים - תוקפים עלולים לפרוץ למערכות, לגנוב סיסמאות כניסות, ולהדביק רשתות בתוכנה זדונית - מכיוון שפגיעות זו אינה זקוקה להרבה מומחיות כדי לְנַצֵל.

קָשׁוּר: מהו ניצול יום אפס וכיצד פועלות התקפות?

כיצד להגן על עצמך מפני הפגיעות של Log4j

הנה כמה טיפים שיכולים לעזור לך לצמצם את הפגיעות של Log4j.

תיקון ועדכונים

הארגון שלך צריך למהר לזהות מכשירים הפונה לאינטרנט המריצים את Log4j ולשדרג אותם לגרסה 2.15.0.

כמו כן, עליך להתקין את כל העדכונים ותיקוני האבטחה שהונפקו על ידי יצרנים וספקים כאשר הם הופכים לזמינים. לדוגמה, Minecraft כבר המליצה למשתמשים לעדכן את המשחק כדי למנוע בעיות. פרויקטים אחרים בקוד פתוח כמו Paper מנפיקים באופן דומה תיקונים כדי לתקן את הבעיה.

הגדר כללים נגד Log4j בחומת האש של יישומי אינטרנט

צורת ההגנה הטובה ביותר נגד Log4j כרגע היא התקנת חומת אש של אפליקציות אינטרנט (WAF). אם הארגון שלך כבר משתמש ב-WAF, עדיף להתקין כללים המתמקדים ב-Log4j.

על ידי זיהוי וחסימת ה מחרוזות תווים מסוכנות במכשירים במעלה הזרם כגון WAF, אתה יכול להגן על היישומים שלך מלהיות מושפע מ-Log4j.

איומים ציד והתראות

המרכז הלאומי לאבטחת סייבר (NCSC) ממליץ הגדרת התראות עבור בדיקות או התקפות על מכשירים המריצים את Log4j.

בקש מפעולות האבטחה של הארגון שלך להמשיך לחפש איומים באופן קבוע אחר חריגות, ולנקוט פעולה עבור כל התראה שנוצרת עם Log4j.

קָשׁוּר: שירותי חומת האש של יישומי אינטרנט הטובים ביותר להגנה על האתר שלך

Log4j כאן כדי להישאר

Log4j כבש את העולם בסערה ונראה שהוא כאן לטווח ארוך. מכיוון שאין פתרון אחד שמתאים לכולם לפגיעות בסדר גודל כזה, Log4j יעסיק את עולם ה-IT במשך חודשים ארוכים.

כפי שזה נראה, חוקרי אבטחה, צוותי הגנה והאקרים של כובע לבן כולם מתאמצים לגלות עד כמה הפגיעות הזו נוכחת בכל מקום, וההשפעות שלה לאורך זמן.

למרות שהמצב נראה עגום כרגע, משתמשי קצה עדיין צריכים לשים את זה בראש סדר העדיפויות למתן פגיעות זו על ידי ביצוע הטיפים שהוזכרו לעיל וההנחיות שסופקו על ידי אבטחת סייבר מומחים.

מה זה האקר כובע לבן?

האקר כובע לבן הוא האקר אתי המשתמש בכישוריו כדי להגן מפני התקפות סייבר. הנה מה שאתה צריך לדעת.

קרא הבא

על הסופר