調査：Log4Shell脆弱性からの復旧は進行中、77%の組織が依然としてパッチ適用モード - TechRepublic

クラウドセキュリティプロバイダーのValtixによる最新の調査によると、Log4Shellはあらゆる業界におけるサイバーセキュリティの警鐘となりました。レポートによると、回答者200人のうち77%が依然としてパッチ適用に取り組んでいることがわかりました。また、この脆弱性はITチームのビジネスニーズへの対応能力に悪影響を及ぼしています。

調査では、技術リーダーが弱点に対処するために新しいツール、プロセスの変更、追加予算を優先していることが判明しました。

参照: Log4Shell: 依然として存在し、依然として危険。システムを保護する方法

2022年3月、Valtixは独立系調査会社と協力し、この脆弱性がセキュリティチームにどのような影響を与えたかを把握するため、200人のクラウドセキュリティリーダーを対象とした調査を実施しました。この調査では、Log4Shellの余波を受けて、クラウドセキュリティリーダーがクラウドワークロードのセキュリティ確保方法をどのように変えているのかが示されています。

調査によると、IT リーダーの 78% が、自社のクラウド環境で現在何が起こっているかを明確に把握できていないことがわかりました。

• 82%が、クラウドにおけるアクティブなセキュリティ脅威の可視性は通常不明瞭であると回答
• 86%が、オンプレミスよりもパブリッククラウドでワークロードを保護するのがより難しいことに同意しています。
• パブリッククラウドのワークロードとAPIがすべてインターネットからの攻撃に対して完全に保護されていると確信しているのはわずか53%です。

さらに、ほぼすべての回答者が、エンドポイント セキュリティ エージェントとファイアウォール アプライアンスをデータ センターからクラウドに移行することに関連する次のような課題を確認しました。

• エージェントベースのセキュリティソリューションをクラウドで運用するのは困難であると79%が同意
• 88%が、ネットワーク セキュリティ アプライアンスをクラウドに導入することは、クラウド コンピューティングの運用モデルにとって課題であると回答しました。

Valtix の共同創業者兼 CTO である Vishal Jain 氏は、Log4Shell は、無防備なアプリなど存在しないため、クラウドでも多層防御が不可欠であることを証明したと述べています。

「Log4Shellは、ITチームがアップデートされたソフトウェアのテストをしながら、脆弱性の緩和と仮想パッチ適用に奔走する中で、クラウドプロバイダーのワークロードにおけるセキュリティ上の多くの欠陥を露呈させました」とジェイン氏は述べた。「ITチームは、リモートからの攻撃の防止、アクティブな脅威の可視化、あるいはデータ流出の防止といった、より高度なセキュリティを必要としていました。」

Valtixの主席セキュリティ研究者であるデイビス・マッカーシー氏は、この調査により、2022年にクラウドセキュリティに関連する新しいツール、プロセスの変更、予算を優先することで対策を講じていることがわかったと述べた。

調査著者らはまた、Log4Shellの影響で自社のサイバーセキュリティに対する信頼度が低いと感じているのはエネルギー業界の技術リーダーが最も多く、次いで病院・旅行会社、自動車、政府機関、金融サービス業界が続いていることを明らかにした。金融サービス企業は、脆弱性が表面化した後、クラウドセキュリティ対策の優先順位を最も見直した企業であった。

Log4Shellの脆弱性を理解して修正する

この脆弱性の仕組みは次のとおりです。

1. Log4j2 は、Message Lookup Substitution と呼ばれるログ機能をサポートしています。この機能により、ログ記録時に、特殊な文字列を他の動的に生成された文字列に置き換えることができます。
2. ルックアップ メソッドの 1 つ (LDAP と組み合わせた JNDI) は、リモート ソースから特殊なクラスを取得してデシリアル化し、クラス コードの一部を実行します。
3. ログに記録された文字列の任意の部分は、リモートの攻撃者によって制御される可能性があります。

TechRepublicの寄稿者であるJack Wallen氏は最近の記事で、Log4j Detectスクリプトを使ってJavaプロジェクトをスキャンし、脆弱性を検出する方法を説明しました。このスクリプトには、Javaプロジェクトとsudo権限を持つユーザーが必要です。このスクリプトはLinux、macOS、Windowsで使用できます。

こちらもご覧ください

• 2022年版 高度な脅威対策ツールとソリューション
• モバイルデバイスのセキュリティポリシー
• Pythonプログラミング言語：このトレーニングであなたのコーディングキャリアをスタートさせましょう
• サイバーセキュリティとサイバー戦争：さらに必読の記事