بعد عشرة أيام من تسبب الثغرة الأمنية الخطيرة المسماة Log4Shell (CVE-2021-44228) في اشتعال الإنترنت لأول مرة، أصبحت المؤسسات في منتصف الطريق تقريبًا نحو معالجة المشكلة في بيئاتها السحابية. انظر التفاصيل الفنية الكاملة هنا.
قامت Wiz وEY (Ernest & Young) بتحليل أكثر من 200 بيئة سحابية للمؤسسات مع آلاف الحسابات السحابية. وكانت النتائج مذهلة: في حين أن 93% من جميع البيئات السحابية معرضة للخطر من Log4Shell، قامت المؤسسات في المتوسط بتصحيح 45% من مواردها السحابية الضعيفة بحلول اليوم العاشر (20 ديسمبر 2021). لاحظ أنه على الرغم من أن بياناتنا تمثل Log4Shell فقط في البيئات السحابية، فإن هذه الثغرة الأمنية تؤثر أيضًا على الشبكات المحلية.
ولمنح المؤسسات معيارًا لجهودها الخاصة، قمنا بحساب متوسط معدل التصحيح للمؤسسات في كل قطاع. لقد وجدنا أن معدلات العلاج تختلف بشكل كبير حسب الصناعة. وتصدرت الخدمات المالية، حيث قامت الشركات بإصلاح 50% من الأصول المعرضة للخطر في المتوسط، المجموعة، في حين تأخر التصنيع (34% في المتوسط).
عندما ألقينا نظرة فاحصة على الأصول السحابية المعرضة لهجوم Log4Shell، أصبح من الواضح سبب إلحاح إصلاحها. في المتوسط، يتمتع 20% من أعباء العمل المعرضة للخطر في المؤسسة بامتيازات عالية في الحساب السحابي، مما يعني أن المهاجمين قد يتمكنون من الوصول إلى قواعد البيانات الحساسة والمعلومات الأخرى من هذه الأجهزة. 7% معرضون للإنترنت ومعرضون للاستغلال من خلال محاولات الهجوم النشطة على الإنترنت.
بالإضافة إلى ذلك، وجدنا أن 45% من الأجهزة الضعيفة غير محمية بواسطة وكلاء حماية نقطة النهاية. تتمتع حلول الأمان المستندة إلى الوكيل بفائدة محدودة في اكتشاف مخاطر Log4Shell لأنها يمكنها فقط فحص الأجهزة الافتراضية والحاويات التي تم تثبيتها عليها (عادةً ما تكون أقل من 60% من تغطية البيئة السحابية)، مما يترك المؤسسات عمياء عن المخاطر الموجودة في الموارد الأخرى حيث لم يتم تثبيتها.
لماذا يستغرق العلاج وقتا طويلا؟
يشبه Log4Shell تنظيف تسرب النفط. إنه موجود في كل مكان، لذا فإن العملية فوضوية وتستغرق وقتًا طويلاً
لقد بذلت معظم المؤسسات جهدًا كبيرًا في محاولة إصلاح هذه الثغرة الأمنية – وعلى الرغم من التحديات، فإنها تحقق تقدمًا مطردًا. بعد ستة أيام من نشر Log4Shell لأول مرة، كان متوسط معدل التصحيح لكل مؤسسة 30% فقط.
لفهم حجم المشكلة في البيئات السحابية فقط، ضع في اعتبارك أن 5.7% من أعباء العمل المتوسطة في المؤسسة معرضة للخطر (وفقًا لبياناتنا). قد لا يبدو هذا سيئًا للغاية – حتى تدرك أن مؤسسة كبيرة يمكن أن يكون لديها 20000 عبء عمل.
تخيل مدى صعوبة تصحيح آلاف التطبيقات. العديد منهم لديهم تبعيات التعليمات البرمجية، والبعض الآخر يعتمد على البائعين الذين لم يطلقوا إصدارات جديدة من منتجاتهم بعد. بعضها عبارة عن أجهزة افتراضية لم يلمسها أحد منذ سنوات. قد يستغرق مجرد الوصول إليها واختبار التصحيح أسابيع.
نظرًا لاستخدام مكتبة log4j على نطاق واسع، يجب على الفرق أولاً تحديد الأصول التي تحتاج إلى تحديث. من أجل اكتشاف Log4Shell في بيئتك، تحتاج إلى فحص جميع أعباء العمل، بما في ذلك الأجهزة الافتراضية التي تعمل مع التطبيقات القديمة، والحاويات التي تعمل على Kubernetes، وحتى التعليمات البرمجية بدون خادم التي تعمل على وظائف السحابة. ولجعل الأمور أكثر تعقيدًا، قد يتم نشر log4j كحزمة أو تضمينه في التطبيق نفسه، لذلك يجب أن تتضمن أي أداة كشف تستخدمها دعمًا لكليهما.
لقد تعقدت جهود الإصلاح أيضًا بسبب الثغرات الأمنية الجديدة التي تم اكتشافها منذ إصدار أول تصحيح log4j. تم إصدار إصدارين إضافيين من log4j لإصلاح الثغرات الأمنية الأقل خطورة (CVE-2021-40546، CVE-2021-45105) وتم تعديل تعليمات الحل البديل. وبعبارة أخرى، العلاج هو هدف متحرك والمعلومات تتغير يوميا.
يعد Wiz أحد المنتجات الوحيدة التي يمكنها اكتشاف Log4Shell عبر بيئتك بأكملها في غضون دقائق. إذا لم تكن من عملاء Wiz، فانقر هنا للحصول على تقييم Log4Shell لبيئتك السحابية.
بمجرد تحديد جميع الموارد الضعيفة، يجب تصحيح كل منها. ولكن يجب على فريقك أولاً التأكد من أن التحديث لن يؤدي إلى تعطيل أجزاء أخرى من التعليمات البرمجية الخاصة بك والتي تعتمد على مكتبة log4j. ونتيجة لذلك، يتطلب التصحيح جهدًا مشتركًا من كل من فريقي الأمان والمطورين.
يؤثر Log4Shell أيضًا على عدد كبير من التطبيقات ومواقع الويب والخدمات الشائعة التي تحتاج جميعها إلى التصحيح – مما يعني الانتظار حتى يقوم كل بائع بإصدار التحديث الخاص به. تحتفظ CISA بقائمة البائعين الذين لم يصدروا تحديثاتهم بعد.
ومع استمرار فرق الأمان والمطورين في العمل بجد خلال العطلات، تعد هذه البيانات بمثابة تذكير بأن كل المؤسسات تقريبًا تواجه تحديات مماثلة. يلقي Log4shell ظلا طويلا، ولكن هناك ضوء في نهاية النفق.
