Apache a publié log4j 2.16.0 pour corriger cette vulnérabilité (mise à jour : 12/14). McAfee Enterprise recommande d’appliquer cette mise à jour aux systèmes concernés et de consulter les configurations log4j appropriées dans votre environnement afin d’identifier les workflows potentiels susceptibles d’être concernés par cette vulnérabilité. Pour les applications tierces, contactez les fournisseurs d’applications en fonction des étapes à suivre.

Une multitude de méthodes ont été observées lorsque les attaquants utilisaient Log4Shell. Il existe un large éventail de cette vulnérabilité, et la seule manière la plus simple d’ensemencer des risques, est d’appliquer les mises à jour fournisseur et de passer en revue les configurations application. Ces actions permettent de s’assurer que la vulnérabilité est atténuée en fonction des recommandations de Apache. Comme pour tous les principaux zéro jour, la meilleure approche en matière de sécurité est de supposer que vous avez déjà été analysé, que vous êtes ciblé et que vous appliquez des mesures de correction ou d’atténuation avec une priorité absolue. McAfee Enterprise travaille de façon permanente pour assurer la couverture de cette menace et de s’assurer que les administrateurs de la sécurité sont activés lors de leurs investigations lors de l’évaluation de leur environnement.

Les produits d’entreprise McAfee-ils concernés par cette vulnérabilité ?
McAfee Enterprise examine tous les produits de notre portefeuille pour évaluer l’impact potentiel et les risques pour les clients. Le 13 décembre 2021, McAfee Enterprise publiait un bulletin de sécurité formel pour fournir des conseils aux clients sur les produits concernés par cette vulnérabilité. L’objectif était de hiérarchiser les produits qui n’incluent pas le composant log4j ou qui ne sont pas menacés par ailleurs.

Pour savoir si un produit de votre environnement est concerné, une solution temporaire et des étapes d’atténuation, ainsi que d’autres McAfee informations relatives aux produits de l’entreprise, consultez : SB10377-Registered-Bulletin de sécurité-McAfee produits de l’entreprise pour "Log4Shell" (CVE-2021-44228).
REMARQUE : Le contenu référencé est uniquement disponible pour les utilisateurs de ServicePortal consignés. Pour afficher le contenu, cliquez sur le lien et connectez-vous lorsque vous y êtes invité.

Les mises à jour continueront d’être fournies dès qu’elles seront disponibles.



Comment McAfee les solutions de produits d’entreprise ?
Il est toujours conseillé de veiller à ce que les logiciels et les systèmes d’exploitation soient mis à jour avec les mises à jour et les mises à jour de sécurité disponibles dès leur publication. McAfee Enterprise recommande également d’évaluer et de mettre en œuvre des contre-mesures générales contre les menaces d’entrée de gamme adaptées à votre environnement. Pour plus d’informations, voir : KB91836-contre-mesures pour les menaces de vecteurs d’entrée. La plupart de ces méthodes, qui ne corrigent pas la vulnérabilité, peuvent sérieusement empêcher les acteurs des fonctionnalités de post-exploitation et fournir une visibilité aux administrateurs de sécurité pour qu’ils puissent répondre de manière appropriée.

McAfee Enterprise évalue la couverture du produit dans notre portefeuille de solutions de sécurité. Cet article sera mis à jour à mesure que les possibilités de couverture possibles et les contre-mesures sont identifiées. Des

fonctionnalités de produit sont actuellement disponibles pour les composants suivants :

Détection et réponse :

1. Vous devez appliquer l' ExtraDAT fourni dans la section des pièces jointes de cet article afin de fournir du contenu pour les analyses de mémoire à la demande afin de détecter JNDI les chaînes associées dans la mémoire de processus.
   Important : Le 21 décembre, un nouvel ExtraDAT a été ajouté à cet article dans l’archive EXTRA2.zip . Pour plus d’informations, reportez-vous à la section "réglage de la règle expert pour votre environnement" section ci-dessous.
   
2. Vous devez mettre en œuvre la règle expert dans votre stratégie de prévention contre les exploits Endpoint Security et la définir sur signaler uniquement. La règle expert ne fournit pas suffisamment de protection pour être utile dans le cadre d’une capacité de blocage, ce qui risque de provoquer un conflit avec les processus légitimes de votre environnement. Si vous définissez la règle sur rapport uniquement, assurez-vous qu’elle déclenche les analyses de mémoire à la demande lorsque la règle est enfreinte, sans risque de bloquer les blocs inattendus.

• Il est important que cette configuration soit minutieusement testée pour garantir l’intégrité des règles et éviter tout conflit potentiel. Une fois que les tests confirment que la règle est viable pour votre environnement, les clients sont encouragés à appliquer ce mécanisme aux plates-formes Windows Server auxquelles les applications Java sont potentiellement exposées à la connectivité réseau à partir d’Internet. Par exemple, Apache Tomcat, des serveurs de recherche élastiques. Cela réduit la probabilité de faux positifs et les mesures de réglage supplémentaires que ces résultats peuvent nécessiter. Client : n’est pas recommandé d’appliquer ce contenu aux postes de travail des utilisateurs généraux Windows.
• McAfee Enterprise examine également les options permettant de mettre ce contenu à la disposition des clients MVISION. Abonnez-vous à cet article pour être informé de la mise à jour des mises à jour.
• Cette configuration entraîne la génération de deux événements lorsqu’un comportement potentiellement malveillant est détecté. La première détection reflète le déclencheur de la règle de prévention contre les exploits. La seconde détection reflète l’analyse de la mémoire à la demande qui détecte un comportement potentiellement malveillant. Si seul le premier événement est reçu, l’analyse de la mémoire n’a identifié aucune chaîne malveillante JNDI dans la mémoire du processus. Si le deuxième événement est reçu, indiquant que l’analyse de la mémoire à la demande a détecté une JNDI chaîne associée dans la mémoire du processus, les administrateurs doivent prendre des mesures immédiates sur le système identifié.
• L’image ci-dessous illustre les deux types de menaces de détection possibles. Notez le type Trojan de menace, avec l’analyse à la demande du processus source de la menace. Ce type d’événement est l’événement de deuxième étape et indique que les administrateurs doivent prendre des mesures immédiates.

1. Archivez le fichier ExtraDAT dans ePO à l’aide de la fonction’archiver le package’de la page référentiel maître. Ou, pour les tests ou les postes clients non managés, appliquez le fichier ExtraDAT à l’aide de la console ENS.
   Pour plus d’informations, reportez-vous à l' article : article kb67602-comment archiver et déployer un fichier extra .DAT dans ePolicy Orchestrator et KB93673-application locale supplémentaire .DAT à l’aide de la client Endpoint Security.
   Une fois l’archivage effectué, l’ExtraDAT reflète le nom suivant dans le référentiel maître et dans les tâches client.
   
   Remarque : McAfee Enterprise offre un outil permettant de fusionner des ExtraDATs sur le portail de support si vous recevez un autre pilote supplémentaire qui doit être appliqué à votre environnement.
   
2. Assurez-vous que les tâches de mise à jour client vers les postes clients incluent le type de package ExtraDAT, et que ces mises à jour sont appliquées aux systèmes. Une fois que l’ExtraDAT est déployé sur les systèmes censés recevoir la règle d’expert, poursuivez la modification de vos stratégies à l’étape 3.
3. Pour configurer la règle de l’expert, accédez à votre Endpoint Security, stratégie prévention contre les exploits . Ajoutez une règle d’expert configurée avec les paramètres suivants :

   Nom de la règle	Exploit Log4J JNDI
   Gravité	Elevée
   Action	Rapport
   Type de règle	Processus

4. Appliquez le contenu de règle suivant à la règle :
   
   Rule {
   Reaction SCAN ACTOR_PROCESS ScanAction REPORT
   Process {
   Include OBJECT_NAME {
   -v "java.exe"
   -v "javaw.exe"
   -v "tomcat*.exe"
   }
   Include AggregateMatch -xtype "dll1" {
   Include DLL_LOADED -name "java" { -v 0x1 }
   }
   Include AggregateMatch -xtype "dll2" {
   Include DLL_LOADED -name "jvm" { -v 0x1 }
   }
   }
   Target {
   Match PROCESS {
   Include OBJECT_NAME { -v "cmd.exe" }
   Include OBJECT_NAME { -v "powershell.exe" }
   Include OBJECT_NAME { -v "powershell_ise.exe" }
   Include OBJECT_NAME { -v "wscript.exe" }
   Include OBJECT_NAME { -v "cscript.exe" }
   Include OBJECT_NAME { -v "rundll32.exe" }
   Exclude PROCESS_CMD_LINE { -v "* chcp 1252 *" }
   }
   }
   }
5. Enregistrez la règle et la stratégie modifiées. Appliquez-le aux postes clients ayant reçu le contenu ExtraDAT approprié.
   

• CLEAN_PROCESS -Tentative de nettoyage du processus. La détection est consignée dans le journal d’activité de l’analyse à la demande.
• DELETE_PROCESS -Tentative de suppression du processus. La détection est consignée dans le journal d’activité de l’analyse à la demande.
• CLEAN_DELETE_PROCESS -Essayez d’abord de nettoyer le processus, en cas d’échec, essayez de supprimer le processus. La détection est consignée dans le journal d’activité de l’analyse à la demande.
• REPORT -Aucune action n’est effectuée sur le processus détecté. La détection est consignée dans le journal d’activité de l’analyse à la demande et un événement de détection est envoyé à ePO.
• REPORT_CLEAN_PROCESS -Tentative de nettoyage du processus. La détection est consignée dans le journal d’activité de l’analyse à la demande et un événement de détection est envoyé à ePO.
• REPORT_DELETE_PROCESS -Tentative de suppression du processus. La détection est consignée dans le journal d’activité de l’analyse à la demande et un événement de détection est envoyé à ePO.
• REPORT_CLEAN_DELETE_PROCESS -Essayez d’abord de nettoyer le processus, en cas d’échec, essayez de supprimer le processus. La détection est consignée dans le journal d’activité de l’analyse à la demande et un événement de détection est envoyé à ePO.

Endpoint Security (ENS), VirusScan Enterprise (VSE), McAfee Web Gateway (MWG) :
Le 12 décembre 2021, McAfee Enterprise a publié le contenu V3AMCore4648, MEDDAT 4818.0000et v2 dat 10196. Les détections génériques sont fournies sous le titre Exploit-CVE-2021-44228.C . Ces détections identifient l’utilisation de chaînes potentiellement malveillantes jndi:ldaps, jndi:ldap , jndi:rmi et jndi:dns de chaînes. Les détections sont représentées sous la forme d’un "programme potentiellement indésirable" et il est conseillé de passer en revue les stratégies afin de s’assurer que les analyseurs honorent les détections de programmes indésirables.
D’autres détections continuent d’être ajoutées, et il est conseillé aux clients de mettre à jour le contenu des terminaux et des passerelles à la fin de la cadence de distribution quotidienne de McAfee entreprises.

• Lors de l’utilisation de MWG comme proxy inverse, les systèmes situés derrière lui sont protégés contre les exploits Log4Shell dans les en-têtes HTTP et le corps (GAM détecte exploit modèles dans une demande POST à l’aide des dernières mises à jour de fichiers DAT).
• Lors de l’utilisation de MWG comme proxy de transfert, les attaques provenant de votre réseau avec une demande POST via le proxy seront bloquées.

1. Placez le Définissez 2021-12-13_10-50_Search for Log4Shell.xml de règles (disponible dans la section pièces jointes de cet article) sur le bureau.
2. Cliquez sur Ajouter , puis sur jeu de règles de premier niveau.
3. Cliquez sur importer le jeu de règles à partir de la bibliothèque de jeux de règles.
4. Cliquez sur Importer à partir d’un fichier.
5. Sélectionnez le fichier.
6. Résoudre tous les conflits.
7. Cliquez sur OK.
8. Déplacez le jeu de règles vers un emplacement approprié dans la stratégie, idéalement où l’analyse SSL est activée.
9. Cliquez sur Enregistrer les modifications.

• Signature définie par l’utilisateur : KB95092-Registered--uds Emergency d’urgence notes de publication-uds-http : Apache Log4j2 vulnérabilité d’exécution de code à distance (CVE-2021-44228)
• ID d’attaque : Automatiquement affecté
• Protocole d’attaque : HTTP
• Sens de l' attaque : Client vers serveur
• A-t-il été inclus dans la prochaine sigset régulière ? Oui
• Date de publication : 12 décembre 2021
• Description : Cette alerte indique une tentative de exploit une vulnérabilité de type exécution de code à distance dans Apache log4j 2.
  

Chasse, évaluation des vulnérabilités et investigation :

• Mvision Endpoint Detection and Response (EDR), McAfee Active Response (Mar) :
  Vous pouvez utiliser les fonctionnalités' Real-Time Search 'et' Historical Search 'pour rechercher de manière proactive des systèmes vulnérables ou exploit activité au sein de votre environnement.
  McAfee entreprise tient à niveau un référentiel GitHub de requêtes utiles Real-Time Search que les administrateurs peuvent trouver pour les aider à effectuer leur investigation. Pour plus d’informations, voir McAfee requêtes RTS de l’entreprise GitHub.
  Les collecteurs intégrés permettent de rechercher les éléments suivants :
  
  Une auto-évaluation des versions vulnérables signalées de log4j par hachage peut être effectuée avec une requête de base. Par exemple :
  
  HostInfo os, hostname, platform
  AND Files sha256, full_name
  WHERE HostInfo platform equals "Linux"
  AND Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "58e9f72081efff9bdaabd82e3b3efe5b1b9f1666cefe28f429ad7176a6d770ae"
  OR Files sha256 equals "ed285ad5ac6a8cf13461d6c2874fdcd3bf67002844831f66e21c2d0adda43fa4"
  OR Files sha256 equals "dbf88c623cc2ad99d82fa4c575fb105e2083465a47b84d64e2e1a63e183c274e"
  OR Files sha256 equals "a38ddff1e797adb39a08876932bc2538d771ff7db23885fb883fec526aff4fc8"
  OR Files sha256 equals "7d86841489afd1097576a649094ae1efb79b3147cd162ba019861dfad4e9573b"
  OR Files sha256 equals "4bfb0d5022dc499908da4597f3e19f9f64d3cc98ce756a2249c72179d3d75c47"
  OR Files sha256 equals "473f15c04122dad810c919b2f3484d46560fd2dd4573f6695d387195816b02a6"
  OR Files sha256 equals "b3fae4f84d4303cdbad4696554b4e8d2381ad3faf6e0c3c8d2ce60a4388caa02"
  OR Files sha256 equals "dcde6033b205433d6e9855c93740f798951fa3a3f252035a768d9f356fde806d"
  OR Files sha256 equals "85338f694c844c8b66d8a1b981bcf38627f95579209b2662182a009d849e1a4c"
  OR Files sha256 equals "db3906edad6009d1886ec1e2a198249b6d99820a3575f8ec80c6ce57f08d521a"
  OR Files sha256 equals "ec411a34fee49692f196e4dc0a905b25d0667825904862fdba153df5e53183e0"
  OR Files sha256 equals "a00a54e3fb8cb83fab38f8714f240ecc13ab9c492584aa571aec5fc71b48732d"
  OR Files sha256 equals "c584d1000591efa391386264e0d43ec35f4dbb146cad9390f73358d9c84ee78d"
  OR Files sha256 equals "8bdb662843c1f4b120fb4c25a5636008085900cdf9947b1dadb9b672ea6134dc"
  OR Files sha256 equals "c830cde8f929c35dad42cbdb6b28447df69ceffe99937bf420d32424df4d076a"
  OR Files sha256 equals "6ae3b0cb657e051f97835a6432c2b0f50a651b36b6d4af395bbe9060bb4ef4b2"
  OR Files sha256 equals "535e19bf14d8c76ec00a7e8490287ca2e2597cae2de5b8f1f65eb81ef1c2a4c6"
  OR Files sha256 equals "42de36e61d454afff5e50e6930961c85b55d681e23931efd248fd9b9b9297239"
  OR Files sha256 equals "4f53e4d52efcccdc446017426c15001bb0fe444c7a6cdc9966f8741cf210d997"
  OR Files sha256 equals "df00277045338ceaa6f70a7b8eee178710b3ba51eac28c1142ec802157492de6"
  OR Files sha256 equals "28433734bd9e3121e0a0b78238d5131837b9dbe26f1a930bc872bad44e68e44e"
  OR Files sha256 equals "cf65f0d33640f2cd0a0b06dd86a5c6353938ccb25f4ffd14116b4884181e0392"
  OR Files sha256 equals "5bb84e110d5f18cee47021a024d358227612dd6dac7b97fa781f85c6ad3ccee4"
  OR Files sha256 equals "ccf02bb919e1a44b13b366ea1b203f98772650475f2a06e9fac4b3c957a7c3fa"
  OR Files sha256 equals "815a73e20e90a413662eefe8594414684df3d5723edcd76070e1a5aee864616e"
  OR Files sha256 equals "10ef331115cbbd18b5be3f3761e046523f9c95c103484082b18e67a7c36e570c"
  OR Files sha256 equals "dc815be299f81c180aa8d2924f1b015f2c46686e866bc410e72de75f7cd41aae"
  OR Files sha256 equals "9275f5d57709e2204900d3dae2727f5932f85d3813ad31c9d351def03dd3d03d"
  OR Files sha256 equals "f35ccc9978797a895e5bee58fa8c3b7ad6d5ee55386e9e532f141ee8ed2e937d"
  OR Files sha256 equals "5256517e6237b888c65c8691f29219b6658d800c23e81d5167c4a8bbd2a0daa3"
  OR Files sha256 equals "d4485176aea67cc85f5ccc45bb66166f8bfc715ae4a695f0d870a1f8d848cc3d"
  OR Files sha256 equals "3fcc4c1f2f806acfc395144c98b8ba2a80fe1bf5e3ad3397588bbd2610a37100"
  OR Files sha256 equals "057a48fe378586b6913d29b4b10162b4b5045277f1be66b7a01fb7e30bd05ef3"
  OR Files sha256 equals "5dbd6bb2381bf54563ea15bc9fbb6d7094eaf7184e6975c50f8996f77bfc3f2c"
  OR Files sha256 equals "c39b0ea14e7766440c59e5ae5f48adee038d9b1c7a1375b376e966ca12c22cd3"
  OR Files sha256 equals "6f38a25482d82cd118c4255f25b9d78d96821d22bab498cdce9cda7a563ca992"
  OR Files sha256 equals "54962835992e303928aa909730ce3a50e311068c0960c708e82ab76701db5e6b"
  OR Files sha256 equals "e5e9b0f8d72f4e7b9022b7a83c673334d7967981191d2d98f9c57dc97b4caae1"
  OR Files sha256 equals "68d793940c28ddff6670be703690dfdf9e77315970c42c4af40ca7261a8570fa"
  OR Files sha256 equals "9da0f5ca7c8eab693d090ae759275b9db4ca5acdbcfe4a63d3871e0b17367463"
  OR Files sha256 equals "006fc6623fbb961084243cfc327c885f3c57f2eba8ee05fbc4e93e5358778c85"
  
  Hachages de fichier pour les versions log4j 2.x provenant de GitHub.
  
  
  Identifiez les systèmes sur lesquels des versions vulnérables de log4j installées par nom de fichier. Par exemple : Files and HostInfo hostname dont le nom de fichier contient log4j.
  Les noms de fichier peuvent différer d’une version à l’autre ou si log4j est fourni via une solution de fournisseur.

  

  
  Identifiez les tentatives de communication sortantes vers des domaines de légende connus.

  
  Identifiez les indicateurs de compromission (IOC) associés à des charges utiles exploit.
  

  Remarque : Sur Linux, par défaut, .JAR les fichiers sont exclus du hachage de fichier. Pour obtenir une visibilité précise de votre environnement, supprimez .JAR du hachage de fichierde stratégies EDR, ignorez les Extensions sur les paramètres Linux. Cette modification ne nécessite pas que les systèmes de fichiers soient entièrement hachés.
  
  

• Mcafee Siem
  McAfee entreprise a publié la version 4.1.0 du pack d’exploitation exploit, qui est désormais disponible pour téléchargement à partir du serveur de règles. Ce pack de contenu contient une nouvelle alarme appelée "exploit-possibilité d’exploit Log4Shell". Cette alarme examine les champs d’URL et de User_Agent pour que la chaîne spécifique jndi indique une tentative de exploit possible.
  
  Pour plus d’informations sur SIEM exploit Content Pack 4.1.0 , reportez-vous à l’adresse : KB85403-Registered-packs de contenu Siem pour exploit.
  REMARQUE : Le contenu référencé est uniquement disponible pour les utilisateurs de ServicePortal consignés. Pour afficher le contenu, cliquez sur le lien et connectez-vous lorsque vous y êtes invité.

Décisionnel face aux menaces :

• Insights MVISION :