LOG4j: vulnerabilità Log4Shell e come proteggersi
Come verificare se i tuoi sistemi utilizzano la libreria log4j, come è stato possibile un difetto simile e tutti i modi per proteggersi.
Log4j: la libreria Java è vulnerabile.
Cloud, tool per sviluppatori web e sicurezza compromessi dalla falla Log4Shell.
Dopo la recentissima scoperta del “difetto” della libreria Java che monitora i log e i messaggi di errore delle App, il mercato dell’informatica ha un nuovo obiettivo in termini di protezione e sicurezza.
Scopriamo insieme in questo articolo come verificare se i tuoi sistemi informatici utilizzano la libreria Log4j e come aumentare le barriere di protezione e sicurezza.
Cos’è Log4j
Log4j è la libreria Java sviluppata dalla Apache Software Foundation, creata con lo scopo di monitorare i file di log dei web server e delle applicazioni.
Nata con il triplice scopo di:
- segnalare i messaggi di errore
- stilare statistiche
- favorire il ripristino di situazioni precedenti
piccole e grandi aziende, e-commerce più o meno strutturati hanno adottato questa piattaforma nei loro sistemi per ottimizzare le performance e lavorare con un controllo maggiore.
Cos’è Log4Shell di Log4J
Log4Shell è il nome che è stato dato al difetto di vulnerabilità della libreria Log4j.
Definita anche come vulnerabilità zeroday, la falla di esecuzione, prontamente segnalata da numerose agenzie di sicurezza informatica come CISA (Cybersecurity and Infrastructure Security Agency) e NCSC (National Cyber Security Center), ha destato non poche preoccupazioni nel mondo informatico.
Una scoperta pericolosa che, in mano a criminali informatici, diventa uno strumento per il furto di dati sensibili e per eseguire attività da remoto in reti di altri.
Chi colpisce Log4Shell di Log4j
Potenzialmente ogni dispositivo con accesso ad Internet diventa vulnerabile se nel sistema è presente la libreria Log4j.
Se i tuoi sistemi aziendali utilizzano Java sui server e utilizzi framework basati su Java, un check di controllo potrebbe essere un buon punto di partenza per prevenire eventuali fonti di disturbo e pericolo per la propria sicurezza informatica.
Come capire se un sistema utilizza la libreria Log4j
Prima di capire come proteggersi da eventuali fragilità dei sistemi come appunto Log4Shell, è utile capire come verificare se i sistemi aziendali utilizzano la libreria Log4j.
Partiamo da un presupposto: la libreria è presente nella quasi totalità delle applicazioni aziendali, nei server Java e in tutte le piattaforme di Apache Software Foundation.
Per un’ulteriore verifica della presenza di Log4j nei tuoi sistemi, richiedi assistenza gratuita qui
La domanda che in molte aziende si pongono è la seguente: “come è stato possibile avere in una piattaforma un difetto che genera un così alto livello di minaccia”?.
Ecco il motivo per cui la libreria è così vulnerabile: come un errore di ortografia per cui si rischiava di essere bocciati, una registrazione di una stringa di codice con uno script dannoso rischia un attacco informatico da parte degli avvezzi alla criminalità informatica.
Dall’obiettivo di registrare i messaggi di errore al rappresentare una seria minaccia informatica il passaggio è stato immediato: usato da tutti (ma nato forse più come un hobby che come abilità reale degli sviluppatori) Log4j sta facendo trascorrere notti insonni ai fornitori di servizi informatici.
Insomma una libreria gratuita, sviluppata da tecnici di buona volontà, sconosciuta fino a qualche giorno fa dalle aziende ma famosissima tra web developer come strumento di logging, lettura di eventuali malfunzionamenti e per riscontrare errori di programmazione.
Come proteggersi dalla vulnerabilità Log4j
In tanti a proporre patch di aggiornamento: in pochi a spiegarci cosa fare davvero per aumentare e/o ripristinare i livelli di sicurezza sui server aziendali.
Nonostante si legga che “patchare” il difetto sia facilmente conseguibile con un sistema di Vulnerability Scanner, la realtà dei fatti è ben più complessa.
E’ infatti indispensabile conoscere esattamente cosa c’è nella base di codice importata, scrivendo anche tutte le applicazioni dell’azienda, incluse quelle Legacy: il che puo’ diventare estremamente complesso da riscontrare anche per gli sviluppatori più esperti all’interno di un contesto aziendale.
Questo perchè l'”attacco informatico” è relativo alla singola libreria, rendendo la vulnerabilità simile ad un supply chain attack.
Chiarito pertanto che l’intervento con un patch di aggiornamento è a carico dei gestori di backend, scopriamo quali sono i comportamenti da adottare per proteggersi dalla minaccia di zeroday.
Soprattutto dopo la notizia ufficiale che il 40% delle reti aziendali è stata presa di mira.
Lo schema in 3 step per eliminare le minacce di Log4j.
Con lo scopo di semplificare il lavoro anche ai più esperti del settore, mentre in tanti hanno postato e twittato commenti su quella che è stata definita apocalisse informatica, in Gruppo Galagant abbiamo stilato la classifica dei 3 comportamenti da mettere in pratica per proteggere la tua azienda se i tuoi server utilizzano la libreria java.
1) Identificare in azienda tutti i dispositivi con accesso ad Internet che utilizzano la libreria Log4j e ricorrere ad un immediato aggiornamento alla versione 2.15.0, applicando i suggerimenti dei fornitori;
2) provvedere all’utilizzo di un vulnerability scanner in grado di leggere le “falle” di sistema in modo tempestivo e per agire preventivamente; con questo scanner sarà infatti possibile leggere se il software vulnerabile è presente in qualche punto della rete;
3) valutare l’implementazione degli indici di compromissione nei propri sistemi di sicurezza per mitigare gli eventuali attacchi. Per consultare gli elenchi guarda qui.
Ultimo consiglio, ma non meno importante, restare aggiornati sulle novità in ambito informatico per riscontrare tempestivamente futuri pericoli e prevenire attacchi spiacevoli alla propria sicurezza.
Se vuoi richiedere un check up sui tuoi sistemi informatici e ricevere assistenza su come proteggersi da Log4Shell e altri pericoli di attacchi alla Cybersecurity, noi siamo pronti a guidarti per integrare i tuoi sistemi, trasformare la tua azienda e vincere le sfide del futuro.
