CISA Alerta (AA21-356A): Atenuando Log4Shell e outras vulnerabilidades relacionadas ao Log4j

Vendedores

CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK incentivam os fornecedores a:

1. Imediatamente identifique, reduza e atualize os produtos afetados que usam Log4j para a versão com o patch mais recente.
   1. Para ambientes que usam Java 8 ou posterior, atualize para o Log4j versão 2.17.0 (lançado em 17 de dezembro de 2021) ou mais recente.
   2. Para ambientes que usam Java 7, atualize para Log4j versão 2.12.3 (lançado em 21 de dezembro de 2021). Observação: o Java 7 está atualmente no fim da vida útil e as organizações devem atualizar para o Java 8.
2. Informe seus usuários finais sobre produtos que contêm essas vulnerabilidades e incentive-os a priorizar as atualizações de software. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam fortemente que os fornecedores tomem medidas para garantir que as mensagens nas atualizações de software atinjam o maior público possível (por exemplo, evite colocar informações relevantes atrás de acessos pagos). Nota: CISA está ativamente mantendo uma página GitHub e repositório com informações de patch para produtos conhecidos por serem afetados pelo Log4Shell. A CISA também notificou os fornecedores de ICS que podem ser afetados e pediu-lhes que confirmassem quaisquer ativos afetados pelo Log4Shell e aplicassem as mitigações disponíveis.

Organizações afetadas com ativos de TI e nuvem

CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam que as organizações afetadas tomem as seguintes medidas para corrigir essas vulnerabilidades em seus ativos de TI e nuvem e iniciar a busca de ameaças para detectar possíveis comprometimentos. Organizações com ambientes OT / ICS devem revisar a seção Organizações com Ativos OT / ICS para orientação adicional. Observação: esta orientação inclui recursos que podem ou não ser possíveis para todas as organizações. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam que as organizações apliquem as atenuações listadas neste comunicado na medida permitida por seus ambientes.
1. Identifique ativos vulneráveis ​​em seu ambiente.

Saber onde o Log4j e outros produtos afetados existem em seu ambiente é a chave para proteger suas redes.

1. Faça o inventário de todos os ativos que usam a biblioteca Log4j Java. De acordo com relatórios públicos, os adversários estão corrigindo e mitigando ativos que eles comprometem para manter o controle dos ativos. Para evitar perder tal evasão de defesa, as organizações devem rastrear cuidadosamente os ativos sob investigação.
   1. Suponha que todas as versões de Java e Log4j sejam vulneráveis ​​e inclua-as no inventário.
   2. Certifique-se de que o inventário inclua todos os ativos, incluindo ativos de nuvem, independentemente da função, sistema operacional ou marca. Certifique-se de que o inventário inclui as seguintes informações sobre cada ativo
      1. Versões de software
      2. Carimbos de data e hora da última atualização e por quem
      3. Contas de usuário no ativo com seu nível de privilégio
      4. Localização do ativo na topologia de sua empresa
2. Identifique os ativos inventariados que são provavelmente vulneráveis.
   1. Use o repositório GitHub da CISA e o CVE-2021-44228_scanner do CERT / CC para identificar ativos vulneráveis ​​ao Log4Shell.

Recursos adicionais para detectar instâncias vulneráveis ​​de Log4j são identificados abaixo. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK irão atualizar as fontes das regras de detecção assim que as obtermos. Observação: devido à urgência em compartilhar essas informações, CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK ainda não validaram este conteúdo.

• Para identificar os aplicativos de servidor que podem ser afetados por Log4Shell e CVE-2021-45046, consulte TrendMicro: Log4J Vulnerability Tester.
• Para obter uma lista de hashes para ajudar a determinar se um aplicativo Java está executando uma versão vulnerável do Log4j, consulte:
  • Página GitHub de Rob Fuller: CVE-2021-44228-Log4Shell-Hashes e
  • A página GitHub do Grupo NCC: Cyber-Defense / Intelligence / CVE-2021-44228 /.
• Para que o PowerShell detecte instâncias vulneráveis, consulte:
  • Página GitHub de Nathan Kula: PowerShellSnippets / Invoke-Log4ShellScan.ps1 e
  • Página GitHub de Will Dormann : checkjndi.ps1.
• Para obter orientação sobre como usar o Canary Token para testar o retorno de chamada, consulte o tópico do Twitter do Thinkst Canary  sobre o uso de Canary Tokens.
• Para obter orientação sobre como usar o Burpsuite Pro para digitalizar, consulte:
  • Página GitHub do Silent Signal: burp-log4shell e
  • Página GitHub do PortSwigger: active-scan-plus-plus.
• Para obter orientação sobre como usar o Nmap Scripting Engine (NSE) do NetMap, consulte a página GitHub do Divertor : nse-log4shell.
• Consulte a página GitHub de Florian Roth, Fenrir 0.9.0 – Log4Shell Release, para obter orientação sobre o uso da ferramenta Fenrir de Roth para detectar instâncias vulneráveis.

2. Mitigar ativos vulneráveis ​​conhecidos e suspeitos em seu ambiente.

A. Trate ativos vulneráveis ​​conhecidos e suspeitos como comprometidos. Esses ativos devem ser isolados até que sejam mitigados e verificados (etapa 2.D). O método de isolamento que você deve usar depende da criticidade do ativo. Os possíveis métodos de isolamento incluem:

• Remover fisicamente o ativo da rede (por exemplo, desconectar o cabo de rede);
• Mover o ativo para uma “VLAN de prisão” com monitoramento e segurança aprimorados;
• Bloqueio na camada de rede (um switch ou algum outro dispositivo);
• Implementar um firewall (incluindo firewall de aplicativo da web) com controle estrito de porta e registro; ou
• Restringir a comunicação do ativo, principalmente com a Internet e o restante da rede corporativa.

B. Patch Log4j e outros produtos afetados para a versão mais recente. 

• Consulte a página da Web Vulnerabilidades de segurança do Apache Log4j (em 22 de dezembro de 2021, a versão mais recente do Log4j é 2.17.0 para Java 8 e 2.12.3 para Java 7). Nota: corrigir ou atualizar o Java não é suficiente, você deve atualizar a própria biblioteca Log4j.
• Para outros produtos afetados, consulte a página GitHub da CISA.

Observação: se a sua organização não puder identificar e corrigir imediatamente as instâncias vulneráveis ​​do Log4j, aplique as soluções alternativas apropriadas. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam o uso de mitigações fornecidas pelo fornecedor, quando disponíveis. Devido à situação de rápida evolução, essas soluções alternativas não devem ser consideradas correções permanentes e as organizações devem aplicar o patch apropriado assim que ele for disponibilizado. Mitigações adicionais são identificadas abaixo; no entanto, as organizações devem usar essas atenuações por sua própria conta e risco, pois podem ser incompletas, temporárias ou causar efeitos prejudiciais, como instabilidade do aplicativo, uma condição de DoS ou evasão de log.

• Remova o Jndilookup.classdo caminho da classe. [ 1 ]
• Exclua ou renomeie Jndilookup.class. Nota: a remoção do JndiManagerfará com que o JndiContextSelectore JMSAppenderdeixe de funcionar). [ 2 ]
• Aplique um patch quente.
  • Grupo NCC: log4j-jndi-be-gone: Uma mitigação simples para CVE-2021-44228
  • Amazon AWS:
    • Página GitHub: hotpatch-for-apache-log4j2
    • Blog: Hotpatch para Apache Log4j

C. Mantenha um inventário dos ativos vulneráveis ​​conhecidos e suspeitos e o que é feito com eles ao longo deste processo. É importante rastrear os patches porque ciberatores mal-intencionados podem comprometer um ativo e, em seguida, aplicar patches para proteger suas operações. As organizações devem manter um registro meticuloso dos ativos vulneráveis ​​que corrigiram para identificar se um ator da ameaça pode ter corrigido um ativo.

D. Verifique se a mitigação funcionou, se possível.

1. Faça a varredura do ativo corrigido / mitigado com as ferramentas e métodos listados na etapa 1.B. Use mais de um método para verificar se a mitigação foi aplicada com sucesso.
2. Monitore o ativo de perto.
3. Permaneça alerta para mudanças de fornecedores para o software no ativo. Além disso, consulte a página GitHub da CISA para produtos afetados conhecidos e informações sobre patches. A CISA atualizará continuamente o repositório à medida que os fornecedores lançam patches.

3. Inicie os procedimentos de busca e resposta a incidentes. Dada a ampla exploração desta vulnerabilidade, CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK encorajam todas as organizações a assumir que seus ativos que usam Log4j podem ter sido comprometidos e iniciar procedimentos de busca.

A. Procure por sinais de exploração e compromisso.

1. Trate os ativos que usam Log4j como suspeitos e conduza uma investigação forense vigorosa desses ativos.
2. Inspecione e monitore contas em sua empresa que existam ou se conectem a ativos que usam Log4j.
3. Inspecione as alterações nas configurações feitas desde 1º de dezembro de 2021 e verifique se foram pretendidas, especialmente em ativos que usam Log4j.
4. Use a página GitHub da CISA para detectar possível exploração ou comprometimento.

Recursos adicionais para detectar possível exploração ou comprometimento são identificados abaixo. Observação: devido à urgência em compartilhar essas informações, CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK ainda não validaram este conteúdo.

• Blog do Cisco Talos: Aviso de ameaças: vulnerabilidade crítica do Apache Log4j sendo explorada à solta
• Página do GitHub do Curated Intelligence: Log4Shell-IOCs (Observação: o Curated Intelligence observa que os “IOCs compartilhados por esses feeds são de baixa a média confiança, nós [Curated Intelligence] recomendamos fortemente não adicioná-los a uma lista de bloqueio.”)
• EmergingThreat.net: assinaturas para ajudar na detecção da atividade CVE-2021-44228
• Páginas do GitHub de Florian Roth:
  • Log4j RCE Exploitation Detection
  • assinatura-base / yara / expl_log4j_cve_2021_44228.yar
  • detector log4shell
• Blog do Huntress: Vulnerabilidade crítica de RCE: log4j – CVE-2021-44228
• Blog do Mandiant: Now You Serial, Now You Don’t – Busca sistemática por exploits de desserialização
• Página GitHub do Microsoft Azure: Azure-Sentinel / Detections / MultipleDataSources / Log4J_IPIOC_Dec112021.yaml
• Grupo NCC: Log4Shell: Reconhecimento e detecção de rede pós-exploração 
• Páginas Sigma GitHub:
  • sigma / rules / web / web_cve_2021_44228_log4j.yml
  • sigma / rules / web / web_cve_2021_44228_log4j_fields.yml

B.  Se o comprometimento for detectado, as organizações devem:

1. Inicie os procedimentos de resposta a incidentes. Consulte o conselho conjunto de ACSC, CCCS, NZ NCSC, CERT NZ, NCSC-UK e CISA sobre abordagens técnicas para descobrir e corrigir atividades maliciosas para obter orientação sobre caça ou investigação de uma rede e para erros comuns no tratamento de incidentes. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK incentivam as organizações a consultar os manuais de resposta a incidentes e vulnerabilidades do governo federal da CISA . Embora adaptados às agências FCEB dos EUA, esses manuais fornecem procedimentos operacionais para planejar e conduzir atividades de resposta a incidentes e vulnerabilidades de segurança cibernética e detalha cada etapa para a resposta a incidentes e vulnerabilidades.
2. Considere relatar os comprometimentos imediatamente às autoridades de segurança cibernética aplicáveis. As organizações são incentivadas a serem o mais completas possível, incluindo informações como endereços / domínios IP usados ​​para explorar sua infraestrutura, aplicativos / servidores explorados, informações de contato de administradores e as datas de início e término do ataque.

• As organizações dos EUA devem relatar os compromissos à CISA e ao FBI.
• As organizações australianas podem visitar cyber.gov.au ou ligar para 1300 292 371 (1300 CYBER 1) para relatar incidentes de segurança cibernética.
• As organizações canadenses podem relatar incidentes enviando um e-mail ao CCCS em [email protected].
• As organizações da Nova Zelândia podem visitar NCSC.govt.nz para relatar incidentes.
• As organizações do Reino Unido podem relatar um incidente significativo de segurança cibernética em ncsc.gov.uk/report-an-incident (monitorado 24 horas) ou, para obter assistência urgente, ligue para 03000 200 973.

4. Avalie e aplique outras mitigações.

A.  Permaneça alerta às mudanças dos fornecedores para o software no ativo e aplique imediatamente as atualizações aos ativos quando notificado por um fornecedor de que seu produto tem um patch para esta vulnerabilidade. Além disso, consulte o repositório GitHub da CISA para produtos afetados conhecidos e informações de patch. A CISA atualizará continuamente o repositório à medida que os fornecedores lançam patches.

B.  Continue a monitorar os ativos Log4J de perto. Use continuamente assinaturas e indicadores de compromisso que possam indicar exploração.

1. Veja os recursos de exploração e detecção listados na etapa 3.A. (4).
2. Esteja ciente de que há muitas maneiras de ofuscar a string de exploração. Não dependa de um método de detecção para funcionar o tempo todo.

C.  Continue a monitorar a página da Web de Vulnerabilidades de segurança do Apache Log4j para novas atualizações. Observação: como esta é uma situação em evolução e novas vulnerabilidades no Log4J estão sendo descobertas, as organizações devem garantir que seu Apache Log4j esteja atualizado. Identifique o software que sua empresa usa e fique por dentro das atualizações, pois elas podem ser substituídas por outras atualizações e correções.

D.  Bloqueie o tráfego de rede específico do Protocolo de Controle de Transmissão (TCP) e do Protocolo de Datagrama de Usuário (UDP).

1. LDAP de saída: para a maioria das redes, o LDAP é usado internamente, mas é raro que as solicitações LDAP sejam roteadas para fora de uma rede. As organizações devem bloquear o LDAP de saída ou usar uma lista de permissões para o LDAP de saída para destinos bons conhecidos. Nota: isso pode ser difícil de detectar em certas portas sem um firewall que faça a filtragem da camada de aplicativo.
2. Invocação de método remoto (RMI): para a maioria das redes, o RMI não é usado ou é usado para fontes internas. As organizações devem bloquear o RMI de saída ou usar uma lista de permissões para RMI de saída para destinos bons conhecidos.
3. DNS de saída: as organizações que usam resolução de DNS empresarial podem bloquear o DNS de saída de fontes diferentes dos resolvedores de DNS identificados. No mínimo, o bloqueio de DNS de saída direta de servidores de aplicativos da web configurados para usar a resolução DNS corporativa atenuará os riscos para esses sistemas.

Observação: bloquear endereços IP de invasores na Internet durante esse evento é difícil devido ao alto volume de varredura de pesquisadores e fornecedores não mal-intencionados. Os falsos positivos em endereços IP são altos. As organizações devem se concentrar em procurar sinais de exploração bem-sucedida e não em varreduras.

Organizações Afetadas com Ativos OT / ICS

Devido à difusão da biblioteca de software Apache Log4j – e à integração da biblioteca em produtos operacionais – CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam fortemente que os proprietários e operadores de ativos OT reveja sua arquitetura operacional e enumere o status de vulnerabilidade em relação aos alertas e recomendações atuais do produto. Se um produto não tiver um comunicado de segurança abordando especificamente o status da vulnerabilidade, trate-o com proteções adicionais. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK exigem patching ou implantação de mitigações para reduzir o risco da ameaça dessas vulnerabilidades.

Observação: CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam priorizar a aplicação de patches em dispositivos de TI, especialmente aqueles com conectividade com a Internet. Dispositivos de Internet afetados, bem como laptops, desktops e tablets são especialmente suscetíveis à exploração dessas vulnerabilidades. Os dispositivos OT / ICS – se segmentados adequadamente do ambiente de TI – não enfrentam a Internet e, como tal, têm uma superfície de ataque menor para essa vulnerabilidade. A exploração de dispositivos de TI pode afetar os dispositivos OT / ICS se houver segmentação de rede insuficiente que impeça o movimento lateral.

CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam que os proprietários / operadores de ativos OT / ICS levem em consideração as seguintes orientações:

1. Revise a arquitetura operacional e enumere a vulnerabilidade em relação aos alertas e recomendações atuais do produto. Se os produtos não tiverem um aviso de segurança abordando especificamente seu status de vulnerabilidade, é recomendável tratar esses dispositivos com proteções adicionais.
2. Implemente as etapas listadas na seção anterior para identificar e isolar ativos vulneráveis no ambiente OT / ICS. Entenda que tipo de produtos no ambiente OT seriam afetados. Muitos produtos específicos de OT / ICS incorporam versões vulneráveis ​​da biblioteca Log4j.
3. Use um processo de tomada de decisão informado sobre os riscos para aplicar a versão mais recente dos hotfixes ou patches aos dispositivos afetados assim que for operacionalmente viável. Se os patches não puderem ser aplicados, as atenuações fornecidas pelo fabricante ou revendedor do produto devem ser implantadas. Nota: CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK recomendam, como garantia de qualidade, que os usuários testem a atualização em um ambiente de desenvolvimento de teste que reflita seu ambiente de produção antes da instalação.
4. Minimize a exposição da rede para todos os dispositivos e / ou sistemas do sistema de controle e assegure-se de que eles não sejam acessíveis pela Internet.
5. Localize redes de sistema de controle e dispositivos remotos atrás de firewalls e isole-os da rede comercial.

Quando o acesso remoto for necessário, use métodos seguros, como redes privadas virtuais (VPNs), reconhecer VPNs pode ter vulnerabilidades e deve ser atualizado para a versão mais recente disponível. Reconheça também que uma VPN é tão segura quanto seus dispositivos conectados.

CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK também lembram as organizações de realizar análises de impacto e avaliação de risco adequadas antes de implantar medidas defensivas.

A CISA também fornece uma seção para práticas recomendadas de segurança de sistemas de controle na página da Web do ICS em cisa.gov . Várias práticas recomendadas estão disponíveis para leitura e download, incluindo Melhoria da segurança cibernética dos sistemas de controle industrial com estratégias de defesa em profundidade.

Orientações adicionais de mitigação e práticas recomendadas estão disponíveis publicamente na página da Web do ICS em cisa.gov no Documento de Informações Técnicas, ICS-TIP-12-146-01B – Estratégias de Detecção e Mitigação de Intrusão Cibernética direcionada.

As organizações que observam qualquer atividade suspeita de mal-intencionada devem seguir seus procedimentos internos estabelecidos e considerar o relato de comprometimentos imediatamente.

• As organizações dos EUA devem relatar os compromissos à CISA e ao FBI.
• As organizações australianas podem visitar cyber.gov.au ou ligar para 1300 292 371 (1300 CYBER 1) para relatar incidentes de segurança cibernética.
• As organizações canadenses podem relatar incidentes enviando um e-mail ao CCCS em [email protected].
• As organizações da Nova Zelândia podem visitar NCSC.govt.nz para relatar incidentes.
• As organizações do Reino Unido podem relatar um incidente significativo de segurança cibernética em ncsc.gov.uk/report-an-incident (monitorado 24 horas) ou, para obter assistência urgente, ligue para 03000 200 973.

Recursos

Para obter mais informações, recursos e orientação geral, incluindo recursos e orientação de mitigação de membros do setor de JCDC, consulte a página da Web da CISA Apache Log4j Vulnerability Guidance. Nota: devido à natureza proeminente e em constante evolução desta vulnerabilidade, existem vários documentos de orientação publicados não verificados que são voltados para vulnerabilidades Log4j. CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC e NCSC-UK incentivam todas as organizações a verificar as informações com fontes confiáveis, como CISA, FBI, NSA, ACSC, CCCS, CERT NZ, NZ NCSC, NCSC -Vendedores do Reino Unido.