Apache lançou Log4j 2.16.0 para resolver esta vulnerabilidade (Atualizado: 14/12). Recomendamos aplicar esta atualização aos sistemas afetados e revisar as configurações Log4j relevantes em seu ambiente para identificar possíveis fluxos de trabalho que podem estar sujeitos a esta vulnerabilidade. Para aplicativos de terceiros, entre em contato com os fornecedores de aplicativos sobre as etapas para fazer isso.

Tem havido uma infinidade de métodos observados onde os invasores podem usar Log4Shell. Há um amplo escopo e escala dessa vulnerabilidade, e a única maneira definitiva de se proteger do risco é aplicar as atualizações do fornecedor e revisar as configurações do aplicativo. Essas ações garantem que a vulnerabilidade seja mitigada de acordo com as recomendações do Apache. Como acontece com todos os principais zero-days, a melhor abordagem de segurança é presumir que você já foi verificado, está sendo alvo e está aplicando etapas de correção ou mitigação com prioridade absoluta. Estamos trabalhando incansavelmente para fornecer cobertura para essa ameaça e garantir que os administradores de segurança estejam habilitados em suas investigações ao avaliar seus ambientes.

Os produtos Trellix são afetados por esta vulnerabilidade?
Estamos revisando todos os produtos de nosso portfólio para avaliar seu impacto potencial e o risco para os clientes. Em 13 de dezembro de 2021, publicamos um boletim de segurança formal para fornecer orientação aos clientes sobre produtos afetados por essa vulnerabilidade. O objetivo era delinear produtos que não incluem o componente Log4j ou não apresentam risco.

Para obter informações sobre se um produto em seu ambiente foi afetado, solução alternativa e etapas de mitigação e outras informações relacionadas ao produto, consulte SB10377 - REGISTRADO - Boletim de segurança - Status do produto para "Log4Shell" (CVE-2021-44228, CVE- 2021-4104, CVE-2021-45046, CVE-2021-45105 e CVE-2021-44832).

Nota: O conteúdo mencionado está disponível somente para logon feito no ServicePortal users. Para exibir o conteúdo, clique no link e efetue login quando solicitado.

As atualizações continuarão a ser fornecidas, assim que estiverem disponíveis.



Como as soluções de produtos Trellix podem ajudar?
É sempre aconselhável, e uma prática recomendada, garantir que o software e os sistemas operacionais sejam mantidos atualizados com as atualizações disponíveis e as atualizações de segurança à medida que são lançadas. Também recomendamos avaliar e implementar contramedidas gerais contra ameaças de nível básico, quando adequado ao seu ambiente. Para obter mais informações, consulte KB91836 - Contramedidas para ameaças de vetores de entrada. Muitos desses métodos, embora não abordem a vulnerabilidade em si, podem inibir severamente os recursos pós-exploração dos atores e fornecer visibilidade para que os administradores de segurança respondam adequadamente.

Estamos avaliando a cobertura de produtos em nosso portfólio de soluções de segurança. Este artigo será atualizado à medida que possíveis oportunidades de cobertura e contramedidas forem identificadas.

Os recursos do produto estão atualmente disponíveis para os seguintes componentes:

Detecção e Resposta:

1. Você deve aplicar o ExtraDAT fornecido na seção "Anexo" deste artigo para fornecer conteúdo para as varreduras de memória sob demanda detectarem em JNDI cadeias de caracteres relacionadas na memória do processo.
   
   IMPORTANTE:Em 21 de dezembro, um novo ExtraDAT foi adicionado a este artigo no arquivo EXTRA2.zip. Para obter mais informações, consulte a seção "Ajustando a regra de especialista para seu ambiente" abaixo.
   
2. Você deve implementar a regra do especialista em sua política de prevenção de exploração do ENS e definir somente para RELATÓRIO. A Expert Rule não fornece proteção suficiente sozinha para ser valiosa em uma capacidade de bloco e, ao fazê-lo, corre o risco de conflito potencial com processos legítimos em seu ambiente. Definir a regra como REPORT apenas garante que ela acione as varreduras de memória sob demanda quando a regra for violada, sem arriscar bloqueios não intencionais.

• É importante que essa configuração seja testada minuciosamente para garantir a integridade das regras e evitar possíveis conflitos. Assim que o teste confirmar que a regra é viável para o seu ambiente, os clientes são incentivados a aplicar esse mecanismo às plataformas Windows Server nas quais os aplicativos baseados em Java são potencialmente expostos à conectividade de rede da Internet. Por exemplo, servidores Apache Tomcat, Elastic Search, etc. Fazer isso diminui a probabilidade de falsos positivos e as medidas de ajuste adicionais que esses resultados podem exigir. A aplicação desse conteúdo a estações de trabalho Windows de usuários gerais não é recomendada.
• Estamos analisando as opções para disponibilizar esse conteúdo também para clientes MVISION. Assine este artigo para ser informado quando as atualizações forem feitas.
• Essa configuração resulta na geração de dois eventos quando um comportamento potencialmente mal-intencionado é detectado. A primeira detecção reflete o gatilho da regra Exploit Prevention. A segunda detecção reflete o On-Demand Memory Scan detectando comportamento potencialmente malicioso. Se apenas o primeiro evento for recebido, a varredura de memória não identificará nenhuma string relacionada a JNDI-maliciosa na memória do processo. Se o segundo evento for recebido, indicando que o On-Demand Memory Scan detectou uma string relacionada JNDI-na memória do processo, os administradores devem tomar medidas imediatas no sistema identificado.
• A imagem a seguir mostra exemplos dos dois tipos diferentes de ameaças de detecção possíveis. Observe o tipo de ameaça Trojan, com 'varredura sob demanda' do processo de origem da ameaça. Esse tipo de evento é o evento de segundo estágio e indica que os administradores devem tomar medidas imediatas.

1. Faça check-in do arquivo ExtraDAT no ePO por meio da função 'Check-in Package' da página Master Repository. Ou, para testar ou terminais não gerenciados, aplique o ExtraDAT por meio do console do ENS.
   Para obter mais informações, consulte KB67602 - Como fazer check-in e implantar um Extra.DAT no ePolicy Orchestrator e KB93673 - Aplicar Extra.DAT localmente usando o Endpoint Security Client.
   Após o check-in, o ExtraDAT reflete o seguinte nome no Repositório mestre e nas tarefas do clienteExtraDAT (JNDI.Log4J-Exploit.a;JNDI.Log4J.Exploit.b;JNDI.Log4J.Exploit.c)
   
   NOTA: oferecemos uma ferramenta para mesclar ExtraDATs no Portal de suporte se você receber outro driver extra que deve ser aplicado ao seu ambiente.
   
2. Certifique-se de que as Tarefas de atualização do cliente para terminais incluam o tipo de pacote ExtraDAT e que essas atualizações sejam aplicadas aos sistemas. Depois que o ExtraDAT for implantado nos sistemas que devem receber a regra do especialista, continue modificando suas políticas na etapa 3.
3. Para configurar a regra do especialista, navegue até sua política Endpoint Security, Exploit Prevention. Adicione uma regra de especialista configurada com as seguintes configurações:
   

   Nome da regra	Exploit JNDI Log4J
   Gravidade	Alta
   Ação	Relatar
   Tipo de regra	Processos

4. Aplique o seguinte conteúdo de regra à regra:
   
   Rule {
   Reaction SCAN ACTOR_PROCESS ScanAction REPORT
   Process {
   Include OBJECT_NAME {
   -v "java.exe"
   -v "javaw.exe"
   -v "tomcat*.exe"
   }
   Include AggregateMatch -xtype "dll1" {
   Include DLL_LOADED -name "java" { -v 0x1 }
   }
   Include AggregateMatch -xtype "dll2" {
   Include DLL_LOADED -name "jvm" { -v 0x1 }
   }
   }
   Target {
   Match PROCESS {
   Include OBJECT_NAME { -v "cmd.exe" }
   Include OBJECT_NAME { -v "powershell.exe" }
   Include OBJECT_NAME { -v "powershell_ise.exe" }
   Include OBJECT_NAME { -v "wscript.exe" }
   Include OBJECT_NAME { -v "cscript.exe" }
   Include OBJECT_NAME { -v "rundll32.exe" }
   Exclude PROCESS_CMD_LINE { -v "* chcp 1252 *" }
   }
   }
   }
5. Salve a regra e a política modificadas. Aplique-o aos endpoints que receberam o conteúdo ExtraDAT apropriado.

• CLEAN_PROCESS - Tente limpar o processo. A detecção é registrada no log de atividades do ODS.
• DELETE_PROCESS - Tente excluir o processo. A detecção é registrada no log de atividades do ODS.
• CLEAN_DELETE_PROCESS - Primeiro, tente limpar o processo; se malsucedido, tente excluir o processo. A detecção é registrada no log de atividades do ODS.
• REPORT - Não execute nenhuma ação no processo detectado. A detecção é registrada no Log de atividades do ODS e um evento de detecção é enviado ao ePO.
• REPORT_CLEAN_PROCESS - Tente limpar o processo. A detecção é registrada no Log de atividades do ODS e um evento de detecção é enviado ao ePO.
• REPORT_DELETE_PROCESS - Tente excluir o processo. A detecção é registrada no log de atividades do ODS e um evento de detecção é enviado ao ePO
• REPORT_CLEAN_DELETE_PROCESS - Primeiro, tente limpar o processo; se mal sucedido; tente excluir o processo. A detecção é registrada no Log de atividades do ODS e um evento de detecção é enviado ao ePO.

ENS, VirusScan Enterprise (VSE), Secure Web Gateway (SWG):
em 12 de dezembro de 2021, lançamos o conteúdo V3AMCore4648 , MEDDAT 4818.0000e V2 DAT 10196. Detecções genéricas são fornecidas sob o título Exploit-CVE-2021-44228.C. Essas detecções identificam o uso de jndi:ldaps, jndi:ldap, jndi:rmi, e jndi:dns cordas. As detecções são representadas como um "Programa Potencialmente Indesejado" e é recomendável que você revise as políticas para garantir que os scanners honrem as detecções de Programas Indesejáveis.
Outras detecções continuam a ser adicionadas e é recomendável que os clientes continuem atualizando o conteúdo endpoint e do gateway seguindo nossa cadência de lançamento diária.

• Ao usar o SWG como um proxy reverso, os sistemas por trás dele são protegidos contra Log4Shell explorações em cabeçalhos e corpo HTTP (o GAM detecta padrões de exploração em uma solicitação POST pronta para uso com atualizações DAT recentes).
• Ao usar o SWG como um proxy de encaminhamento, os ataques originados de sua própria rede com uma solicitação POST via proxy são bloqueados.

1. Coloque o conjunto de regras 2021-12-13_10-50_Search for Log4Shell.xml (disponível na seção "Anexo" deste artigo) na área de trabalho.
2. Clique em Adicionar e em Conjunto de regras de nível superior.
3. Clique em Importar conjunto de regras da Biblioteca de conjunto de regras.
4. Clique em Importar do arquivo.
5. Selecione o arquivo.
6. Resolva todos os conflitos.
7. Clique em OK.
8. Mova a configuração da regra para um local apropriado na política, de preferência onde a verificação SSL esteja habilitada.
9. Clique em Salvar alterações.

• UDS: KB95092 - REGISTRADO - NSP Emergency UDS Release Notes - UDS-HTTP: Vulnerabilidade de execução remota de código Apache Log4j2 (CVE-2021-44228)
• ID de ataque: atribuído automaticamente
• Protocolo de ataque: HTTP
• Direção de Ataque: Cliente para Servidor
• Para ser incluído no próximo sigset regular? Sim
• Data de lançamento: 12 de dezembro de 2021
• Descrição: este alerta indica uma tentativa de explorar uma vulnerabilidade de execução remota de código no Apache Log4j 2.
  

Caça, Avaliação de Vulnerabilidade e Investigação:

• MVISION Endpoint Detection and Response (EDR), Trellix Active Response (TAR):
  Você pode usar a funcionalidade 'Real-Time Search' e 'Historical Search' para caçar proativamente sistemas vulneráveis ​​ou explorar atividades em seu ambiente.
  Mantemos um GitHub repositório de consultas 'Real-Time Search' úteis que os administradores podem encontrar para ajudá-los em suas investigações. Para obter mais informações, consulte Consultas RTS GitHub.
  Os coletores integrados podem permitir a pesquisa do seguinte:
  
  A autoavaliação de versões vulneráveis ​​relatadas de Log4j por hash pode ser realizada com uma consulta fundamental. Por exemplo:
  
  HostInfo os, hostname, platform
  AND Files sha256, full_name
  WHERE HostInfo platform equals "Linux"
  AND Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "58e9f72081efff9bdaabd82e3b3efe5b1b9f1666cefe28f429ad7176a6d770ae"
  OR Files sha256 equals "ed285ad5ac6a8cf13461d6c2874fdcd3bf67002844831f66e21c2d0adda43fa4"
  OR Files sha256 equals "dbf88c623cc2ad99d82fa4c575fb105e2083465a47b84d64e2e1a63e183c274e"
  OR Files sha256 equals "a38ddff1e797adb39a08876932bc2538d771ff7db23885fb883fec526aff4fc8"
  OR Files sha256 equals "7d86841489afd1097576a649094ae1efb79b3147cd162ba019861dfad4e9573b"
  OR Files sha256 equals "4bfb0d5022dc499908da4597f3e19f9f64d3cc98ce756a2249c72179d3d75c47"
  OR Files sha256 equals "473f15c04122dad810c919b2f3484d46560fd2dd4573f6695d387195816b02a6"
  OR Files sha256 equals "b3fae4f84d4303cdbad4696554b4e8d2381ad3faf6e0c3c8d2ce60a4388caa02"
  OR Files sha256 equals "dcde6033b205433d6e9855c93740f798951fa3a3f252035a768d9f356fde806d"
  OR Files sha256 equals "85338f694c844c8b66d8a1b981bcf38627f95579209b2662182a009d849e1a4c"
  OR Files sha256 equals "db3906edad6009d1886ec1e2a198249b6d99820a3575f8ec80c6ce57f08d521a"
  OR Files sha256 equals "ec411a34fee49692f196e4dc0a905b25d0667825904862fdba153df5e53183e0"
  OR Files sha256 equals "a00a54e3fb8cb83fab38f8714f240ecc13ab9c492584aa571aec5fc71b48732d"
  OR Files sha256 equals "c584d1000591efa391386264e0d43ec35f4dbb146cad9390f73358d9c84ee78d"
  OR Files sha256 equals "8bdb662843c1f4b120fb4c25a5636008085900cdf9947b1dadb9b672ea6134dc"
  OR Files sha256 equals "c830cde8f929c35dad42cbdb6b28447df69ceffe99937bf420d32424df4d076a"
  OR Files sha256 equals "6ae3b0cb657e051f97835a6432c2b0f50a651b36b6d4af395bbe9060bb4ef4b2"
  OR Files sha256 equals "535e19bf14d8c76ec00a7e8490287ca2e2597cae2de5b8f1f65eb81ef1c2a4c6"
  OR Files sha256 equals "42de36e61d454afff5e50e6930961c85b55d681e23931efd248fd9b9b9297239"
  OR Files sha256 equals "4f53e4d52efcccdc446017426c15001bb0fe444c7a6cdc9966f8741cf210d997"
  OR Files sha256 equals "df00277045338ceaa6f70a7b8eee178710b3ba51eac28c1142ec802157492de6"
  OR Files sha256 equals "28433734bd9e3121e0a0b78238d5131837b9dbe26f1a930bc872bad44e68e44e"
  OR Files sha256 equals "cf65f0d33640f2cd0a0b06dd86a5c6353938ccb25f4ffd14116b4884181e0392"
  OR Files sha256 equals "5bb84e110d5f18cee47021a024d358227612dd6dac7b97fa781f85c6ad3ccee4"
  OR Files sha256 equals "ccf02bb919e1a44b13b366ea1b203f98772650475f2a06e9fac4b3c957a7c3fa"
  OR Files sha256 equals "815a73e20e90a413662eefe8594414684df3d5723edcd76070e1a5aee864616e"
  OR Files sha256 equals "10ef331115cbbd18b5be3f3761e046523f9c95c103484082b18e67a7c36e570c"
  OR Files sha256 equals "dc815be299f81c180aa8d2924f1b015f2c46686e866bc410e72de75f7cd41aae"
  OR Files sha256 equals "9275f5d57709e2204900d3dae2727f5932f85d3813ad31c9d351def03dd3d03d"
  OR Files sha256 equals "f35ccc9978797a895e5bee58fa8c3b7ad6d5ee55386e9e532f141ee8ed2e937d"
  OR Files sha256 equals "5256517e6237b888c65c8691f29219b6658d800c23e81d5167c4a8bbd2a0daa3"
  OR Files sha256 equals "d4485176aea67cc85f5ccc45bb66166f8bfc715ae4a695f0d870a1f8d848cc3d"
  OR Files sha256 equals "3fcc4c1f2f806acfc395144c98b8ba2a80fe1bf5e3ad3397588bbd2610a37100"
  OR Files sha256 equals "057a48fe378586b6913d29b4b10162b4b5045277f1be66b7a01fb7e30bd05ef3"
  OR Files sha256 equals "5dbd6bb2381bf54563ea15bc9fbb6d7094eaf7184e6975c50f8996f77bfc3f2c"
  OR Files sha256 equals "c39b0ea14e7766440c59e5ae5f48adee038d9b1c7a1375b376e966ca12c22cd3"
  OR Files sha256 equals "6f38a25482d82cd118c4255f25b9d78d96821d22bab498cdce9cda7a563ca992"
  OR Files sha256 equals "54962835992e303928aa909730ce3a50e311068c0960c708e82ab76701db5e6b"
  OR Files sha256 equals "e5e9b0f8d72f4e7b9022b7a83c673334d7967981191d2d98f9c57dc97b4caae1"
  OR Files sha256 equals "68d793940c28ddff6670be703690dfdf9e77315970c42c4af40ca7261a8570fa"
  OR Files sha256 equals "9da0f5ca7c8eab693d090ae759275b9db4ca5acdbcfe4a63d3871e0b17367463"
  OR Files sha256 equals "006fc6623fbb961084243cfc327c885f3c57f2eba8ee05fbc4e93e5358778c85"
  
  Hashes de arquivo para Log4j 2.x versões provenientes do GitHub.
  
  
  Identifique sistemas com versões vulneráveis ​​de Log4j instaladas pelo nome do arquivo. Por exemplo: Arquivos e HostInfo nome do host em que o nome dos arquivos contém log4j.
  Os nomes dos arquivos podem diferir entre as versões ou se Log4j for fornecido por meio de uma solução de fornecedor.
  
  
  
  

  
  Identifique tentativas de comunicação de saída para domínios de callout conhecidos.

  
  Identifique indicadores de comprometimento associados a cargas úteis de exploração.
  

  NOTA: No Linux, os arquivos .JAR são excluídos do File Hashing por padrão. Para fornecer visibilidade precisa em seu ambiente, remova .JAR de suas políticas de EDR Hashing de arquivo, Ignore as extensões nas configurações do Linux. Essa alteração não requer que os sistemas de arquivos sejam completamente reformulados.
  
  
  

• SIEM
  Lançamos a versão Exploit Content Pack 4.1.0, que agora está disponível para download no servidor de regras. Este pacote de conteúdo contém um novo alarme intitulado "Exploit - Possível Log4Shell Exploit". Este alarme examina o URL e os campos User_Agent para a string jndi específica para denotar uma possível tentativa de exploração.
  
  Para obter mais informações sobre o pacote de conteúdo de exploração SIEM 4.1.0, consulte KB85403 - REGISTERED - Pacotes de conteúdo SIEM para exploração.
  
  Nota: O conteúdo mencionado está disponível somente para logon feito no ServicePortal users. Para exibir o conteúdo, clique no link e efetue login quando solicitado.

Inteligência de ameaças:

• Insights da Trellix:

Recursos do produto determinados como fora do escopo:

• Prevenção de Exploit ENS. Para obter detalhes sobre como aproveitar a funcionalidade Exploit Prevention Expert Rule com verificações de memória sob demanda, consulte a seção "Detecção e resposta" acima.