A estas alturas, estoy seguro de que ha oído hablar de Log4j y la grave vulnerabilidad que permite a los atacantes realizar ataques sin credenciales de usuario, obteniendo acceso remoto a sistemas seguros y datos confidenciales.
Log4j es una biblioteca de código abierto tan popular que utilizan miles de aplicaciones conocidas para proporcionar funcionalidad de registro. El descubrimiento de una vulnerabilidad en esta biblioteca abierta provocó una tormenta debido a la popularidad de la biblioteca.
Los informes de exploits no tardaron mucho después de que se descubriera la vulnerabilidad.
Por lo tanto, las organizaciones asumen compromisos y comienzan análisis forenses. Encontrar los componentes de código abierto en una aplicación no es algo que se pueda hacer manualmente. Aquí es donde SCA (análisis de composición de software) automatizan este proceso y es una herramienta clave para mitigar la falla de Log4jShell.
La vulnerabilidad Log4j está lejos de terminar
Desde diciembre de 2021, cuando se descubrió una vulnerabilidad encontrada en la biblioteca de registro de Apache Log4j; los atacantes han causado estragos, robado credenciales y datos, e instalado criptomineros.
El rango de impacto fue muy amplio debido a la naturaleza de la vulnerabilidad. Para explotar Log4j, los atacantes hacen que el sistema registre una cadena de código que usan para cargar e instalar el malware en el servidor objetivo y pueden usarlo para lanzar otros ataques. Es fácil para los atacantes introducir la cadena a través de un correo electrónico aparentemente inocente, por ejemplo.
Mientras que las grandes empresas como Amazon, Microsoft, Cisco y Google se apresuraron a publicar correcciones, es posible que las empresas más pequeñas no tengan los recursos para abordar la vulnerabilidad rápidamente. Log4j es una biblioteca de registro de código abierto, utilizada ampliamente por la mayoría de las grandes organizaciones. Si no se repara, puede afectar a millones de aplicaciones empresariales y servicios en la nube escritos en Java.
Ataques recientes
En diciembre, muchos proveedores cibernéticos detectaron una gran cantidad de intentos de explotar la vulnerabilidad, pero los esfuerzos combinados de las comunidades digital y de seguridad ayudaron a evitar ataques más graves. A principios de enero, el número de ataques fue más bajo de lo esperado.
Algunos de los grandes ataques revelados hasta la fecha incluyen:
- El 20 de diciembre, una parte de la red del Ministerio de Defensa en Bélgica estaba inactivo como resultado de un exploit de Log4j. No revelaron si había ransomware involucrado.
- Grandes empresas como Microsoft y Mandiant observaron intentos de explotación de grupos de estados-nación conectados a países como China e Irán.
- Otros ataques se han interrumpido a mitad de camino. El 29 de diciembre, Crowsstrike informó sobre un ataque interrumpido llevado a cabo por un grupo patrocinado por el estado de China. Este intento involucró la explotación de la vulnerabilidad Log4j.
Otra razón por la que puede haber habido menos ataques de los esperados es que los atacantes necesitan personalizar la amenaza para cada aplicación usando el código Lg4j. Aún así, los expertos cibernéticos creen que la explotación de la vulnerabilidad Log4j probablemente continuará durante meses o años.
¿Cómo puede ayudar el análisis de composición de software?
SCA, Análisis de composición de software, es parte de la pila de herramientas de prueba de seguridad de aplicaciones (AST), que escanea una base de código para identificar el software de código abierto en una base de código de aplicación. El seguimiento manual de los componentes de código abierto puede convertirse en una tarea imposible cuando se trabaja con cientos de bibliotecas. Por lo tanto, a menudo se pasa por alto. Una solución SCA automatiza este proceso, inspeccionando el código fuente, archivos binarios, administradores de paquetes e imágenes de contenedores.
¿Cómo funciona SCA?
Una vez que identifica todos los componentes de código abierto, el SCA compila una lista de materiales de software (SOB), incluidos los datos de su licencia, y detecta cualquier vulnerabilidad de seguridad potencial. El inventario incluye dependencias directas y transitivas. También proporciona información sobre la licencia de cada componente y su compatibilidad con las políticas de la organización. Esta función proporciona visibilidad de todos los componentes de código abierto y cómo se utilizan.
Algunas herramientas de SCA van más allá de la detección y la identificación, proporcionando capacidades de priorización y corrección automática. Las mejores soluciones SCA automatizan todo el proceso, desde el escaneo hasta el inventario y las alertas.
Estas alertas rápidas ayudan a las organizaciones a tomar medidas cuando se identifica una vulnerabilidad de día cero. Binary SCA también ayuda a las organizaciones empresariales a escanear software comercial y, por lo tanto, a verificar a sus proveedores.
¿Qué pasos puede tomar ahora para mitigar el impacto de Log4Shell?
Saber qué componentes de código abierto tiene en sus aplicaciones y dónde son vulnerables es el primer paso para prevenir el impacto, o mitigarlo, de una vulnerabilidad de Log4Shell. Debe abordar la vulnerabilidad desde afuera hacia adentro, desde un análisis general a uno específico. Estos son algunos pasos que puede seguir:
- Escanea la superficie externa: esto le permitirá identificar hosts potencialmente vulnerables, por ejemplo, proveedores de nube. Consulte con su proveedor de nube y vea si emitieron un nuevo complemento para esto.
- Ponga su SCA a trabajar: su análisis de composición de software escanea sus aplicaciones y sistemas para identificar qué bases de código Java tienen componentes y dependencias en Log4j. Asegúrese de que sus escaneos incluyan dependencias transitivas.
- Tenga en cuenta esta vulnerabilidad no afecta a los puertos porque requiere el uso de interfaces Java.
- Tan pronto como puedas actualice sus dependencias a Log4j 2.25.0.
- Diseñar un plan de remediación y ejecutarlo.
- Recuerde buscar continuamente vulnerabilidades de código abierto.
Así que en resumen:
El impacto completo de la vulnerabilidad de Log4j probablemente continuará durante meses de los próximos años, y es mejor actuar lo antes posible. Escanear sus aplicaciones con una herramienta SCA lo ayudará a detectar vulnerabilidades en bibliotecas de código abierto y actuar rápidamente para remediarlas. Aproveche los SCA líderes que también brindan capacidades de alerta y respuesta para una mayor tranquilidad.
también, consulte ¿Cómo puede protegerse contra Ransomware?
