Log4j, birçok ürün, hizmet ve Java bileşeni tarafından yaygın olarak kullanılan açık kaynaklı bir Java günlük kütüphanesidir. Kütüphanede yaşanan bu güvenlik açığı sorunu, siber güvenlik endüstrisinin ötesinde birçok kurum ve kuruluşu da etkiliyor. Şu an kütüphanede bulunan açığı istismar etmek isteyen saldırganlar ile bu açığı güncellemeler ile kapatmaya çalışan siber güvenlikçiler arasında bir yarış yaşanıyor.
Çoğu durumda, BT sistemlerinin güncellenmesi ve güvenlik açıklarının düzeltmesi, işletme sahipleri için, BT ekibinin bütçesini onaylamaları dışında çok az ilgilendikleri bir konu. Bu ilgisiz yaklaşım, kullandıkları bazı yazılımlardaki güvenlik açığı nedeniyle siber saldırı veya veri ihlali yaşayan başka bir şirketin son dakika haberi ortaya çıktığında rahatsız edici olabiliyor. Böyle bir haberi okumak hemen birkaç soruya yol açıyor, örneğin “Şirketim bu yazılımı kullanıyor mu? Ve eğer öyleyse, yamayı uyguladık mı?”
Log4Shell güvenlik açığı, örneklenen rahatsız edici soruların daha da fazlasına yol açıyor. Bu güvenlik açığı, dünya çapında kullanılan ve BT personelinin bile bazen haberi olmadan, şirketinizin kullandığı herhangi bir yazılımda kolayca bulunabilecek bir kod parçasını (Apache Log4j 2 kütüphanesi) içerir. Bu anlamda, BT güvenlik ekiplerinin tipik olarak uğraştığı hemen hemen diğer güvenlik açıklarına benzemez. Ayrıca, bu kodda bulunan zayıflıklardan yararlanmak hem saldırganlar için oldukça kolay hem de işletmeniz için tehlikelidir.
Sisteminiz kolayca ele geçirilebilir
Uzak bir yerde bilgisayar ekranlarının arkasında rahatça oturan ve Java programlama dili hakkında biraz bilgiyle donanmış olan siber suçlular, interneti tarayabilir ve üzerinde çalışan bu kod kütüphanesinin savunmasız bir sürümüyle açıkta bekleyen sistemlerinizden herhangi birini tehlikeye atmak için kötü amaçlı paketler gönderebilir. Sisteminiz böyle kötü amaçlı bir paketi işlerse, saldırgan artık cihazlarınızdan birinin kötü amaçlı bir web sitesine ulaşmasını ve kötü amaçlı yazılımları indirmesini sağlayarak tüm sistemi ele geçirebilir, bu durumda da oyun daha başlamadan bitmiş olur. Aynı şekilde, ağınızın içinde bulunan bir saldırgan da aynı saldırı yaklaşımını kullanarak diğer sistemlere de kolayca girebilir.
Şimdiye kadar, ESET algılama sistemleri, saldırganların kripto para madencisi veya Meterpreter sızma test aracı görünümünde Tsunami ve Mirai truva atları gibi zararlı yazılımları sisteme sokmaya çalıştıklarını gördü. Saldırıların yoğunlaşması ve gelişmiş tehdit aktörlerinin sürüler halinde güvenlik açığını hedef almaları an meselesi gibi görünüyor.
Denetim ve güncelleme zamanı geldi
Log4Shell güvenlik açığı, dünya çapında şirketlerin Log4j 2 kitaplığının savunmasız sürümlerini kullanarak geliştirdikleri tüm yazılımları tekrar denetlemelerine neden oldu. Sadece ESET sistemlerinin tespit ederek engellediği yüz binlerce saldırı girişimi bulunuyor. Sistemlerinizi güncellemek için zaman kaybetmenin sırası değil.
İşletmeler, BT ekipleri ile birlikte öncelikli bir liste ile A’dan Z’ye tüm yazılım varlıklarının tam bir taramasını yapmalılar. Birçok yazılım geliştirme şirketi ürünlerini zaten denetledi ve bunların etkilenip etkilenmediği ve etkileniyorsa müşterilerin hangi azaltıcı önlemleri almaları gerektiği konusunda müşteri tavsiyeleri yayınladı. BT ekibinizin bu danışma tavsiyelerini hızlıca incelemesi gerekiyor.
Kritik olarak, Log4j kitaplığının güvenlik açığı bulunan sürümleri tespit edildikten sonra, BT ekipleri kitaplığın şu anda 2.16.0 olan en son sürümüne güncellemelidir.
