新たに発見されたLog4Shellのゼロデイ攻撃による影響の大きさはまだ明らかになっていません。多くの組織は、報告された大規模な攻撃からサーバーを守るため、急いでパッチを適用しました。しかし、サーバーにパッチを適用するだけでは、この重大な脆弱性を完全に防ぐことはできません。 攻撃対象 既に説明済みです。更新されたlog4jバージョンを実行することで将来の攻撃を防ぐことは確かに可能ですが、一部のサーバーが侵害されている可能性についても考慮する必要があります。 事前の パッチ適用に向けて。この記事では、このシナリオの実現可能性について説明し、それを未然に防ぐための具体的な対策案を提示します。
Log4Shellの実地活動概要
Apache Log4jは、エンタープライズアプリケーションで広く使用されているオープンソースのJavaベースのログユーティリティです。Log4Shell（CVE-2021-44228）に関する最初の報告は12月9日に遡ります。これらの報告に続いて、新しいエクスプロイトの亜種が非常に急速に開発され、元のエクスプロイトの新しい亜種が24時間以内に60以上も急速に登場しました。【1] また、この24時間だけでも、世界中の組織に対する攻撃が急増しており、様々なセキュリティプロバイダーが、脆弱性を悪用しようとするハッカーによって顧客の大部分が標的にされたと報告している。 【2] 現在、この脆弱性は一般的なマルウェアの武器庫に急速に組み込まれつつある。【3] また、高度な国家主導型攻撃グループによっても使用されていると報告されている。
違反があったと想定する – 反証されるまでは攻撃されたとみなす
これらの攻撃の膨大な量は、脆弱なサーバーにパッチを適用したセキュリティ関係者にとって大きな課題となっています。脆弱性の悪用が急速に発展し、利用されている現状を考えると、パッチ適用前にサーバーが攻撃の標的になっていた可能性は十分にあります。このような脅威が確実に否定されるまでは、サーバーが侵害されたものとして行動することが、セキュリティのベストプラクティスであると私たちは強く信じています。この脅威に効率的に対処するための最善の方法を理解するために、侵害が発生した場合の様々な影響について検討してみましょう。
静かな侵害後に起こりうる第2段階の脅威シナリオ
適切な時期が来るまで身を潜めておく
Log4Shell 単体では、攻撃者が環境内に最初の足がかりを築くことを可能にします。この足がかりは攻撃者の目的ではなく、むしろ重要な予備段階です。つまり、攻撃者が実際に脆弱性を悪用して Web に公開されているサーバーの 1 つに侵入した場合、攻撃者が自らの注意を引く動機はありません。むしろ、攻撃者は目立たないようにゆっくりと活動し、追加の認証情報を収集し、攻撃の実際の目的を実行する前に、ネットワーク内の他のマシンにまで範囲を広げる可能性が高いです。よく見られるエクスプロイトから判断すると、この目的が攻撃者である可能性は高いです。 ランサムウェア それは、事業運営を停止させるような攻撃であるだけでなく、知的財産や従業員または顧客の個人情報の窃盗である可能性もあります。
アクセス権を販売する
あるいは、攻撃者はネットワークへのアクセス権を自ら利用しない可能性もある。その代わりに、ダークウェブ上でサーバーへのアクセス権を第三者に販売するかもしれない。
最終結果：横方向の移動とランサムウェアの拡散への曝露
いずれにせよ、攻撃者があなたの王国の鍵、つまり標準ユーザーと管理者ユーザーのユーザー名と認証情報を持っている可能性が非常に高いです。これは、最初の侵害が単一のマシンに損害を与える一方で、 横移動 地域的な出来事を企業全体のリスクに変えてしまう要因の一つ。 侵害された資格情報 攻撃者がまさにそうできるようにしてしまう。
クリスマス効果
攻撃者は祝日や週末を狙う傾向があることを忘れてはなりません。特にクリスマス休暇は、従業員の認証情報が不正に入手される危険性が非常に高い時期です。上記のような攻撃者は、いずれも攻撃のタイミングを見計らって行動を控えると考えられます。クリスマス休暇はまさに絶好の機会となるでしょう。
Silverfort 認証情報が漏洩した場合のベストプラクティス推奨事項
上記すべてを踏まえ、サーバーの一部が攻撃者によって侵害された、あるいは現在も侵害されている可能性に積極的に対処するための、実行可能なベストプラクティスをまとめました。 Log4Shellの脆弱性を悪用した:
- エンドツーエンドのパッチ
- 脆弱なシステムはすべてパッチを適用し、特にインターネットに接続されているサーバーには十分な注意を払ってください。
- ネットワークレベルとIDレイヤーの両方でパッチを適用できないアプリケーションを分離してください。
- 攻撃者が 侵害された資格情報 さらなる悪意のあるアクセス
- 必要とする MFA 環境内のすべてのリソースのすべての管理者アカウントに対して。また、MFA保護が、コマンドラインユーティリティなどのアクセスインターフェイスにも適用されることを確認してください。 PsExecはPowerShellなど、RDPやデスクトップログインだけにとどまらない。
- 制限します サービスアカウント 許可されたコンピュータからのみ操作を行うように設定してください。これは、これらのアカウントの予測可能で反復的な動作に基づいて行うべきです。
- 単一ユーザーからの同時アクセス要求の急増など、不審なイベントや悪意のあるイベント、あるいはユーザーアカウントの通常の活動からの逸脱がないか、環境を注意深く監視してください。
これらの推奨事項に従うことで、既存のLog4Shellベースの侵害に対する耐性が大幅に向上し、攻撃者が盗んだ認証情報を利用してさらなる悪意のあるアクセスを行うことを阻止できます。
その Silverfort 統合ID保護プラットフォームにより、ユーザーは拡張できます リスクベース認証 また、あらゆるユーザー、サービス、システムに対してMFAを適用し、侵害された認証情報を使用して標的のリソースにアクセスするIDベースの攻撃に対するプロアクティブな保護を提供します。これには、エンドツーエンドのMFA保護と、オンプレミスとクラウドの両方におけるすべての認証の継続的な監視が含まれます。詳細については、 Silverfort こちら.
