Apache a publié Log4j 2.16.0 pour résoudre cette vulnérabilité (Mise à jour : 12/14). Nous vous recommandons d'appliquer cette mise à jour aux systèmes concernés et d'examiner les configurations Log4j pertinentes dans votre environnement pour identifier les flux de travail potentiels qui pourraient être sujets à cette vulnérabilité. Pour les applications tierces, contactez les fournisseurs d'applications pour connaître les étapes à suivre.

Il y a eu une multitude de méthodes observées où les attaquants peuvent utiliser Log4Shell. La portée et l'échelle de cette vulnérabilité sont vastes, et le seul moyen définitif d'être inoculé contre les risques consiste à la fois à appliquer les mises à jour des fournisseurs et à examiner les configurations des applications. Ces actions garantissent que la vulnérabilité est atténuée conformément aux recommandations d'Apache. Comme pour tous les principaux zero-days, la meilleure approche de sécurité consiste à supposer que vous avez déjà été analysé, que vous êtes ciblé et que vous appliquez des mesures de correction ou d'atténuation avec une priorité absolue. Nous travaillons sans relâche pour couvrir cette menace et nous assurer que les administrateurs de sécurité sont activés dans leurs enquêtes lors de l'évaluation de leurs environnements.

Les produits Trellix sont-ils concernés par cette vulnérabilité ?
Nous examinons tous les produits de notre portefeuille pour évaluer leur impact potentiel et le risque pour les clients. Le 13 décembre 2021, nous avons publié un bulletin de sécurité officiel pour fournir aux clients des conseils sur les produits concernés par cette vulnérabilité. L'objectif était de décrire les produits qui n'incluent pas le composant Log4j , ou qui ne sont pas autrement à risque.

Pour savoir si un produit de votre environnement est concerné, les solutions de contournement et les mesures d'atténuation, ainsi que d'autres informations relatives au produit, voir SB10377 - ENREGISTRÉ - Bulletin de sécurité - État du produit pour "Log4Shell" (CVE-2021-44228, CVE- 2021-4104, CVE-2021-45046, CVE-2021-45105 et CVE-2021-44832).

Remarque : Le contenu référencé est uniquement disponible pour les utilisateurs de ServicePortal consignés. Pour afficher le contenu, cliquez sur le lien et connectez-vous lorsque vous y êtes invité.

Les mises à jour continueront d'être fournies au fur et à mesure qu'elles seront disponibles.



Comment les solutions de produits Trellix peuvent-elles vous aider ?
Il est toujours conseillé, et une bonne pratique, de s'assurer que les logiciels et les systèmes d'exploitation sont tenus à jour sur les mises à jour disponibles et les mises à jour de sécurité au fur et à mesure de leur publication. Nous vous recommandons également d'évaluer et de mettre en œuvre des contre-mesures générales contre les menaces d'entrée de gamme, le cas échéant dans votre environnement. Pour plus d'informations, voir KB91836 - Contre-mesures pour les menaces vectorielles d'entrée. Bon nombre de ces méthodes, bien qu'elles ne corrigent pas la vulnérabilité elles-mêmes, peuvent gravement inhiber les capacités de post-exploitation des acteurs et fournir une visibilité permettant aux administrateurs de sécurité de réagir de manière appropriée.

Nous évaluons la couverture des produits dans notre portefeuille de solutions de sécurité. Cet article sera mis à jour au fur et à mesure que des opportunités de couverture et des contre-mesures seront identifiées.

Les fonctionnalités du produit sont actuellement disponibles pour les composants suivants :

Détection et réponse :

1. Vous devez appliquer le ExtraDAT fourni dans la section « Pièce jointe » de cet article pour fournir du contenu aux analyses de mémoire à la demande afin de détecter les chaînes associées à JNDI dans la mémoire de processus.
   
   IMPORTANT :Le 21 décembre, un nouveau ExtraDAT a été ajouté à cet article dans les archives EXTRA2.zip. Pour plus d'informations, consultez la section « Réglage de la règle experte pour votre environnement » ci-dessous.
   
2. Vous devez implémenter la règle experte dans votre stratégie de prévention contre les exploits ENS et la définir sur RAPPORT uniquement. La règle experte ne fournit pas à elle seule une protection suffisante pour être utile dans une capacité de bloc, et cela risque d'entraîner un conflit potentiel avec des processus légitimes dans votre environnement. La définition de la règle sur REPORT permet uniquement de s'assurer qu'elle déclenche les analyses de mémoire à la demande lorsque la règle est violée, sans risquer de bloquer involontairement.

• Il est important que cette configuration soit testée minutieusement pour garantir l'intégrité des règles et pour éviter tout conflit potentiel. Une fois que les tests ont confirmé que la règle est viable pour votre environnement, les clients sont encouragés à appliquer ce mécanisme aux plates-formes Windows Server où les applications basées sur Java sont potentiellement exposées à la connectivité réseau à partir d'Internet. Par exemple, Apache Tomcat, les serveurs Elastic Search, etc. Cela réduit la probabilité de faux positifs et les mesures de réglage supplémentaires que ces résultats pourraient nécessiter. L'application de ce contenu aux postes de travail Windows des utilisateurs généraux n'est pas recommandée.
• Nous examinons également les options permettant de rendre ce contenu disponible pour les clients MVISION. Abonnez-vous à cet article pour être informé des mises à jour.
• Cette configuration entraîne la génération de deux événements lorsqu'un comportement potentiellement malveillant est détecté. La première détection reflète le déclencheur de la règle de prévention contre les exploits. La deuxième détection reflète l'analyse de la mémoire à la demande détectant un comportement potentiellement malveillant. Si seul le premier événement est reçu, l'analyse de la mémoire n'identifie aucune chaîne malveillante associée à JNDI-dans la mémoire du processus. Si le deuxième événement est reçu, indiquant que l'analyse de la mémoire à la demande détecte une chaîne associée à JNDI-dans la mémoire du processus, les administrateurs doivent prendre des mesures immédiates sur le système identifié.
• L'image suivante illustre des exemples des deux différents types de menaces de détection possibles. Notez le type de menace Trojan, avec Threat Source Process "analyse à la demande". Ce type d'événement est l'événement de deuxième étape et indique que les administrateurs doivent prendre des mesures immédiates.

1. Archivez le fichier ExtraDAT dans ePO via la fonction « Archiver le package » de la page Référentiel maître. Ou, pour les points de terminaison de test ou non gérés, appliquez le ExtraDAT via la console ENS.
   Pour plus d'informations, voir KB67602 - Comment archiver et déployer un.DAT supplémentaire dans ePolicy Orchestrator et KB93673 - Appliquer un.DAT supplémentaire localement à l'aide du client Endpoint Security.
   Une fois archivé, le ExtraDAT reflète le nom suivant dans le Référentiel principal et dans les tâches clientExtraDAT (JNDI.Log4J-Exploit.a;JNDI.Log4J.Exploit.b;JNDI.Log4J.Exploit.c)
   
   REMARQUE : Nous proposons un outil pour fusionner ExtraDATs dans le Portail de support si vous recevez un autre pilote supplémentaire qui doit être appliqué à votre environnement.
   
2. Assurez-vous que les tâches de mise à jour du client vers les terminaux incluent le type de package ExtraDAT et que ces mises à jour sont appliquées aux systèmes. Une fois que ExtraDAT est déployé sur les systèmes censés recevoir la règle experte, continuez à modifier vos stratégies à l'étape 3.
3. Pour configurer la règle experte, accédez à votre stratégie Endpoint Security, Exploit Prevention. Ajoutez une règle experte configurée avec les paramètres suivants :
   

   Nom de la règle	Exploit JNDI Log4J
   Gravité	Elevé
   Action	Rapport
   Type de règle	Processus

4. Appliquez le contenu de règle suivant à la règle :
   
   Rule {
   Reaction SCAN ACTOR_PROCESS ScanAction REPORT
   Process {
   Include OBJECT_NAME {
   -v "java.exe"
   -v "javaw.exe"
   -v "tomcat*.exe"
   }
   Include AggregateMatch -xtype "dll1" {
   Include DLL_LOADED -name "java" { -v 0x1 }
   }
   Include AggregateMatch -xtype "dll2" {
   Include DLL_LOADED -name "jvm" { -v 0x1 }
   }
   }
   Target {
   Match PROCESS {
   Include OBJECT_NAME { -v "cmd.exe" }
   Include OBJECT_NAME { -v "powershell.exe" }
   Include OBJECT_NAME { -v "powershell_ise.exe" }
   Include OBJECT_NAME { -v "wscript.exe" }
   Include OBJECT_NAME { -v "cscript.exe" }
   Include OBJECT_NAME { -v "rundll32.exe" }
   Exclude PROCESS_CMD_LINE { -v "* chcp 1252 *" }
   }
   }
   }
5. Enregistrez la règle et la stratégie modifiées. Appliquez-le aux points de terminaison qui ont reçu le contenu ExtraDAT approprié.

• CLEAN_PROCESS - Essayez de nettoyer le processus. La détection est enregistrée dans le journal d'activité ODS.
• DELETE_PROCESS - Essayez de supprimer le processus. La détection est enregistrée dans le journal d'activité ODS.
• CLEAN_DELETE_PROCESS - Tout d'abord, essayez de nettoyer le processus ; en cas d'échec, essayez de supprimer le processus. La détection est enregistrée dans le journal d'activité ODS.
• REPORT - N'effectuez aucune action sur le processus détecté. La détection est consignée dans le journal d'activité ODS et un événement de détection est envoyé à ePO.
• REPORT_CLEAN_PROCESS - Essayez de nettoyer le processus. La détection est consignée dans le journal d'activité ODS et un événement de détection est envoyé à ePO.
• REPORT_DELETE_PROCESS - Essayez de supprimer le processus. La détection est consignée dans le journal d'activité ODS et un événement de détection est envoyé à ePO
• REPORT_CLEAN_DELETE_PROCESS - Tout d'abord, essayez de nettoyer le processus ; en cas d'échec ; essayez de supprimer le processus. La détection est consignée dans le journal d'activité ODS et un événement de détection est envoyé à ePO.

ENS, VirusScan Enterprise (VSE), Secure Web Gateway (SWG) :
le 12 décembre 2021, nous avons publié le contenu V3 AMCore 4648, MEDDAT 4818.0000et V2 DAT 10196. Les détections génériques sont fournies sous le titre Exploit-CVE-2021-44228.C. Ces détections identifient l'utilisation de jndi:ldaps, jndi:ldap, jndi:rmiet jndi:dns cordes. Les détections sont représentées sous la forme d'un « programme potentiellement indésirable », et il est recommandé de revoir les stratégies pour s'assurer que les analyseurs respectent les détections de programmes indésirables.
D'autres détections continuent d'être ajoutées, et il est recommandé aux clients de continuer à mettre à jour le contenu des terminaux et des passerelles en suivant notre cadence de publication quotidienne.

• Lorsque vous utilisez SWG comme proxy inverse, les systèmes derrière lui sont protégés contre les exploits Log4Shell dans les en-têtes et le corps HTTP (GAM détecte les modèles d'exploit dans une requête POST prête à l'emploi avec les récentes mises à jour DAT).
• Lorsque vous utilisez SWG comme proxy de transfert, les attaques provenant de votre propre réseau avec une requête POST via le proxy sont bloquées.

1. Placez le jeu de règles 2021-12-13_10-50_Search for Log4Shell.xml (disponible dans la section "Pièce jointe" de cet article) sur le bureau.
2. Cliquez sur Ajouter, puis sur Ensemble de règles de niveau supérieur.
3. Cliquez sur Importer un jeu de règles à partir de la bibliothèque de jeux de règles.
4. Cliquez sur Importer à partir du fichier.
5. Sélectionnez le fichier.
6. Résoudre tous les conflits.
7. Cliquez sur OK.
8. Déplacez la configuration de la règle vers un emplacement approprié dans la stratégie, idéalement là où l'analyse SSL est activée.
9. Cliquez sur Enregistrer les modifications.

• UDS : KB95092 - ENREGISTRÉ - Notes de publication de l'UDS d'urgence NSP - UDS-HTTP : Vulnérabilité d'exécution de code à distance Apache Log4j2 (CVE-2021-44228)
• ID d'attaque : attribué automatiquement
• Protocole d'attaque : HTTP
• Direction de l'attaque : client vers serveur
• Pour être inclus dans le prochain sigset régulier ? Oui
• Date de sortie : 12 décembre 2021
• Description : cette alerte indique une tentative d'exploitation d'une vulnérabilité d'exécution de code à distance dans Apache Log4j 2.
  

Chasse, évaluation de la vulnérabilité et enquête :

• MVISION Endpoint Detection and Response (EDR), Trellix Active Response (TAR) :
  vous pouvez utiliser les fonctionnalités «Real-Time Search  » et «Historical Search  » pour rechercher de manière proactive les systèmes vulnérables ou exploiter l'activité au sein de votre environnement.
  Nous maintenons un référentiel GitHub de requêtes 'Real-Time Search' utiles que les administrateurs pourraient trouver pour les aider dans leur enquête. Pour plus d'informations, voir Requêtes RTS GitHub.
  Les collecteurs intégrés peuvent permettre de rechercher les éléments suivants :
  
  L'auto-évaluation des versions vulnérables signalées de Log4j par hachage peut être effectuée avec une requête fondamentale. Par exemple :
  
  HostInfo os, hostname, platform
  AND Files sha256, full_name
  WHERE HostInfo platform equals "Linux"
  AND Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "58e9f72081efff9bdaabd82e3b3efe5b1b9f1666cefe28f429ad7176a6d770ae"
  OR Files sha256 equals "ed285ad5ac6a8cf13461d6c2874fdcd3bf67002844831f66e21c2d0adda43fa4"
  OR Files sha256 equals "dbf88c623cc2ad99d82fa4c575fb105e2083465a47b84d64e2e1a63e183c274e"
  OR Files sha256 equals "a38ddff1e797adb39a08876932bc2538d771ff7db23885fb883fec526aff4fc8"
  OR Files sha256 equals "7d86841489afd1097576a649094ae1efb79b3147cd162ba019861dfad4e9573b"
  OR Files sha256 equals "4bfb0d5022dc499908da4597f3e19f9f64d3cc98ce756a2249c72179d3d75c47"
  OR Files sha256 equals "473f15c04122dad810c919b2f3484d46560fd2dd4573f6695d387195816b02a6"
  OR Files sha256 equals "b3fae4f84d4303cdbad4696554b4e8d2381ad3faf6e0c3c8d2ce60a4388caa02"
  OR Files sha256 equals "dcde6033b205433d6e9855c93740f798951fa3a3f252035a768d9f356fde806d"
  OR Files sha256 equals "85338f694c844c8b66d8a1b981bcf38627f95579209b2662182a009d849e1a4c"
  OR Files sha256 equals "db3906edad6009d1886ec1e2a198249b6d99820a3575f8ec80c6ce57f08d521a"
  OR Files sha256 equals "ec411a34fee49692f196e4dc0a905b25d0667825904862fdba153df5e53183e0"
  OR Files sha256 equals "a00a54e3fb8cb83fab38f8714f240ecc13ab9c492584aa571aec5fc71b48732d"
  OR Files sha256 equals "c584d1000591efa391386264e0d43ec35f4dbb146cad9390f73358d9c84ee78d"
  OR Files sha256 equals "8bdb662843c1f4b120fb4c25a5636008085900cdf9947b1dadb9b672ea6134dc"
  OR Files sha256 equals "c830cde8f929c35dad42cbdb6b28447df69ceffe99937bf420d32424df4d076a"
  OR Files sha256 equals "6ae3b0cb657e051f97835a6432c2b0f50a651b36b6d4af395bbe9060bb4ef4b2"
  OR Files sha256 equals "535e19bf14d8c76ec00a7e8490287ca2e2597cae2de5b8f1f65eb81ef1c2a4c6"
  OR Files sha256 equals "42de36e61d454afff5e50e6930961c85b55d681e23931efd248fd9b9b9297239"
  OR Files sha256 equals "4f53e4d52efcccdc446017426c15001bb0fe444c7a6cdc9966f8741cf210d997"
  OR Files sha256 equals "df00277045338ceaa6f70a7b8eee178710b3ba51eac28c1142ec802157492de6"
  OR Files sha256 equals "28433734bd9e3121e0a0b78238d5131837b9dbe26f1a930bc872bad44e68e44e"
  OR Files sha256 equals "cf65f0d33640f2cd0a0b06dd86a5c6353938ccb25f4ffd14116b4884181e0392"
  OR Files sha256 equals "5bb84e110d5f18cee47021a024d358227612dd6dac7b97fa781f85c6ad3ccee4"
  OR Files sha256 equals "ccf02bb919e1a44b13b366ea1b203f98772650475f2a06e9fac4b3c957a7c3fa"
  OR Files sha256 equals "815a73e20e90a413662eefe8594414684df3d5723edcd76070e1a5aee864616e"
  OR Files sha256 equals "10ef331115cbbd18b5be3f3761e046523f9c95c103484082b18e67a7c36e570c"
  OR Files sha256 equals "dc815be299f81c180aa8d2924f1b015f2c46686e866bc410e72de75f7cd41aae"
  OR Files sha256 equals "9275f5d57709e2204900d3dae2727f5932f85d3813ad31c9d351def03dd3d03d"
  OR Files sha256 equals "f35ccc9978797a895e5bee58fa8c3b7ad6d5ee55386e9e532f141ee8ed2e937d"
  OR Files sha256 equals "5256517e6237b888c65c8691f29219b6658d800c23e81d5167c4a8bbd2a0daa3"
  OR Files sha256 equals "d4485176aea67cc85f5ccc45bb66166f8bfc715ae4a695f0d870a1f8d848cc3d"
  OR Files sha256 equals "3fcc4c1f2f806acfc395144c98b8ba2a80fe1bf5e3ad3397588bbd2610a37100"
  OR Files sha256 equals "057a48fe378586b6913d29b4b10162b4b5045277f1be66b7a01fb7e30bd05ef3"
  OR Files sha256 equals "5dbd6bb2381bf54563ea15bc9fbb6d7094eaf7184e6975c50f8996f77bfc3f2c"
  OR Files sha256 equals "c39b0ea14e7766440c59e5ae5f48adee038d9b1c7a1375b376e966ca12c22cd3"
  OR Files sha256 equals "6f38a25482d82cd118c4255f25b9d78d96821d22bab498cdce9cda7a563ca992"
  OR Files sha256 equals "54962835992e303928aa909730ce3a50e311068c0960c708e82ab76701db5e6b"
  OR Files sha256 equals "e5e9b0f8d72f4e7b9022b7a83c673334d7967981191d2d98f9c57dc97b4caae1"
  OR Files sha256 equals "68d793940c28ddff6670be703690dfdf9e77315970c42c4af40ca7261a8570fa"
  OR Files sha256 equals "9da0f5ca7c8eab693d090ae759275b9db4ca5acdbcfe4a63d3871e0b17367463"
  OR Files sha256 equals "006fc6623fbb961084243cfc327c885f3c57f2eba8ee05fbc4e93e5358778c85"
  
  Hachages de fichiers pour Log4j 2.x versions provenant de GitHub.
  
  
  Identifiez les systèmes avec des versions vulnérables de Log4j installées par nom de fichier. Par exemple : Files et HostInfo hostname où Files name contient log4j.
  Les noms de fichiers peuvent différer d'une version à l'autre, ou si Log4j est fourni via une solution fournisseur.
  
  
  
  

  
  Identifiez les tentatives de communication sortantes vers des domaines d'appel connus.

  
  Identifiez les indicateurs de compromission associés aux charges utiles d'exploitation.
  

  REMARQUE : sous Linux, les fichiers .JAR sont exclus du hachage de fichiers par défaut. Pour fournir une visibilité précise dans votre environnement, supprimez .JAR de vos paramètres EDR Policies File Hashing, Ignore Extensions on Linux. Cette modification ne nécessite pas que les systèmes de fichiers soient complètement remaniés.
  
  
  

• SIEM
  Nous avons publié la version Exploit Content Pack 4.1.0, qui est maintenant disponible en téléchargement depuis le serveur de règles. Ce pack de contenu contient une nouvelle alarme intitulée "Exploit - Possible Log4Shell Exploit". Cette alarme examine les champs URL et User_Agent de la chaîne jndi spécifique pour indiquer une éventuelle tentative d'exploitation.
  
  Pour plus d'informations sur le pack de contenu SIEM Exploit 4.1.0, voir KB85403 - REGISTERED - Packs de contenu SIEM pour Exploit.
  
  Remarque : Le contenu référencé est uniquement disponible pour les utilisateurs de ServicePortal consignés. Pour afficher le contenu, cliquez sur le lien et connectez-vous lorsque vous y êtes invité.

Renseignements sur les menaces :

• Aperçus de Trellix :

Fonctionnalités du produit jugées hors de portée :

• Prévention contre les exploits ENS. Pour plus de détails sur l'utilisation de la fonctionnalité Exploit Prevention Expert Rule avec les analyses de mémoire à la demande, consultez la section « Détection et réponse » ci-dessus.