如何立即缓解Log4j风险并防范未来的漏洞利用

什么是Log4j漏洞？

过去几周对许多IT从业者来说并不轻松。12月9^日，Apache软件基金会面向Java应用程序的常用日志记录库Log4j被发现并披露存在一个严重的零日漏洞。数十万个网站和应用程序使用该软件记录日志，供开发人员调试网站，并跟踪应用程序和网页的其他趋势。据估计，数十万个开源软件项目使用了Log4j框架。开发人员经常使用这些开源工具构建软件，却不检查底层代码，而这些代码中可能已存在漏洞。

下面简要回顾一下Log4j漏洞，以及攻击者可利用该漏洞实施的攻击类型：

F5 Labs指出：“Log4j存在一个此前未被发现的安全漏洞。如果通过该网站发送给Log4j的数据包含特定字符序列，Log4j就会自动从外部网站获取其他软件并运行。攻击者一旦利用此漏洞，就能让运行Log4j的服务器执行任意软件，包括可完全控制该服务器的软件。这称为远程代码执行（RCE）攻击。”

Log4j极有可能导致业务中断

由于Log4j应用广泛，最初的CVE-2021-44228（昵称为Log4Shell）被认定为严重漏洞。该漏洞危害严重，加之补丁本身也存在漏洞，需要再次修补，IT专业人员可能需要一段时间才能处理完该漏洞造成的后果。此外，IT人员还需要检查Log4j的嵌套引用，也就是检查软件使用的任何库是否引用了Log4j库，因此Log4Shell可能会引发连锁效应。要确定Log4j漏洞和Log4Shell可能对贵组织造成的全部影响，或许并不容易。如果担心贵组织可能面临风险，可获取免费威胁评估。

如果尚未采取行动，任何组织缓解Log4j漏洞风险的首要任务都是打补丁！为运行Log4j的服务器打补丁。为使用运行Log4j的库的软件打补丁。务必打补丁，并持续更新补丁！

在贵组织继续全面开展发现和修补这些漏洞这一必要工作的同时，防范利用Log4Shell漏洞利用程序发起的攻击至关重要。如果攻击者已侵入贵组织的环境，还必须防止损害进一步蔓延。此外，1月4^日，美国联邦贸易委员会发布了一则通知，指出未修复Apache Log4J漏洞的组织可能面临法律诉讼，进一步凸显了Log4j问题的重要性。

即使已全面安装补丁，也要注意，Log4j并非首个此类漏洞，也不会是最后一个。因此，必须主动防范当前和未来的漏洞，同时制定相应计划，以便攻击者利用系统漏洞时保护网络。所幸，缓解策略相对容易实施。

在缓解Log4j等漏洞时，请务必做到以下几点：

1. 部署WAF，主动保护组织免受利用Log4Shell及其他同类漏洞发起的攻击
2. 部署防护措施，确保贵组织遭受攻击时，能够及时阻止漏洞利用，避免其对内部网络造成严重损害
3. 开展审计，确定该漏洞的完整影响范围
4. 修补所有使用或引用该漏洞的代码，并根据审计结果确保所有暴露风险均已修补

使用签名阻止已知攻击向量，缓解Log4j漏洞风险

如果不加以处理，网络攻击者可能会迅速控制数千个网站和在线应用，并窃取敏感数据。有效的解决方案是使用最新版本的Log4j修补应用代码，并通过Web应用防火墙（WAF）阻止恶意请求。

在为存在漏洞的服务器和软件栈安装必要的Log4j漏洞补丁期间，可能还需要保护组织免受Log4Shell攻击。此时，Web应用防火墙（WAF）也能提供帮助。

F5 WAF解决方案均基于F5稳定可靠的WAF引擎构建，并提供多种部署和使用模式，以更好地满足安全需求，帮助减轻Apache Log4j远程代码执行（RCE）漏洞对基础设施的影响。F5提供以下4种方案，利用可靠的WAF引擎保护应用：

1. F5 Advanced WAF
2. NGINX App Protect WAF
3. Silverline WAF
4. Volterra WAF

F5已发布一组特征，可阻止针对Log4j漏洞的已知攻击途径。F5 Advanced WAF和NGINX App Protect WAF均可使用针对Java命名和目录接口（JNDI）注入的特定特征及通用JNDI注入特征，阻止漏洞利用尝试。这些特征属于服务器端代码注入特征集。随着对该威胁及已知WAF绕过方法的持续调查，该特征集会不断更新并加入新规则，以有效检测Log4Shell攻击。F5 WAF由此实现“虚拟修补”。访问此处，获取针对BIG-IP和NGINX Application Security产品的缓解支持。

F5 Advanced WAF提供的高级防护远不止抵御OWASP十大风险，非常适合希望自行管理传统应用并定制精细控制措施、注重安全的组织。如果您已经是F5 BIG-IP客户，则您的网络中已部署功能强大的行业级WAF，即F5 WAF引擎。在BIG-IP上许可Advanced WAF，尤其是对于F5 BEST许可证持有者，可以自动缓解新出现和持续存在的威胁，提高安全防护成效，并启用机器学习和行为分析，实现无需人工干预的应用保护。

如果需要一款专为敏捷DevOps团队构建、用于保护现代基础设施或Kubernetes环境的自管理WAF解决方案，NGINX App Protect WAF将更适合您的需求。请访问使用NGINX缓解log4j漏洞博客，详细了解NGINX App Protect WAF。

如果希望获得与Advanced WAF或NGINX App Protect WAF相同的防护，同时需要或倾向于采用免运维方式，以便立即缓解漏洞利用，那么F5基于云的托管服务Silverline WAF可能非常适合。Silverline WAF是F5全面托管的WAF服务，可为混合云或多云环境中的应用提供全面防护，并由F5 SOC的安全专家提供支持。F5 Silverline SOC团队已实施必要的缓解措施，持续监控威胁，并针对Log4j等漏洞采取所需的缓解和防护措施。

我们的Volterra WAF平台也已更新特征码，以进一步降低因Log4j漏洞而面临的风险。这些特征码现已纳入默认WAF策略，Volterra WAF客户无需采取其他措施即可缓解Log4Shell攻击。对于需要采用SaaS部署的云原生WAF的用户，Volterra WAF是理想选择。

F5 WAF产品和服务包括F5 Advanced WAF、NGINX App Protect WAF、F5 Silverline WAF和Volterra WAF，可根据需要组合使用和部署，以有效保护应用，并抵御应用层威胁。

此外，仅凭单次攻击很难检测到高级攻击活动。F5 Threat Campaigns可与F5 Advanced WAF和/或NGINX App Protect WAF配合使用，通过准确检测并主动阻止当前攻击活动，保护应用和IT基础设施免受复杂攻击。F5 WAF本身可作为重要的安全控制点，而威胁情报则能将单次攻击事件与范围更广、手段更复杂的攻击活动关联起来，帮助抵御可能规避WAF基准安全策略的定向攻击。Threat Campaigns可轻松添加到Advanced WAF和NGINX App Protect WAF部署中，实现安全自动化，以检测并阻止威胁。

建立防御措施，应对系统遭入侵时的Log4Shell攻击

鉴于许多库都使用Log4j，贵组织可能难以立即确定该漏洞的完整影响范围。遗憾的是，在此期间，贵组织可能面临漏洞被利用的风险。

例如，攻击者可以构造一个发送至恶意端点的请求，以获取并部署恶意软件。攻击者也可以向服务器发送特制请求，使已遭入侵的服务器执行黑客发出的异常操作命令，进而危及贵组织。

即使攻击者已利用该暴露风险，仍有应对措施。攻击者执行利用Log4Shell的远程代码后，可以通过检查服务器出站流量，阻止该漏洞利用在网络内部传播。

假设在网络边缘部署一种解决方案，能够解密加密流量数据包并对其进行检查，就可以发现因Log4j漏洞而传播的恶意软件或恶意流量，并在其造成进一步损害之前将其阻止。例如，恶意软件可能会连接命令与控制服务器，以发起更多攻击，甚至窃取数据。由于服务器通常连接到互联网，服务器流量会通过TLS在您的环境中传输。因此，检查加密的服务器流量对于遏制并阻止威胁在已遭入侵且存在漏洞的环境中扩散至关重要。

使用F5 SSL Orchestrator等产品，可帮助开展解密后的出站流量分析，从而提高加密流量的可见性并阻止加密威胁。SSL Orchestrator可解密通过网络的流量（包括服务器流量），并将其发送到第三方检测服务（例如NGFW、WAF、SWG、IPS或DLP）。这些服务随后可以允许、阻止或绕过流量，确保入站加密恶意软件不会在整个网络中传播，同时防止发往C²（命令与控制）服务器的恶意流量或外泄数据离开您的环境。SSL Orchestrator经过专门设计和构建，可增强SSL/TLS基础设施，为安全解决方案提供SSL/TLS加密流量的可见性，并优化和充分利用现有安全投资，帮助保护网络免受级联攻击。

结论

Log4j并非第一个影响严重且波及广泛的漏洞，也不会是最后一个。目前防范Log4j漏洞利用至关重要（截至本文发布时，相关利用活动仍在持续），但加强应用和网络安全同样关键，这有助于保护资产免受下一个必然出现的严重漏洞影响。

要为下一个严重漏洞做好准备，需要采取以下四个步骤。理想情况下，应在漏洞公布前部署WAF，保护应用免受Log4Shell等已知攻击途径的侵害。此外，同样应尽量在漏洞公布前部署网络保护解决方案。这样，即使在修补过程中遭到攻击且攻击者成功入侵网络，也可以阻止其利用漏洞控制服务器或窃取数据。漏洞公布后，下一步是确定自身的暴露程度。（F5的免费威胁评估可以提供帮助！）接下来就是不断修补！落实这四项策略，有助于为下一个漏洞做好准备。

F5可帮助您制定全面的缓解计划，防止攻击者利用漏洞，并在漏洞被成功利用后保护您的环境免受进一步破坏或入侵。

如果对缓解Log4j漏洞或其他类似漏洞还有任何疑问，请联系F5销售团队，或发送电子邮件至sales@f5.com。如需及时了解F5针对Log4j采取的应对措施，请关注我们的博客。我们会在获得新信息后更新博客内容。

如果目前正遭受攻击并需要紧急协助，请致电安全运营中心（SOC）：(866) 329-4253 或 +1 (206) 272-7969。如需国际电话号码，请访问https://www.f5.com/attack。现有BIG-IP客户可联系安全事件响应团队。