On Friday, 2021年12月10日, the Apache Foundation announced a serious security vulnerability (CVE 2021-44228) in most versions of its open source Log4j utility, a popular logging utility that has been embedded in thousands — if not hundreds of thousands — software applications and services.
Java Naming and Directory Interface（JNDI）API を使用すると、Java アプリケーションは、LDAP や DNS などの外部ディレクトリサービスからデータやリソースを検索することができます。 攻撃者はJNDI機能を利用し、被害者のシステムに、攻撃者が制御するサーバーから外部ライブラリを取得させるように仕向けることができます。 これらのコマンドは、マルウェアのインストール、データの消去、データの持ち出し、認証情報のコピー、あるいはその他の悪意のある行為を行うために悪用される可能性があります。
その影響は計り知れません。 エンタープライズソフトウェア業界の大手企業が提供する有名な商用アプリケーションを含め、何千ものソフトウェアアプリケーションが、ハッキングされ、悪意のある目的に利用されるリスクにさらされています。
このソフトウェアは、テレビや店舗のキオスク端末といった身近な機器にも搭載されています。 Googleの推定によると、最も重要なJavaパッケージリポジトリであるMaven Central Javaリポジトリ（）の約 4％が、この脆弱性の影響を受けているとのことです。
攻撃は、ウェブブラウザやコマンドライン、その他の入力手段を通じて行われる可能性があります。 あるセキュリティ研究者は、 のように、店舗の価格確認キオスク に巧妙に作成されたQRコードを提示することで、攻撃者がその店舗のITシステムを乗っ取ることができる可能性があると指摘しました。
Log4j の脅威を理解し、そのリスクを軽減する方法について詳しく知りたい方は、当社のウェビナーの録画をご覧ください。
https://youtu.be/ygaaetd-9Is
セキュリティチームは、 Log4j 件の攻撃を防ぐために急ピッチで対応を進めています
Apacheは、この問題を修正するパッチをバージョン Log4j 向けに公開しました。
さあ、勝負の始まりです。攻撃者がこの脆弱性を悪用して攻撃を仕掛ける前に、ITセキュリティチームは、すべてのエンドポイント上のすべてのソフトウェアから「 Log4j 」に関連する箇所をすべて見つけ出せるでしょうか？
攻撃者たちは、ただ手をこまねいて見ているわけではありません。 この脆弱性が公表されてから 72 時間以内に、アプリケーションに対して件を超える800,000 件の攻撃 が仕掛けられました。 そして、脅威の状況はますます悪化の一途をたどっています。
- Cloudflareによると、現在、 Log4j件の脆弱性に対して、1時間あたり 1,000 件以上の悪用が報告されています。
- 中国のあるサイバー犯罪グループが、「 Log4j 」という手法を用いて、VMware Horizonソフトウェアに「NightSky」という新しいランサムウェアのファミリーを感染させています。
- コインマイナーたちは、すでに Log4jを実行しているシステムに対して攻撃を開始しています。
- 攻撃者は、 Log4j 番ポートを利用して、2つのLinuxボットネット「Muhstik」と「Mirai」にデバイスを追加しました。
- 攻撃者は、 やベルギー国防省 といった重要施設への侵入に成功しました。
- 人気のあるレッドチーム用ツールキットの中には、 Log4j 件の脆弱性を悪用するための機能が追加されたものもあり、これにより、さらに多くの人々がこのエクスプロイトを利用できるようになりました。
脆弱性のある「 Log4j 」ソフトウェアは、どのエンドポイントのデスクにもインストールされている可能性があります。 さらに悪いことに、バックアップやゴールドイメージにも残っている可能性があります。つまり、今月削除された Log4j のインスタンスが、将来、システムの復元や新しいシステムのプロビジョニングが必要になった際に、再び現れてしまう可能性があるのです。
FTCは、企業に対し、脆弱性への対策を講じるよう求めており、これに応じない場合は規制上の罰則が科されることになります
この脆弱性の影響が極めて広範囲に及ぶため、米国連邦取引委員会（FTC）が介入しました。 2022年1月4日において、同局は で声明を発表し、 Log4j が消費者データの保護を脅かすものであることを指摘するとともに、企業に対し、「既知のソフトウェアの脆弱性を軽減するために合理的な措置を講じる義務は、とりわけ連邦取引委員会法やグラム・リーチ・ブライリー法などの法律に関わるものである」と改めて注意を促しました。
To ensure that no one mistakes the seriousness of its warning, the FTC cites its $700 million fine against Equifax in 2017 for that company’s failure to patch a known Apache Struts vulnerability. That lapse in third-party patching led to a data breach that eventually exposed the private information of 143 million consumers and tarnished the Equifax brand.
FTCは、 Log4j 条を規制上の精査を行う特別な機会とは見なしていません。 むしろ、今後、企業が同様のリスクを発見し、速やかにその影響を軽減することを期待しています。 FTCの姿勢はこれ以上ないほど明確です。「FTCは、 Log4j号や将来発生しうる同様の既知の脆弱性により、消費者データが漏洩するのを防ぐための合理的な措置を講じなかった企業に対し、法的権限を最大限に活用して対処する意向です。」
セキュリティチームにとって重要な点は、ITセキュリティチームが「 Log4j 」という脆弱性に対処するために現在導入しているツールやプロセスを、今後も継続的に活用し、同様のリスクを検知・軽減していくべきだということです。
継続的な問題には、継続的な解決策が必要です
他の脆弱性のあるソフトウェアコンポーネントの存在はさておき、 Log4j の修正作業には、ITチームによる長期的な取り組みが必要となるでしょう。 その理由は次のとおりです。
まず、この脆弱性が公表されてから1か月以上が経過しましたが、 によると、 の直近のダウンロード Log4J 件のうち40％が、依然として攻撃の危険にさらされているバージョンです。 That’s 40% of over 10 million downloads, creating a lot of opportunities for attackers.
第二に、企業ネットワークのスキャンでは、 Log4j の最近の脆弱性のあるバージョンだけでなく、Apacheが 2015年8月で公式にサポート終了を宣言した同ユーティリティの1.xバージョンも検出されています。 また、これは、企業内の思いもよらない場所に『 Log4j 』のコピーが潜んでいる可能性が高いことを示唆しています。
第三に、ITチームが Log4j内のJndiLookup.classの脆弱性のあるインスタンスをすべて見つけ出し、削除できたとしても、バックアップや のゴールデンイメージ から、脆弱性のあるインスタンスが復元されないか、引き続き注意を払う必要があります。 また、従業員がインターネットから脆弱性のあるコピーをダウンロードしたり、第三者が脆弱性のあるバージョンを使用したりすることで、攻撃者がネットワークに侵入する機会が生まれてしまうことについても懸念する必要があります。
「 Log4j 」を超えて、継続的な脅威ハンティングへ
この継続的な取り組みは、単に Log4j 件の脆弱性そのものを発見し、修正するだけにとどまらない、より広範なものです。 FTCが「 Log4j」と同様の脆弱性を原因としてデータ漏洩を起こした企業に対して罰則を科す方針を固めたことを受け、主要な規制当局は、パッチ管理における長年にわたる不備がもはや容認されないことを示唆しています。 これを怠った場合、数億ドルに上る罰金が科される可能性があります。
ITチームは今すぐ行動を起こす必要があります。それは、 Log4j 件の脆弱性を見つけて修正するだけでなく、ソフトウェアコンポーネントの脆弱性を全般的に発見するためのツールやプロセスを導入するためでもあります。 もし6か月後に、別のオープンソースソフトウェアのコンポーネントにセキュリティ上の脆弱性が発見された場合、セキュリティチームは迅速に対応し、そのコンポーネントが使用されているすべての箇所を特定して修正する必要があります。
あらゆる種類の組織にとって、脆弱性のあるソフトウェアコンポーネントを迅速かつ効果的に検出し、それによる脅威を是正するための包括的な手段が必要です。 単にシェルスクリプトを実行してファイル名を検索するだけでは、問題は解決しません。
このようなスクリプトは、作成したりセキュリティサイトからダウンロードしたりするのは簡単ですが、ソフトウェアの依存関係や組み込みコンポーネントを見落とす可能性が極めて高いです。 さらに悪いことに、ネットワーク上の重要なシステムでCPU使用率が急上昇してしまいます。 ITセキュリティチームは、調査対象のシステムをダウンさせることなく、迅速かつ徹底的に調査を行う必要があります。
Taniumがどのように役立つか
Taniumは、世界で最も要求が厳しく複雑な組織からも信頼されている、完全かつ正確で高精度なエンドポイントデータを提供する唯一のプラットフォームを通じて、 Log4j の脆弱性に対する防御を支援します。
のTaniumプラットフォーム（、 、）は、 のLog4j件の脆弱性のあるインスタンスを特定しました。
- Tanium Revealの は、サードパーティベンダーによって再パッケージ化されたものを含め、脆弱性のあるインスタンスをわずか数分で特定します。
- Tanium Interact を使用すれば、影響を受けたエンドポイントにタグを付け、復旧計画のワークフローを簡単に開始することができます。
また、Taniumは において、 への悪用兆候を検知します。
- Tanium Threat Responseの は、すべてのエンドポイントにわたる悪用試行を示すインシデントを検知します。 「Threat Response」を使用して、侵害の兆候やその他の不審な活動が見られるエンドポイントを隔離してください。
Taniumは、セキュリティチームが の脅威に対処し、 の脅威を排除するとともに、エンドポイントを侵害から守るための強化を支援します。
- Tanium Deployの は、ベンダーがパッケージをリリースするとすぐに、ソフトウェアのアップグレードを自動化します。
- Tanium Interact を使用すれば、システムごとのホットフィックスを簡単に適用できます。
また、Taniumは、 Log4j およびその他の脅威へのさらされ状況について、および で報告しています。
- Tanium Comply は、リアルタイムのデータを用いて、すべてのエンドポイントにおけるセキュリティ設定の不備やソフトウェアの脆弱性についてレポートを作成します。
- Tanium Asset をご利用いただくと、脆弱性のあるソフトウェアのバージョンを特定・追跡しながら、オンラインおよびオフラインのアセットに関する包括的なレポートを作成できます。
94％の企業において、 のエンドポイント管理ソリューション（ ）は、保護が必要なエンドポイントの最大20％を管理対象から漏らしています。 Taniumは、こうした見落とされがちなエンドポイントを特定し、 Log4j 種類の脅威を検知・軽減するための迅速かつ実用的なソリューションを提供します。
Tanium をご利用いただければ、この脆弱性がお客様の環境に影響を及ぼしているかどうかを判断するのに役立ちます。 弊社では、組織が「 Log4j 」を特定できるよう支援する機能を無料で提供しております。 今すぐお問い合わせください：。
