Lale Çorumlu

Amerika Birleşik Devletleri, Kanada, Birleşik Krallık, Avustralya ve Yeni Zelanda'daki devlet kurumları Çarşamba günü, yaygın olarak kullanılan Log4j kayıt yardımcı programını etkileyen yakın zamanda açıklanan güvenlik açıklarını ele alma konusunda rehberlik sağlamak için ortak bir siber güvenlik danışmanlığı yayınladığını duyurdu.

Dünyanın dört bir yanındaki hükümetler, en az ikisi - CVE-2021-44228 (diğer adıyla Log4Shell) ve CVE-2021-45046 - saldırılarda istismar edilen son Log4j güvenlik açıklarının oluşturduğu riskler konusunda kuruluşları uyarıyor.

Hem siber suçlular hem de devlet destekli tehdit aktörleri son saldırılarında Log4j'yi hedef aldı, ancak bugüne kadar vurulduğunu doğrulayan tek hükümet kuruluşu Belçika ordusu gibi görünüyor.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) Çarşamba günü SecurityWeek'e Log4j saldırılarının bir sonucu olarak herhangi bir federal kurumun ihlalinden haberdar olmadığını söyledi. CISA, ajanslara riski ele almak için derhal harekete geçme talimatı veren bir acil durum direktifi yayınladı.

Karma istişare Çarşamba günü yayınladığı Siber Güvenlik (CCCS), İngiltere'nin Ulusal Siber Güvenlik Merkezi (NCSC-UK) ve Kanada Merkezi Yeni Zelanda en CISA, FBI, NSA, Avustralya Siber Güvenlik Merkezi (ACSC) arasındaki işbirliğinin sonucudur Bilgisayar Acil Müdahale Ekibi (CERT NZ) ve Ulusal Siber Güvenlik Merkezi (NZ NCSC).

Five Eyes tavsiyesi, önceki rehberliği temel alır ve CVE-2021-45105 olarak izlenen en son DoS sorunu da dahil olmak üzere Log4j güvenlik açıklarının oluşturduğu riski azaltmak için satıcıların ve kuruluşların atması gereken adımları ayrıntılı olarak açıklar.

Satıcılara yönelik öneriler, etkilenen ürünlerin tanımlanmasını, azaltılmasını ve güncellenmesini ve etkilenen ürünlerin son kullanıcılara bildirilmesini içerir.

BT ve bulut varlıklarına sahip kuruluşlara, savunmasız varlıkları belirlemeleri ve bilinen ve muhtemelen etkilenen sistemleri ele almak için adımlar atmaları tavsiye edilir - bu varlıklar tehlikeye atılmış olarak ele alınmalı ve izole edilmelidir. Kılavuz ayrıca tehdit avcılığı ve olay müdahale faaliyetlerini de açıklar.

Danışmanlık ayrıca endüstriyel kontrol sistemleri (ICS) ve diğer OT varlıklarına sahip kuruluşlar için tavsiyeler içerir. Ancak ajanslar, BT cihazlarına, özellikle internete maruz kalanlara öncelik verilmesi gerektiğine inanıyor.

“OT/ICS cihazları - BT ortamından uygun şekilde bölümlere ayrılırsa - internete bakmıyor ve bu nedenle bu güvenlik açığına karşı daha küçük bir saldırı yüzeyine sahip. Yanal hareketi önleyen yetersiz ağ segmentasyonu varsa, BT cihazlarının istismarı OT/ICS cihazlarını etkileyebilir” deniyor.

Azaltma kılavuzuna ek olarak, CISA bu hafta kuruluşların son güvenlik açıklarından etkilenen potansiyel olarak savunmasız web hizmetlerini belirlemelerine yardımcı olmak için tasarlanmış açık kaynaklı bir Log4j tarayıcının piyasaya sürüldüğünü duyurdu.

Kaynak: https://www.securityweek.com/five-eyes-nations-issue-joint-guidance-log4j-vulnerabilities