Teknoloji

Her İşletmenin Log4Shell ile İlgili Bilmesi Gerekenler

Log4j, birçok eser, hizmet ve Java bileşeni tarafından yaygın olarak kullanılan açık kaynaklı bir Java günlük kütüphanesidir. Kütüphanede yaşanan bu güvenlik açığı sorunu, siber güvenlik sanayisinin ötesinde birçok kurum ve kuruluşu da etkiliyor. Şu an kütüphanede bulunan açığı istismar etmek isteyen saldırganlar ile bu açığı güncellemeler ile kapatmaya çalışan siber güvenlikçiler ortasında bir yarış yaşanıyor.

Birçok durumda, BT sistemlerinin güncellenmesi ve güvenlik açıklarının düzeltmesi, işletme sahipleri için, BT grubunun bütçesini onaylamaları dışında çok az ilgilendikleri bir bahis. Bu ilgisiz yaklaşım, kullandıkları birtakım yazılımlardaki güvenlik açığı nedeniyle siber hücum yahut data ihlali yaşayan diğer bir şirketin son dakika haberi ortaya çıktığında  rahatsız edici olabiliyor. Bu türlü bir haberi okumak çabucak birkaç soruya yol açıyor, örneğin “Şirketim bu yazılımı kullanıyor mu? Ve şayet öyleyse, yamayı uyguladık mı?”

Log4Shell güvenlik açığı, örneklenen rahatsız edici soruların daha da fazlasına yol açıyor. Bu güvenlik açığı, dünya çapında kullanılan ve BT çalışanının bile bazen haberi olmadan, şirketinizin kullandığı rastgele bir yazılımda kolay kolay bulunabilecek bir kod parçasını (Apache Log4j 2  kütüphanesi) içerir. Bu manada, BT güvenlik takımlarının tipik olarak uğraştığı çabucak hemen öbür güvenlik açıklarına benzemez. Ayrıyeten, bu kodda bulunan zayıflıklardan yararlanmak hem saldırganlar için epey kolay hem de işletmeniz için tehlikelidir.

Uzak bir yerde bilgisayar ekranlarının gerisinde rahatça oturan ve Java programlama lisanı hakkında biraz bilgiyle donanmış olan  siber hatalılar, interneti tarayabilir ve üzerinde çalışan bu kod kütüphanesinin savunmasız bir sürümüyle açıkta bekleyen sistemlerinizden rastgele birini tehlikeye atmak için makus maksatlı paketler gönderebilir. Sisteminiz bu türlü makus gayeli bir paketi işlerse, saldırgan artık cihazlarınızdan birinin makûs emelli bir web sitesine ulaşmasını ve berbat maksatlı yazılımları indirmesini sağlayarak tüm sistemi ele geçirebilir, bu durumda da oyun daha başlamadan bitmiş olur. Birebir formda, ağınızın içinde bulunan bir saldırgan da tıpkı atak yaklaşımını kullanarak öbür sistemlere de kolay kolay girebilir.

Şimdiye kadar, ESET algılama sistemleri, saldırganların kripto para madencisi yahut Meterpreter sızma test aracı görünümünde Tsunami ve Mirai truva atları üzere ziyanlı yazılımları sisteme sokmaya çalıştıklarını gördü. Akınların ağırlaşması ve gelişmiş tehdit aktörlerinin sürüler halinde güvenlik açığını maksat almaları an problemi üzere görünüyor.

Log4Shell güvenlik açığı, dünya çapında şirketlerin Log4j 2 kitaplığının savunmasız sürümlerini kullanarak geliştirdikleri tüm yazılımları tekrar denetlemelerine neden oldu. Yalnızca ESET sistemlerinin tespit ederek engellediği yüz binlerce taarruz teşebbüsü bulunuyor. Sistemlerinizi güncellemek için vakit kaybetmenin sırası değil.

İşletmeler, BT grupları ile birlikte öncelikli bir liste ile A’dan Z’ye tüm yazılım varlıklarının tam bir taramasını yapmalılar. Birçok yazılım geliştirme şirketi eserlerini esasen denetledi ve bunların etkilenip etkilenmediği ve etkileniyorsa müşterilerin hangi azaltıcı tedbirleri almaları gerektiği konusunda müşteri tavsiyeleri yayınladı. BT takımınızın bu müşavere tavsiyelerini süratlice incelemesi gerekiyor.

Kritik olarak, Log4j kitaplığının güvenlik açığı bulunan sürümleri tespit edildikten sonra, BT grupları kitaplığın şu anda 2.16.0 olan en son sürümüne güncellemelidir.

İlgili Makaleler

Bir cevap yazın

E-posta hesabınız yayımlanmayacak.

Başa dön tuşu