Response、Reveal、Complyをお使いのお客様には、この記事で検出と修復のためのソリューションをご紹介しています。Response、Reveal、Complyをお持ちでないお客様には、これらの製品のPOCライセンスについて、お問い合わせフォームから問い合わせください。Cloudを入手してください。2におけるゼロデイ脆弱性が12月9日にGitHubで公開されました。2.16.0以前のバージョンで意図しない外部からのコード実行が行われる脆弱性を保有することから、CVE-2021-44228と認定されました。12月14日にはCVE-2021-45046が認定されました。これは直近で公開されていた暫定対策やLog4jのアップデートが不完全だったことによるものです。この記事ではCVE-2021-45046を踏まえて対策をまとめています。2はオープンソースで提供されるJavaのロギングライブラリーであり、幅広いエンタープライズアプリケーション、オープンソースソフトウェアないし多くのサービスが依存関係にあると推定されます。Log4jを活用したシステム構成は多岐にわたることから、影響範囲の特定ならびに対処は非常に困難になっています。このブログでは、タニウムの各種モジュールを活用して自社システムに当該脆弱性の存在有無を確認する方法、ならびに各種タニウムのパッケージを用いて暫定対策を行い、影響を最小化、ソフトウェアパッチを適用・バージョンアップグレードを迅速に行う方法を記載しております。本脆弱性のTaniumソリューションへの影響について当社のセキュリティチームが行った調査の結果、今回のCVE-2021-44228ならびにCVE-2021-45046にかかる脆弱性が当社提供ソリューションに影響がないことが確認されています。詳細についてはこちらからご確認いただけます。Engineではなくサードパーティ製のスキャンエンジン(例えばCIS-CATなど)をご使用されている場合、今回の事象の影響を受ける可能性がありますのでご注意ください。Taniumソリューション自身はLog4jを活用していませんが、カスタムコンテンツをご利用されているユーザ様の場合は、Log4jを使用している可能性もあります。Clientフォルダに脆弱性をかかえるLog4jが存在する場合は、カスタムコンテンツの作成者にエクスプロイトの可能性をご確認ください。Revealモジュールは影響を受けやすいデータを可視化するためのツールです。このツールを活用することで、log4jインスタンスやベンダがlog4jを活用して再パッケージした製品を特定することが可能になります。具体的なlog4j検索結果イメージは下記の通りです。EARまたWARファイルを検索できます。Revealワークベンチの右側に表示されるギアのアイコンを選択します。Definitionタブを選択する。Definitionsを選び、ダウンロードする。4.ダウンロードした.jsonファイルの編集をする前にバックアップを作成されることを推奨します。ここから、.jsonファイルを編集し、Filters>Patternセクションに下記のパターンを追加します。“($i)(JndiLookup)”}},具体例:5.修正後の.jsonファイルをアップロードします。Ruleの順に選択し、下記の通り設定します。適切な対象グループを記載してください。setsをクリックこの検索結果で表示されるシステムすべてが脆弱性を抱えるわけではないことをご留意ください。暫定対応策が施されている場合や、JREバージョンの組み合わせによっては、log4jを使っていても脆弱性を攻撃される可能性が最小化されていることもあります。Log4j2のjarファイルとバージョンを確認可能です。Responseのversion3.3よりも古いバージョンをお使いの場合は上記に代えて下記のQuestion文を投入してください。Jarファイルならびに、その格納されているディレクトリパス、バージョン情報、ファイルサイズ、ハッシュといった詳細情報を取得可能です。ここで獲得された情報すべてが脆弱性を持つわけではありません。これらの情報から具体的にどのシステムをより詳細に調査すべきかの判断材料となることは間違いないでしょう。jarから削除することを推奨しています。JNDILookup.classが存在しそうなロケーションについては、下記のQuestion文によって検索可能です。Revealのガイドをご参照ください。)脆弱性を抱える可能性のあるソフトウェアをプロセスのコマンドラインから検索することも可能です。これにより、もともとlog4jの稼働を確認できていなかったアプリケーションが実際にはlog4jライブラリにアクセスしているといった情報を確認可能となります。Responseを活用するエクスプロイトの兆候を特定するサーバログを確認することで、エクスプロイトの兆候をみつけるYARAルールがGithubで公開されています。ResponseではYARAルールをインポートすることが可能です。緊急時にあたっては、特にYARAルールやIOCといったセキュリティインテリジェンスの活用に留意されることをおすすめします。セキュリティインテリジェンスを本番環境で活用する上でのベストプラクティスはこちらをご確認ください。YARAを投入する際は、ファイル拡張子が.yaraになっていることを確認してください。YARAルールをインポートしたあとで、インテリジェンスドキュメントのスキャン対象範囲が適切に設定されているか確認してください。インテリジェンスによっては、(メモリ上の)すべての動的なファイルにアクセスするものもありますし、特定の場所にあるファイルのみをスキャンする場合もあります。このYARAルールの実装にあたっては、/var/logのファイルパスに対してスキャンすることを推奨します。Responseを活用したYARAルールの詳しい設定方法はこちらをご覧ください。ハッシュ値を使って脆弱性のあるjarファイルを特定する当該脆弱性を含むバンドルやファイルのハッシュ値が特定されています。取り込んでスキャンを実施することも可能です。Hashを選択し、Matchesフィールドにハッシュ値情報をペーストします。Groupを選択し、Runボタンをクリックしてください。検知対象のハッシュ値を持つファイルが見つかった場合、該当端末やファイル情報がアラートタブに表示されます。Listにこれらのハッシュ値を登録することで検知することも可能です。Scanオプションを活用いただいた方が、より迅速に検索をかけることができますので、今回のlog4jのような緊急度の高い案件の際にはより有用です。Libraryは24時間おきに更新されます。rpmならびにdpkgに限定されています。Complyを活用して脆弱性に該当するインスタンスをCVE定義から容易に特定することが可能です。CVE定義による特定以外にこのガイドに基づいて脆弱性を確認することも重要です。Engineをスキャンエンジンとしてご利用されているお客様には影響はございませんが、別途CISから提供されるCIS-CATをスキャンエンジンとしてご利用されている際には、当該脆弱性の影響がございます。脆弱性が修正されたCIS-CATが提供されるまでの間、下記のスクリーンショットを参考にCIS-CATを無効化されることを推奨します。推奨される対応はlog4jのバージョンを2.16.0+に早急にアップグレードすることです。一方でアップグレードが難しいような環境に向けて、Apacheソフトウェア財団からはそれぞれのバージョンに対して次のような暫定対応策が発表されています。log4j1.xはすでにサポートが終了していますので、Log4j2にアップグレードを検討ください。お使いのユーザは2.12.2が入手可能になるタイミングでのアップグレードを検討くださいなお、暫定対応策として:JNDILookupクラスをクラスパスから削除してくださいJNDILookup.classを削除するLog4j2バージョンが2.10以前の場合、クラスパスからJndiLookupクラスを削除する必要があります。org/apache/logging/log4j/core/lookup/JndiLookup.class脆弱性を抱える可能性のあるインスタンスを検索するセクションで記載した方法でこれらのjarファイルならびにバージョンを確認することが出来ます。影響される可能性のあるjarファイルからJndiLookup.classを削除するZipコマンドをTaniumパッケージとしてビルドしてください。Windows端末上では、下記のクエリでJndiLookup.classが存在するロケーションがIndexされます。Actionをクリックします3.作成したパッケージを選択します4.Deployします注意:タニウムではこれらのリスク回避方法の実施にあたっては、実際に当該システムの管轄部門とセキュリティ部門(Taniumソリューション利用部門)が事前に協議されることをお勧めします。上記プロセスに基づいてJndiLookup.classを用いてJndiManagerを削除することで、JndiContextSelectorならびにJMSAppenderが利用できなくなります。リリースノートをご確認ください。使用中のソフトウェアにパッチを適用する各ベンダーからもアナウンスが出ていますが、お使いのエンタープライズソフトウェアがLog4j2脆弱性との依存関係があるか確認し、ある場合は適切なバージョンにアップグレードすることを推奨します。12月13日にApacheソフトウェア財団からは2.16.0のリリースされています。これはCVE-2021-44228の脆弱性を修正する、先にリリースされたバージョン2.15.0を更に改変したものです。デフォルトで無効化されています。※このブログは、この英文ブログの抄訳です。英文ブログが更新・編集されるタイミングにより、本ブログと内容が異なる場合がございますが、この点予めご了承ください。ご不明点がございましたら、こちらよりお気軽にお問い合わせください。Preferences。