Apache Log4J漏洞：问卷和VRM提示

Apache Log4j 2 是一个基于 Java 的日志记录库，于 2021 年 12 月 9 日受到零日漏洞的影响。该漏洞称为 Log4Shell，由美国国家标准与技术研究院（NIST）确定为 CVE-2021-44228，允许网络犯罪分子控制易受攻击的系统和服务器。

许多 Web 应用程序、开源云平台和服务提供商都使用 Log4j。这种广泛使用可能会使组织的内部攻击面和第三方生态系统暴露于 Log4Shell 漏洞中。为了有效地保护关键系统和数据，您的组织需要评估其内部对 Log4j 的使用情况及其供应商对日志记录库的使用情况。

继续阅读以发现您的供应商风险管理团队可以用来确定供应商如何在您的第三方供应链中使用 Log4j 以及这如何影响您组织的安全状况的 11 个问题。

了解有关 UpGuard Vendor Risk 的更多信息：全球 #1 供应商风险管理解决方案>

Log4Shell 漏洞摘要

2021 年 12 月，安全研究人员宣布了 Apache Log4j 框架中的一个严重安全漏洞，允许恶意黑客通过一次代码注入来破坏易受攻击的系统。

在影响的最初几天，安全研究人员每小时发现大约 1000 万次 Log4Shell 漏洞利用尝试。各个行业都容易受到 Log4Shell 的攻击，因为许多数字产品和软件（包括 Microsoft 和 IOS 应用程序）都使用 Java。

零售业受 Log4Shell 漏洞的影响最大，但其他行业（包括技术、金融服务、制造和医疗保健）也受到影响。

修补 Log4J 漏洞

Apache 在 2021 年 12 月意识到该漏洞后，迅速开始为 Log4Shell 开发补丁。但是，鉴于 Log4j 的广泛使用，它仍然存在重大的安全风险。

任何早于 2.17.1 的 Log4j 2 版本都容易受到 Log4Shell 漏洞的影响。为了有效地保护自己免受此漏洞的影响，组织必须解决其内部基础设施和第三方生态系统中使用的任何易受攻击的 Log4j 2 版本。

安全团队可以遵循以下协议来解决此漏洞：

更新到最新版本的 Log4j 2
使用扫描程序运行漏洞扫描
更新 Java 系统属性
禁用 JNDI
向供应商发送 Apache Log4j 调查问卷
采用多因素身份验证

推荐阅读： Log4Shell：Log4J 漏洞清晰解释

要向供应商询问的 11 个 Apache Log4J 问题

安全调查问卷是组织评估其第三方供应商安全状况的最有效方法之一。您的组织可以使用以下 11 个问题来创建安全问卷，以识别其整个供应商生态系统中任何过时的 Log4j 版本。

了解 UpGuard 强大的安全调查问卷库>

1. 您的组织是否运行任何版本的 Log4j 2？

是的
不
[打开供应商评论的文本字段]

2. 您的组织是否已按照 Apache Software Foundation 和 CISA 的建议更新到 Log4j 2.17.1？

是的，该组织已更新到 Log4j 2.17.1
否，组织无法更新到 Log4j 2.17.1（请在下面说明）
组织尚未更新到 Log4j 2.17.1
[打开供应商评论的文本字段]

3. 如果没有，您的组织当前运行的 Log4j 2 版本是什么？

该组织使用 2.7 到 2.14.1 之间的 Log4j 2 版本（继续问题 3）
该组织使用介于 2.0-beta9 和 2.10.0 之间的 Log4j 2 版本（继续问题 4）
该组织使用 Log4j 2。17.1

4. 如果您的组织使用 2.7 和 2.14.1 之间的 Log4j2 版本，请实施以下缓解措施：

a）系统属性 log4j2.formatMsgNoLookups 或环境变量 LOG4J_FORMAT_MSG_NO_LOOKUPS 已设置为 true

和

b）所有 PatternLayout 模式都已修改为 %m{nolookups}，而不仅仅是 %m

组织已实施预防措施 a）
组织已实施预防措施 b）
组织已实施预防措施 a）和 b）
[打开供应商评论的文本字段]

5. 如果您的组织使用 2.0-beta9 和 2.10.0 之间的 Log4j2 版本，则已实施以下缓解措施：

a）系统属性 log4j2.formatMsgNoLookups 或环境变量 LOG4J_FORMAT_MSG_NO_LOOKUPS 已设置为 true

和

b） JndiLookup 类已从路径中撤回：zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class。

组织已实施预防措施 a）
组织已实施预防措施 b）
组织已实施预防措施 a）和 b）
[打开供应商评论的文本字段]

6. 您的组织是否使用 CISA 的 GitHub 存储库来识别易受 Log4Shell 攻击的资产？

是的
不
[打开供应商评论的文本字段]

7. 您的组织是否发现了 Log4Shell 漏洞导致的任何入侵指标（IOC）？

是（请在下面列出）
不
[打开供应商评论的文本字段]

8. Log4Shell 漏洞对您的组织有何影响？

该漏洞并未影响组织，我们也没有受到任何网络攻击或漏洞导致的安全问题
该漏洞对组织造成了中等影响，但没有影响关键系统、基础设施、服务或数据（请在下面解释）
该漏洞直接影响了组织的关键系统、基础设施、服务和/或数据（请在下面解释）
[打开供应商评论的文本字段]

9. 您的组织是否有应对网络威胁的事件响应计划？

是的，该组织已制定事件响应计划
该组织正在最终确定一项专门的事件响应计划
否，组织没有制定事件响应计划
[打开供应商评论的文本字段]

10. 您的组织多久部署一次深入的风险评估来评估内部安全漏洞？

每年
每六个月
根据需要，或者我们没有安排风险评估的节奏
[打开供应商评论的文本字段]

11. 谁是贵组织的联系人，用于处理其他问题和疑问？

名字：
标题：
电子邮件：
电话：
[打开供应商评论的文本字段]

如何修复供应商风险

如果您的组织部署了 Apache Log4j 安全调查问卷，并发现供应商正在运行易受攻击的 Log4j 2 版本，则必须立即修复风险。如果暴露了多个供应商，您的组织应根据供应商重要性确定修复工作的优先级。

根据供应商的安全意识水平，您的组织可能需要与供应商的安全团队合作，以部署必要的更新和补救协议。

您的团队在识别出暴露的供应商后，可以遵循以下补救工作流程：

与已确定的联系人沟通并请求补救
建议缓解程序，例如删除 JNDI 查找、更新到最新版本的 Log4j、使用 CISA 的 GitHub 存储库清点供应商，以及 Apache 和 CISA 推荐的其他程序
传达补救失败的期望、时间表和咨询后果
发送新的安全调查问卷以验证风险是否已得到修正

推荐阅读：在 2024 年选择自动化供应商风险补救软件

UpGuard 是一家网络安全公司，致力于帮助安全团队保护其内部和第三方攻击面。UpGuard 的两款产品 Vendor Risk 和 BreachSight 使组织能够改善其网络卫生，评估各个供应商的安全状况，并部署强大的供应商风险管理和网络风险管理协议。

UpGuard 的漏洞扫描和漏洞评估功能使组织能够识别可能影响其安全态势并导致恶意软件或勒索软件等网络攻击的各种漏洞。

UpGuard Vendor Risk 和 BreachSight 包括以下功能：

数据泄漏检测：通过及时检测数据泄露来保护您的品牌声誉、知识产权和客户数据
持续监控：获取实时更新并管理整个攻击面的风险，包括域、IP、应用程序、端点、插件和防火墙
减少攻击面：通过发现可利用的漏洞和存在拼写错误风险的域来减少攻击面
共享安全配置文件：创建 UpGuard 共享配置文件以消除回答安全问卷的麻烦
工作流和豁免：简化修复工作流，快速豁免风险，并响应安全查询
报告和见解：访问为不同利益相关者量身定制的报告，并查看有关外部攻击面的信息
供应商安全调查问卷：自动执行安全调查问卷，以更深入地了解您的供应商关系和第三方安全状况
安全评级：使用我们的数据驱动、客观和动态安全评级来评估各个供应商的安全状况
风险评估：简化风险评估工作流程，收集证据，并快速请求补救

Apache Log4J漏洞：问卷和VRM提示

Log4Shell 漏洞摘要

修补 Log4J 漏洞

相关 Log4J 漏洞

要向供应商询问的 11 个 Apache Log4J 问题

如何修复供应商风险

相关文章