Apache 发布 Log4j 2.16.0 了解决此漏洞的问题（更新了：12/14）。我们建议将此更新应用到受影响的系统，并查看您环境中的相关 Log4j 配置，以确定可能受此漏洞影响的潜在工作流。对于第三方应用程序，请与应用程序供应商联系，以了解执行此操作的步骤。

有许多方法都观察到了攻击者可以使用 Log4Shell 的地方。此漏洞具有广泛的范围和规模，并且从风险上 inoculated 的唯一明确的方法是同时应用供应商更新和查看应用程序配置。这些操作可确保根据 Apache 的建议缓解漏洞。与所有主要的零天一样，最佳的安全做法是假设您已经过扫描、正在进行定向，并应用具有绝对优先级的补救或缓解步骤。我们正在努力提供此威胁的 tirelessly，并确保安全管理员在评估其环境时在调查中启用。

Trellix 产品是否受此漏洞的影响？
我们要查看产品组合中的所有产品，以评估其潜在影响和对客户的风险。在2021年12月13日，我们发布了正式的安全/Security 公告，向客户提供有关受此漏洞影响的产品的指导。其目标是概述不包含 Log4j 组件的产品，或不存在风险的产品。

有关您的环境中的产品是受影响、解决方法和缓解步骤以及其他产品相关信息的信息，请参阅 "Log4Shell" （CVE-2021-44228、cve-2021-4104、cve-2021-45046、cve-2021-45105 和 cve-2021-44832）的 SB10377 注册-安全/Security 公告产品状态。

注意：所引用的内容仅可供已登录的 ServicePortal 用户使用。 要查看内容，请单击该链接并在出现提示时登录。

将继续提供更新，因为它们变得可用。



Trellix 产品解决方案如何帮助？
我们始终建议您，最好的做法是确保软件和操作系统在可用更新和安全更新发布时一直保持最新状态。我们还建议根据适合您的环境的入门级威胁评估和实施一般对策。有关详细信息，请参阅 KB91836-针对条目矢量威胁的对策。这些方法中很多，在未解决漏洞本身的情况下，可能会严重抑制演员的利用漏洞攻击能力，并为安全管理员提供相应响应的可见性。

我们将在我们的安全解决方案阵容中评估产品覆盖范围。本文将根据可能的覆盖范围机会和对策予以更新。

当前可对以下组件使用产品功能：

检测和响应：

1. 您必须在本文的 "附件" 部分应用提供的 ExtraDAT 内容，以提供按需内存扫描的内容，以检测 JNDI 进程内存中的相关字符串。
   
   重要说明： 12月21日，存档 EXTRA2.zip 中的本文中添加了一个新的新 ExtraDAT 版本。有关详细信息，请参阅下面的 "调整环境的专家规则" 部分。
   
2. 您必须在 ENS 漏洞利用防护策略中实施 专家规则 ，并将其设置为仅 报告 。专家规则不会仅仅提供足够的保护来实现数据块容量的价值，因此风险可能会与您环境中的合法进程发生冲突。如果将规则设置为仅 报告 ，确保在违反规则时触发按需内存扫描，而不会冒非有意的阻止。

• 对此配置进行全面测试，以确保规则完整性并防止任何潜在冲突，这一点非常重要。一旦测试确认该规则对您的环境可行，建议客户将此机制应用到 Windows 服务器平台，其中基于 Java 的应用程序可能会暴露给来自 internet 的网络连接。例如，Apache Tomcat、弹性搜索服务器等。这样做可以降低误报的可能性，以及这些结果可能需要的其他优化措施。不建议将此内容应用到常规用户 Windows 工作站。
• 我们正在查看选项，以使此内容也可供 MVISION 客户使用。订购本文，以便在进行更新时得到通知。
• 此配置会导致在检测到潜在恶意行为时生成两个事件。第一次检测反映漏洞利用防护规则触发器。第二个检测反映的是按需内存扫描检测潜在的恶意行为。如果仅收到第一个事件，则内存扫描不会识别进程内存中的任何恶意 JNDI- 相关字符串。如果收到第二个事件，表示按需内存扫描检测到进程内存中的 JNDI- 相关字符串，则 管理员必须立即对确定的系统采取措施。
• 下面的图像描述了两种不同的可能检测威胁类型的示例。记下威胁类型 Trojan ，威胁来源进程 "按需扫描。" 此事件类型为第二阶段事件，表示管理员必须立即采取措施。

1. 通过主存储库页面的 "签入包" 功能签入 ePO 中的 ExtraDAT 文件。或者，对于测试或非托管端点，请通过 ENS 控制台应用 ExtraDAT 。
   有关详细信息，请参阅 KB67602-如何使用 Endpoint Security 客户端以本地方式签入和部署 ePolicy Orchestrator 和 KB93673 应用额外中的额外 .DAT 。 .DAT
   签入后，会在主存储库中反映以下名称，并在客户端任务中显示 ExtraDAT ExtraDAT (JNDI.Log4J-Exploit.a;JNDI.Log4J.Exploit.b;JNDI.Log4J.Exploit.c)
   
   注意:如果您收到其他必须应用于您的环境的额外驱动程序，我们会提供工具以在支持门户中进行合并 ExtraDATs 。
   
2. 确保客户端更新任务到端点包含 ExtraDAT 包类型，并且这些更新应用到系统。一旦部署到预期接收专家规则的 ExtraDAT 系统后，请继续在步骤3修改您的策略。
3. 要配置专家规则，请导航至您的 Endpoint Security、 漏洞利用防护 策略。添加使用以下设置配置的专家规则：
   

   规则名称	JNDI Log4J 漏洞利用
   严重性	高
   操作	报告
   规则键入	进程

4. 将以下规则内容应用到规则中：
   
   Rule {
   Reaction SCAN ACTOR_PROCESS ScanAction REPORT
   Process {
   Include OBJECT_NAME {
   -v "java.exe"
   -v "javaw.exe"
   -v "tomcat*.exe"
   }
   Include AggregateMatch -xtype "dll1" {
   Include DLL_LOADED -name "java" { -v 0x1 }
   }
   Include AggregateMatch -xtype "dll2" {
   Include DLL_LOADED -name "jvm" { -v 0x1 }
   }
   }
   Target {
   Match PROCESS {
   Include OBJECT_NAME { -v "cmd.exe" }
   Include OBJECT_NAME { -v "powershell.exe" }
   Include OBJECT_NAME { -v "powershell_ise.exe" }
   Include OBJECT_NAME { -v "wscript.exe" }
   Include OBJECT_NAME { -v "cscript.exe" }
   Include OBJECT_NAME { -v "rundll32.exe" }
   Exclude PROCESS_CMD_LINE { -v "* chcp 1252 *" }
   }
   }
   }
5. 保存修改后的规则和策略。将其应用到已收到相应 ExtraDAT 内容的端点。

• CLEAN_PROCESS -尝试清理进程。系统会将检测记录到 ODS 活动日志中。
• DELETE_PROCESS -尝试删除进程。系统会将检测记录到 ODS 活动日志中。
• CLEAN_DELETE_PROCESS -首先，尝试清理进程;如果不成功，请尝试删除该进程。系统会将检测记录到 ODS 活动日志中。
• REPORT -在检测到的进程上不执行任何操作。系统会将检测记录到 ODS 活动日志中，并会向 ePO 发送检测事件。
• REPORT_CLEAN_PROCESS -尝试清理进程。系统会将检测记录到 ODS 活动日志中，并会向 ePO 发送检测事件。
• REPORT_DELETE_PROCESS -尝试删除进程。系统会将检测记录到 ODS 活动日志中，并会将检测事件发送至 ePO
• REPORT_CLEAN_DELETE_PROCESS -首先，尝试清理进程;如果不成功，则为尝试删除该进程。系统会将检测记录到 ODS 活动日志中，并会向 ePO 发送检测事件。

ENS、VirusScan Enterprise （VSE）、Secure Web Gateway （SWG）：
2021年12月12日，我们发布了V3AMCorecontent 4648、 MEDDAT4818.0000和V2 DAT 10196。在标题 Exploit-CVE-2021-44228.C 下会提供一般性检测。这些检测项会识别使用潜在恶意 jndi:ldaps, jndi:ldap 、 jndi:rmi 和 jndi:dns 字符串。检测项表示为 "潜在有害程序，"，建议您查看策略，以确保扫描程序遵守有害的程序检测项。
其他检测项会继续添加，因此建议客户在每日发布节奏之后继续更新端点和网关内容。

• 当使用 SWG 作为反向代理时，其后面的系统会受到保护，防止 Log4Shell 在 HTTP 报头和主体中利用漏洞（GAM 检测 POST 请求中的漏洞利用模式，最近的 DAT 更新）。
• 当使用 SWG 作为转发代理时，来自您自己网络且通过代理发出 POST 请求的攻击将被阻止。

1. 将规则集 2021-12-13_10-50_Search for Log4Shell.xml （在本文的 "附件" 部分中提供）放在桌面上。
2. 单击 Add 然后 Top Level 规则集。
3. 单击 从规则集库导入规则集。
4. 单击 从文件导入。
5. 选择文件。
6. 解决所有冲突。
7. 点击OK。
8. 将规则设置移到策略中的适当位置，理想情况下是 SSL 扫描启用。
9. 点击保存更改。

• UDS： KB95092-已注册-NSP 紧急 UDS 发行说明-UDS-HTTP： Apache Log4j2 远程代码执行漏洞（CVE-2021-44228）
• 攻击 ID： 自动分配
• 攻击协议： HTTP
• 攻击方向： 客户端到服务器
• 要包含在下一个常规特征码集中？是
• 发布日期： 2021年12月12日
• 说明： 此警报表示有人试图利用 Apache Log4j 2 中的远程代码执行漏洞进行攻击。
  

搜寻、漏洞评估和调查：

• MVISION Endpoint Detection and Response （EDR）、Trellix Active Response （TAR）：
  您可以使用 " Real-Time Search " 和 " Historical Search " 功能在您的环境中主动寻找易受攻击的系统或漏洞利用活动。
  我们维护了一个 GitHub 有用的 " Real-Time Search " 查询存储库，管理员可能会在调查中找到帮助。有关详细信息，请参阅 RTS 查询 GitHub。
  内置收集器可启用以下搜索：
  
  可通过基础查询来完成对已报告易受攻击的 Log4j 哈希版本的自我评估。例如：
  
  HostInfo os, hostname, platform
  AND Files sha256, full_name
  WHERE HostInfo platform equals "Linux"
  AND Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "58e9f72081efff9bdaabd82e3b3efe5b1b9f1666cefe28f429ad7176a6d770ae"
  OR Files sha256 equals "ed285ad5ac6a8cf13461d6c2874fdcd3bf67002844831f66e21c2d0adda43fa4"
  OR Files sha256 equals "dbf88c623cc2ad99d82fa4c575fb105e2083465a47b84d64e2e1a63e183c274e"
  OR Files sha256 equals "a38ddff1e797adb39a08876932bc2538d771ff7db23885fb883fec526aff4fc8"
  OR Files sha256 equals "7d86841489afd1097576a649094ae1efb79b3147cd162ba019861dfad4e9573b"
  OR Files sha256 equals "4bfb0d5022dc499908da4597f3e19f9f64d3cc98ce756a2249c72179d3d75c47"
  OR Files sha256 equals "473f15c04122dad810c919b2f3484d46560fd2dd4573f6695d387195816b02a6"
  OR Files sha256 equals "b3fae4f84d4303cdbad4696554b4e8d2381ad3faf6e0c3c8d2ce60a4388caa02"
  OR Files sha256 equals "dcde6033b205433d6e9855c93740f798951fa3a3f252035a768d9f356fde806d"
  OR Files sha256 equals "85338f694c844c8b66d8a1b981bcf38627f95579209b2662182a009d849e1a4c"
  OR Files sha256 equals "db3906edad6009d1886ec1e2a198249b6d99820a3575f8ec80c6ce57f08d521a"
  OR Files sha256 equals "ec411a34fee49692f196e4dc0a905b25d0667825904862fdba153df5e53183e0"
  OR Files sha256 equals "a00a54e3fb8cb83fab38f8714f240ecc13ab9c492584aa571aec5fc71b48732d"
  OR Files sha256 equals "c584d1000591efa391386264e0d43ec35f4dbb146cad9390f73358d9c84ee78d"
  OR Files sha256 equals "8bdb662843c1f4b120fb4c25a5636008085900cdf9947b1dadb9b672ea6134dc"
  OR Files sha256 equals "c830cde8f929c35dad42cbdb6b28447df69ceffe99937bf420d32424df4d076a"
  OR Files sha256 equals "6ae3b0cb657e051f97835a6432c2b0f50a651b36b6d4af395bbe9060bb4ef4b2"
  OR Files sha256 equals "535e19bf14d8c76ec00a7e8490287ca2e2597cae2de5b8f1f65eb81ef1c2a4c6"
  OR Files sha256 equals "42de36e61d454afff5e50e6930961c85b55d681e23931efd248fd9b9b9297239"
  OR Files sha256 equals "4f53e4d52efcccdc446017426c15001bb0fe444c7a6cdc9966f8741cf210d997"
  OR Files sha256 equals "df00277045338ceaa6f70a7b8eee178710b3ba51eac28c1142ec802157492de6"
  OR Files sha256 equals "28433734bd9e3121e0a0b78238d5131837b9dbe26f1a930bc872bad44e68e44e"
  OR Files sha256 equals "cf65f0d33640f2cd0a0b06dd86a5c6353938ccb25f4ffd14116b4884181e0392"
  OR Files sha256 equals "5bb84e110d5f18cee47021a024d358227612dd6dac7b97fa781f85c6ad3ccee4"
  OR Files sha256 equals "ccf02bb919e1a44b13b366ea1b203f98772650475f2a06e9fac4b3c957a7c3fa"
  OR Files sha256 equals "815a73e20e90a413662eefe8594414684df3d5723edcd76070e1a5aee864616e"
  OR Files sha256 equals "10ef331115cbbd18b5be3f3761e046523f9c95c103484082b18e67a7c36e570c"
  OR Files sha256 equals "dc815be299f81c180aa8d2924f1b015f2c46686e866bc410e72de75f7cd41aae"
  OR Files sha256 equals "9275f5d57709e2204900d3dae2727f5932f85d3813ad31c9d351def03dd3d03d"
  OR Files sha256 equals "f35ccc9978797a895e5bee58fa8c3b7ad6d5ee55386e9e532f141ee8ed2e937d"
  OR Files sha256 equals "5256517e6237b888c65c8691f29219b6658d800c23e81d5167c4a8bbd2a0daa3"
  OR Files sha256 equals "d4485176aea67cc85f5ccc45bb66166f8bfc715ae4a695f0d870a1f8d848cc3d"
  OR Files sha256 equals "3fcc4c1f2f806acfc395144c98b8ba2a80fe1bf5e3ad3397588bbd2610a37100"
  OR Files sha256 equals "057a48fe378586b6913d29b4b10162b4b5045277f1be66b7a01fb7e30bd05ef3"
  OR Files sha256 equals "5dbd6bb2381bf54563ea15bc9fbb6d7094eaf7184e6975c50f8996f77bfc3f2c"
  OR Files sha256 equals "c39b0ea14e7766440c59e5ae5f48adee038d9b1c7a1375b376e966ca12c22cd3"
  OR Files sha256 equals "6f38a25482d82cd118c4255f25b9d78d96821d22bab498cdce9cda7a563ca992"
  OR Files sha256 equals "54962835992e303928aa909730ce3a50e311068c0960c708e82ab76701db5e6b"
  OR Files sha256 equals "e5e9b0f8d72f4e7b9022b7a83c673334d7967981191d2d98f9c57dc97b4caae1"
  OR Files sha256 equals "68d793940c28ddff6670be703690dfdf9e77315970c42c4af40ca7261a8570fa"
  OR Files sha256 equals "9da0f5ca7c8eab693d090ae759275b9db4ca5acdbcfe4a63d3871e0b17367463"
  OR Files sha256 equals "006fc6623fbb961084243cfc327c885f3c57f2eba8ee05fbc4e93e5358778c85"
  
  源自GitHub的版本的 Log4j 2.x 文件哈希。
  
  
  识别安装有易受攻击的版本且按文件名安装的 Log4j 系统。例如：文件和 HostInfo 主机（其中包含 log4j 文件名称）。
  各版本之间的文件名可能有所不同，或者如果 Log4j 是通过供应商解决方案提供的。
  
  
  
  

  
  识别与已知注解域的出站通信尝试。

  
  确定与漏洞利用负载相关的威胁指标。
  

  注意: 在 Linux 上，默认情况下， .JAR 文件将从文件哈希中排除。为了在您的环境中提供准确的可见性，请从您的 EDR 策略文件中删除 .JAR哈希， 忽略 Linux 设置上的扩展 。此更改不需要完全 rehashed 文件系统。
  
  
  

• SIEM
  我们已发布了漏洞利用内容包版本 4.1.0 ，现在可从规则服务器进行下载。此内容包包含一个新警报，标题为 "漏洞利用 Log4Shell 漏洞。" 此警报会查看特定 jndi 字符串的 URL 和 User_Agent 字段，以表示可能存在漏洞利用尝试。
  
  有关 SIEM 漏洞利用内容包 4.1.0 的详细信息，请参阅 KB85403-SIEM 内容包以供利用。
  
  注意：所引用的内容仅可供已登录的 ServicePortal 用户使用。 要查看内容，请单击该链接并在出现提示时登录。

威胁情报：

• Trellix Insights：

确定为超出范围的产品功能：

• ENS 漏洞利用防护。有关利用漏洞利用防护专家规则功能和按需内存扫描的详细信息，请参阅上述 "检测和响应" 部分。