Log4j CVE-2021-44228

Cybercriminelen zijn op dit moment het gesprek van de dag. Hoe houden wij deze piraten buiten de deur na Log4j CVE-2021-44228?

Vandaag heeft iedereen het over CVE-2021-44228. Apache Log4j2 <=2.14.1 JNDI-functies die worden gebruikt in configuratie, logberichten en parameters bieden geen bescherming tegen door een aanvaller bestuurde LDAP en andere JNDI-gerelateerde endpoints. Een aanvaller die logberichten of logberichtparameters kan beheren, kan willekeurige code uitvoeren die is geladen vanaf LDAP-servers wanneer "message lookup substitution:" is ingeschakeld.

Vanaf log4j 2.15.0 is dit gedrag standaard uitgeschakeld. Eerdere versies dienen te worden geupdate.

Ransomware

We weten allemaal dat de aanvallers gretig gebruik gemaakt hebben van deze CVE-2021-44228. Vele van de lezers van dit artikel zullen de komende maanden last krijgen van Ransomware.

NIST Cyber Security Framework

2Staff Masters in Security Operations diensten zijn afgestemd op het National Institue of Standards and Technology Framework, kortweg NIST (Cybersecurity Framework), gebaseerd op de categorieën; Identify, Protect, Detect, Respond en Recover.

Identify: Weten wat je hebt, wat belangrijk is en welke risico’s je loopt.

Protect: Incidenten voorkomen met techniek, mens & procedures

Detect: Monitoren van verdacht gedrag en afwijkingen

Response: Reageren op incidenten en bijsturen op basis van opgedane inzichten

Recover: Herstellen naar een normale bedrijfsvoering

De oplossing

We richten ons gezien de CVE-2021-44228 op het laatste deel; Het recoveren! Het voorbereiden op herstellen naar een normale bedrijfsvoering Weet zeker dat je terug kunt nadat u bent aangevallen. Hoe kun je dit doen?

1) VM-Level Snapshots: Opslagefficiënte VM-snapshots maken direct VM- en bestandsherstel mogelijk.

Snapshots op VM-niveau zorgen voor eenvoudig, direct, point-in-time herstel en bieden bescherming tegen ransomware, malware en het per ongeluk verwijderen van bestanden. Snapshots kunnen worden gebruikt om volledige VM's of afzonderlijke bestanden te herstellen. Ondersteuning voor honderden snapshots per VM plus, flexibele planning maakt meerdere beschermingsniveaus voor VM's mogelijk, gebaseerd op de behoefte aan elke afzonderlijke VM.

Het voordeel: Momentopnameplanning op basis van VM, Klonen van momentopnamen voor het klonen en herstellen van VM's, Momentopname met één klik voor bestandsherstel, Bewaar duizenden snapshots

2) Replicatie: Repliceer snapshots voor extra bescherming.

Het repliceren van snapshots naar een tweede systeem biedt verbeterd herstel na noodgevallen. De gerepliceerde momentopname fungeert als back-up en kan ook worden gebruikt om de VM over te zetten naar het tweede systeem in het geval van een storing in het primaire systeem of de site. Na een failover kan een VM worden teruggezet naar het primaire systeem, waardoor de downtime wordt geminimaliseerd. Replicatie van snapshots verzendt alleen gewijzigde gegevensblokken nadat de eerste kopie van de VM op het doelsysteem is gemaakt.

Het voordeel: Gecombineerd met flexibele snapshot-planning, biedt replicatie zowel efficiënt gebruik van bandbreedte als lage RPO/RTO, indien nodig.

3) Failover, Failback en Herstellen Gerepliceerde snapshots maken vrijwel onmiddellijk VM-herstel mogelijk.

Naast automatische failover binnen een cluster, kunnen VM's worden overgezet naar een ander systeem waar hun snapshots zijn gerepliceerd. Failover kan vrijwel onmiddellijk plaatsvinden door een gerepliceerde momentopname te klonen en de VM kan praktisch weer online zijn voordat gebruikers het merken.

Wanneer het primaire systeem weer online is, kunnen VM's worden hersteld door alleen de gegevens te repliceren die verschillen van de failover-VM's op het doelsysteem terwijl die VM's nog actief zijn. Vervolgens kunnen de VM's worden teruggestuurd met zeer weinig downtime voor gebruikers.

Het voordeel: Failover van gerepliceerde VM's binnen enkele minuten, Failover voor alle gerepliceerde VM's of alleen kritieke VM's die nodig zijn tijdens noodherstel, Herstel alleen de gewijzigde gegevens die nodig zijn, Failback met bijna geen downtime

4) Cloudgebaseerde Data Recovery As a Service

Als optionele service kunnen 2Staff Masters in Security Operations de systemen beschermen door VM's en snapshots veilig te repliceren naar een virtueel cloud-systeem . VM's kunnen naar de cloud worden overgedragen en indien nodig worden hersteld en teruggestuurd.

Het Cloud Platform biedt een veilig, extern computerplatform om gerepliceerde VM's tijdelijk op te slaan en uit te voeren. 2Staff Cloud Samenwerking is een ideale optie voor gebruikers zonder een eigen geschikte Data Recovery site, of voor degenen die de voorkeur geven aan de flexibiliteit van een cloudplatform voor noodherstel.

Het voordeel: Gebruik het veilige, flexibele Cloud Platform voor noodherstel, Failover naar de cloud indien nodig, Gebruikers maken naadloos opnieuw verbinding met failover-VM's met behulp van een "lightweight" gateway naar de cloud, Failback naar on-premises indien nodig.

Conclusie:

Wat je niet weet kun je niet beheersen. Je kunt je wel voorbereiden door ervan uit te gaan dat je getroffen bent. Er is dan maar 1 oplossing: Recover: Zorg dat je kunt herstellen naar een normale bedrijfsvoering. Bereid je nu voor op de toekomstige Ransomware aanvallen voor het te laat is. Wij helpen u graag. Mail: recover@2staff.nl