Log4j零日安全漏洞是一場安全夢魘

Log4j 零日安全漏洞（也稱為 Log4Shell），是互聯(lián)網(wǎng)上破壞力最驚人的漏洞之一。每家互聯(lián)網(wǎng)公司都在爭先恐后地修補這個問題，防止黑客利用它。但是，公司需要時間來修復(fù)這個問題。
你無法妥善保護免受 Log4j 攻擊
安全研究人員看到數(shù)以千計的人試圖利用Log4j黑客技術(shù)進入計算機系統(tǒng)。而關(guān)于這個黑客的最糟糕的事情是，即使黑客沒有明確針對你，你也可能受到影響。而且，最糟糕的是，你沒有辦法保護自己。
PegASUS 零日漏洞被發(fā)現(xiàn)之后，蘋果緊急發(fā)布了補丁進行修復(fù)，用戶只需要安裝 iOS 和 iPadOS 更新就可以了。幾年前，當(dāng) Spectre 芯片漏洞出現(xiàn)的時候，由芯片制造商以及在其上運行操作系統(tǒng)的公司來發(fā)布修復(fù)程序。但在 Log4j 黑客事件中，沒有任何一個 iPhone、Android、Windows 或 Mac 的修復(fù)程序可以修補該漏洞并減輕你的擔(dān)憂。
正如我們已經(jīng)看到的，黑客可以影響像微軟的 Minecraft 游戲這樣的程序。黑客通過應(yīng)用內(nèi)的聊天系統(tǒng)發(fā)送幾行文字來接管電腦。而微軟修補了這個漏洞。但任何提供互聯(lián)網(wǎng)服務(wù)和互聯(lián)網(wǎng)連接產(chǎn)品的公司都面臨風(fēng)險。每家公司都必須更新其服務(wù)器，以便攻擊者無法采用 Log4j 黑客。該漏洞問題允許黑客繞過限制，不需要密碼就能進入計算機系統(tǒng)。
從那里，他們可以遠程運行代碼，使他們能夠監(jiān)視這些公司，竊取信息和或金錢。這些公司的客戶可能會受到傷害，這始終是這種黑客攻擊的風(fēng)險。但最終用戶不能自己修補 Log4j 漏洞。
對于Log4j黑客來說，這不是點擊錯誤的鏈接并在你的電腦上下載惡意程序這么簡單。這一切都不在你的掌握之中。盡管你可能很精通互聯(lián)網(wǎng)，但沒有辦法防止黑客攻擊你的某個互聯(lián)網(wǎng)公司的客戶。
根據(jù)Check Point研究人員對Log4j黑客的觀察，攻擊者每分鐘都有超過一百次的嘗試來利用Java日志工具的漏洞。在Log4Shell被披露后的幾天里，Sophos檢測到數(shù)十萬次嘗試。
你可以做什么來解決這個問題
微軟已經(jīng)觀察到涉及在服務(wù)器上安裝加密貨幣挖掘惡意軟件的攻擊。另外，一些黑客試圖在脆弱的系統(tǒng)上安裝 Cobalt Strike，這可能導(dǎo)致黑客竊取用戶名和密碼。該公司還詳細(xì)介紹了可以防止 Log4j 黑客攻擊的 Microsoft 365 Defender 功能。但這對大多數(shù)人來說可能還不夠好，畢竟這只涵蓋了 Windows 和 Linux。而其 IT 團隊?wèi)?yīng)該在服務(wù)器和計算機系統(tǒng)中采用修復(fù)措施。
終端用戶能做的是注意他們的互聯(lián)網(wǎng)屬性。你應(yīng)該繼續(xù)為你的服務(wù)使用強大、獨特的密碼。為敏感的應(yīng)用程序和管理訪問在線金融交易的電子郵件添加雙因素認(rèn)證。留意這些敏感賬戶的可疑活動，無論是電子郵件還是家庭銀行應(yīng)用程序。
你也可以與你的組織的 IT 部門檢查，確保他們知道 Log4j 漏洞是什么，并且需要修復(fù)。同樣地，你可以聯(lián)系其他科技公司，看看他們正在做什么來保護你。另一方面，向客戶代表逼問他們可能沒有的答案也沒有用。
當(dāng)你在做這件事的時候，把你設(shè)備上的所有軟件更新到現(xiàn)有的最新版本。這包括操作系統(tǒng)和應(yīng)用程序。當(dāng)這些公司部署Log4j的修復(fù)程序時，你要確保你盡可能快地得到它們。
安全研究人員幾天前說，需要時間來觀察Log4Shell攻擊的危害。這仍然是事實。而且，在我們等待的過程中，我們可能會得到更多關(guān)于如何保護自己免受Log4j黑客攻擊的信息。
文章轉(zhuǎn)載自cnbeta