此前，在Log4j Java 日志記錄包中發(fā)現(xiàn)的漏洞已經(jīng)讓全世界的安全專業(yè)人員感到頭疼，在 2022年1月進行的最新Neustar國際安全委員會 (NISC) 調(diào)查中，多達75%的報告受到 Log4j 的影響，21%的則表示影響很大。

Log4j 漏洞降低了安全專業(yè)人員對開源工具的信任

調(diào)查顯示：Log4j 最常見的影響是IT 和安全團隊需要在假期工作以評估風(fēng)險并進行關(guān)鍵更改以保護基礎(chǔ)設(shè)施和數(shù)據(jù) (52%)，然后重新評估軟件供應(yīng)鏈安全實踐 (45% ) 和軟件購買決策 (44%)。很大一部分受訪者也開始重新評估現(xiàn)有的供應(yīng)商關(guān)系 (35%)，或者表示該漏洞降低了他們對開源工具的信任 (34%)。

87% 的受訪者表示，鑒于 Log4j 帶來的網(wǎng)絡(luò)風(fēng)險水平，政府監(jiān)管機構(gòu)(如美國聯(lián)邦貿(mào)易委員會)應(yīng)對未能修補漏洞的組織采取法律行動。用一位安全專家的話說“這些組織可能無法保護或保護重要的客戶數(shù)據(jù)，這讓每個人都處于危險之中。我們應(yīng)該控制客戶數(shù)據(jù)的最終位置。聯(lián)邦政府應(yīng)該執(zhí)行這種緩解措施，因為如果他們不這樣做，誰會這樣做?”

“Log4j 威脅的消息使全球的安全和應(yīng)用程序團隊陷入了瘋狂的活動——清點他們面向互聯(lián)網(wǎng)的系統(tǒng)，檢查 Log4j，檢查修訂級別，并實施緊急修補——而許多組織采取了Neustar Security Services解決方案”高級副總裁Carlos Morales說。

用于處理零日威脅的虛擬補丁

對于已經(jīng)部署了Web 應(yīng)用防火墻(WAF) 技術(shù)或從其云安全提供商處簽約 WAF 功能的公司，可能有一個簡單的解決方案來處理像 Log4j 這樣的零日威脅：虛擬補丁。

“虛擬補丁可以誘使任何潛在的攻擊者認為你的應(yīng)用程序不容易受到威脅?！蹦R斯補充道。“WAF 解決方案與 Web 應(yīng)用程序流量同步部署，并充當(dāng)應(yīng)用程序客戶端和源服務(wù)器之間的反向代理。WAF 終止與客戶端的連接，確?？蛻舳藳]有執(zhí)行任何惡意操作，然后創(chuàng)建與服務(wù)器的單獨連接，在兩者之間橋接數(shù)據(jù)。由于它正在終止客戶端流量，因此 WAF可以代表源服務(wù)器并掩蓋服務(wù)器上存在的任何漏洞。虛擬修補是完成此操作的方法之一?！?/p>

除了 Log4j，在2021年11月和2021年12月的報告期內(nèi)，被調(diào)查的安全專業(yè)人員還被問及他們最關(guān)心的其他問題。21% 的受訪者將分布式拒絕服務(wù)(DDoS) 列為最關(guān)心的問題，其次是勒索軟件和系統(tǒng)妥協(xié)均為 18%。

勒索軟件、DDoS 攻擊和有針對性的黑客攻擊是報告期內(nèi)最有可能被視為增加的威脅。在此期間，組織主要應(yīng)對威脅的能力是供應(yīng)商或客戶冒充、有針對性的黑客攻擊和勒索軟件。

深入研究調(diào)查參與者最關(guān)心的問題——DDoS 攻擊——的更多細節(jié)顯示，84% 的企業(yè)曾在某個時候受到 DDoS 攻擊。57% 的響應(yīng)組織表示將其 DDoS 緩解措施外包，60% 的組織表示啟動緩解措施通常需要 60 秒到 5 分鐘。