A Apache lançou o Log4J 2.16.0 para solucionar essa vulnerabilidade (atualizado em: 12/14). A McAfee Enterprise recomenda aplicar essa atualização a sistemas impactados e revisar configurações relevantes do log4j em seu ambiente para identificar possíveis fluxos de trabalho que possam estar sujeitos a essa vulnerabilidade. Para aplicativos de terceiros, entre em contato com os fornecedores de aplicativos em etapas para fazê-lo.

Houve um grande quantidade de métodos observados nos quais os atacantes podem usar o Log4Shell. Há um amplo escopo e uma escala dessa vulnerabilidade, e a única maneira definitiva de se inoculated de riscos, é em ambos: aplicar atualizações de fornecedor e revisar as configurações de aplicativos. Essas ações garantem que a vulnerabilidade seja atenuada de acordo com as recomendações de Apache. Assim como ocorre com todos os principais dias zero, a melhor abordagem de segurança é supor que você já tenha sido varrido, que esteja sendo direcionado e aplique etapas de remediação ou atenuação com prioridade absoluta. A McAfee Enterprise está funcionando incansavelmente para fornecer cobertura para essa ameaça e garantir que os administradores de segurança estejam ativados em suas investigações ao avaliarem seus ambientes.

McAfee produtos corporativos impactaram por essa vulnerabilidade?
McAfee Enterprise está analisando todos os produtos em nosso portfólio para avaliar o impacto potencial e o risco para os clientes. Em 13 de dezembro de 2021, McAfee Enterprise publicou um boletim de segurança formal para fornecer orientação aos clientes sobre os produtos que são afetados por essa vulnerabilidade. O objetivo foi descrever os produtos que não incluem o componente Log4J ou que não estão em risco.

Para obter informações sobre se um produto em seu ambiente é afetado, uma solução alternativa e as etapas de mitigação e outras McAfee informações relacionadas a produtos corporativos, consulte: SB10377-boletim de segurança-McAfee Enterprise Products '-status de "Log4Shell" (CVE-2021-44228).
NOTA: O conteúdo mencionado está disponível somente para logon feito no ServicePortal users. Para exibir o conteúdo, clique no link e efetue login quando solicitado.

As atualizações continuarão a ser fornecidas, à medida que elas se tornarem disponíveis.



Coma McAfee a ajuda das soluções de produtos corporativos?
É sempre aconselhado e recomendado, para garantir que o software e os sistemas operacionais estejam atualizados nas atualizações disponíveis e atualizações de segurança à medida que eles são lançados. A McAfee Enterprise também recomenda avaliar e implementar contramedidas gerais contra ameaças de nível de entrada, onde adequado em seu ambiente. Para obter mais informações, consulte: KB91836-medidas defensivas para ameaças de vetor de entrada. Muitos desses métodos, enquanto não abordam a vulnerabilidade, podem inibir seriamente os recursos de pós-exploração dos atores e proporcionar visibilidade para que os administradores de segurança respondam de forma apropriada.

McAfee Enterprise está avaliando a cobertura de produtos em nosso portfólio de soluções de segurança. Este artigo será atualizado à medida que possíveis oportunidades de cobertura e medidas defensivas forem identificadas.

Os recursos do produto estão disponíveis para os seguintes componentes no momento:

Detecção e resposta:

1. Você deve aplicar as ExtraDat fornecidas na seção anexo deste artigo para fornecer conteúdo para varreduras de memória por solicitação a fim de detectar JNDI as cadeias de caracteres relacionadas na memória do processo.
   Importante: Em 21 de dezembro, um novo ExtraDAT foi adicionado a este artigo no arquivamento EXTRA2.zip . Para obter mais informações, consulte o "ajustando a regra de especialista do seu ambiente" seção abaixo.
   
2. Você deve implementar a regra de especialista em sua política do Endpoint Security Exploit Prevention e definir como somente relatar . A regra de especialista não fornece proteção suficiente para ser útil em uma capacidade de bloqueio e, dessa forma, os riscos podem causar possíveis conflitos com processos legítimos em seu ambiente. A definição da regra como somente relatar , garante que ele dispare as varreduras de memória por solicitação quando a regra for violada, sem risco de bloqueios indesejados.

• É importante que essa configuração seja testada completamente para garantir a integridade da regra e para evitar qualquer conflito em potencial. Quando o teste confirma que a regra é viável para o seu ambiente, os clientes são incentivados a aplicar esse mecanismo a Windows Server plataformas em que Java aplicativos baseados estejam potencialmente expostos à conectividade de rede pela Internet. Por exemplo, Apache Tomcat, servidores de pesquisa elásticos. Isso diminui a probabilidade de falsos positivos e as medidas de ajuste adicionais que podem ser necessárias para os resultados. A aplicação deste conteúdo às estações de trabalho de Windows de usuários gerais não é recomendada.
• A McAfee Enterprise está revisando opções para tornar esse conteúdo disponível para os clientes de MVISION também. Assine este artigo para ser informado quando as atualizações forem feitas.
• Essa configuração resulta em dois eventos que são gerados quando um comportamento potencialmente malicioso é detectado. A primeira detecção reflete o disparador de regras de prevenção de exploração. A segunda detecção reflete a varredura de memória por solicitação que detecta o comportamento potencialmente malicioso. Se apenas o primeiro evento for recebido, a varredura de memória não identificou quaisquer cadeias de caracteres relacionadas a maliciosos JNDI na memória do processo. Se o segundo evento for recebido, indicando que a varredura de memória por solicitação detectou uma JNDI cadeia relacionada na memória do processo, os administradores devem executar ações imediatas no sistema identificado.
• A imagem a seguir representa exemplos dos dois tipos de ameaças de detecção possíveis diferentes. Observe o tipo Trojan de ameaça, com o processo de origem da ameaça ' varredura sob demanda '. Esse tipo de evento é o evento de segundo estágio e indica que os administradores devem executar ações imediatas.

1. Faça check-in do arquivo de ExtraDAT no ePO, por meio da função de "pacote de check-in" da página do repositório mestre. Ou, para testes ou pontos de extremidade não gerenciados, aplique o ExtraDAT por meio do console do ENS.
   Para obter mais informações, consulte: KB67602-como fazer check-in e distribuir um extra .DAT no ePolicy Orchestrator e KB93673-aplique o extra .DAT localmente usando o cliente do Endpoint Security.
   Após o check-in, o ExtraDAT reflete o nome a seguir no repositório mestre e dentro das tarefas do cliente.
   
   Nota: McAfee Enterprise oferece uma ferramenta para mesclar ExtraDATs no portal de suporte se você receber outro driver extra que deve ser aplicado ao seu ambiente.
   
2. Verifique se as tarefas de atualização do cliente para os pontos de extremidade incluem o tipo de pacote ExtraDAT, e se essas atualizações são aplicadas aos sistemas. Depois que o ExtraDAT for implantado em sistemas que devem receber a regra de especialista, continue com a modificação de suas políticas na etapa 3.
3. Para configurar a regra de especialista, navegue até o Endpoint Security, política de prevenção de exploração . Adicione uma regra de especialista configurada com as seguintes configurações:

   Nome da regra	Exploração de Log4J de JNDI
   Gravidade	Alta
   Ação	Relatar
   Tipo de regra	Processos

4. Aplique o seguinte conteúdo de regra à regra:
   
   Rule {
   Reaction SCAN ACTOR_PROCESS ScanAction REPORT
   Process {
   Include OBJECT_NAME {
   -v "java.exe"
   -v "javaw.exe"
   -v "tomcat*.exe"
   }
   Include AggregateMatch -xtype "dll1" {
   Include DLL_LOADED -name "java" { -v 0x1 }
   }
   Include AggregateMatch -xtype "dll2" {
   Include DLL_LOADED -name "jvm" { -v 0x1 }
   }
   }
   Target {
   Match PROCESS {
   Include OBJECT_NAME { -v "cmd.exe" }
   Include OBJECT_NAME { -v "powershell.exe" }
   Include OBJECT_NAME { -v "powershell_ise.exe" }
   Include OBJECT_NAME { -v "wscript.exe" }
   Include OBJECT_NAME { -v "cscript.exe" }
   Include OBJECT_NAME { -v "rundll32.exe" }
   Exclude PROCESS_CMD_LINE { -v "* chcp 1252 *" }
   }
   }
   }
5. Salve a regra e a política modificadas. Aplique-a aos pontos de extremidade que receberam o conteúdo de ExtraDAT apropriado.
   

• CLEAN_PROCESS -Tentativa de limpar o processo. A detecção é registrada no registro de atividades da varredura por solicitação.
• DELETE_PROCESS -Tentativa de excluir o processo. A detecção é registrada no registro de atividades da varredura por solicitação.
• CLEAN_DELETE_PROCESS -Primeiro, tente limpar o processo, caso não tenha êxito e tente excluir o processo. A detecção é registrada no registro de atividades da varredura por solicitação.
• REPORT -Não executar nenhuma ação sobre o processo detectado. A detecção é registrada no registro de atividades da varredura por solicitação e um evento de detecção é enviado ao ePO.
• REPORT_CLEAN_PROCESS -Tentativa de limpar o processo. A detecção é registrada no registro de atividades da varredura por solicitação e um evento de detecção é enviado ao ePO.
• REPORT_DELETE_PROCESS -Tentativa de excluir o processo. A detecção é registrada no registro de atividades da varredura por solicitação e um evento de detecção é enviado ao ePO
• REPORT_CLEAN_DELETE_PROCESS -Primeiro, tente limpar o processo, caso não tenha êxito e tente excluir o processo. A detecção é registrada no registro de atividades da varredura por solicitação e um evento de detecção é enviado ao ePO.

Endpoint Security (ens), VirusScan Enterprise (VSE), McAfee Web Gateway (MWG):
Em 12 de dezembro de 2021, McAfee Enterprise lançou conteúdo V3AMCore4648, MEDDAT 4818.0000e v2 dat 10196. As detecções genéricas são fornecidas sob o título Exploit-CVE-2021-44228.C . Essas detecções identificam o uso de potencialmente maliciosos jndi:ldaps, jndi:ldap , jndi:rmi e jndi:dns cadeias de caracteres. As detecções são representadas como um "programa potencialmente indesejado" e é recomendável que você revise as políticas para certificar-se de que os mecanismos de varredura obedeçam às detecções de programas indesejados.
Outras detecções continuam a ser adicionadas, e é recomendável que os clientes continuem a atualização o conteúdo de terminal e gateway seguindo a McAfee das empresas de versões diárias.

• Quando você usa o MWG como um proxy reverso, os sistemas por trás dele são protegidos contra explorações do Log4Shell em cabeçalhos HTTP e corpo (o GAM detecta padrões de exploração em uma solicitação de POST, com atualizações de DAT recentes).
• Quando você usa o MWG como um proxy progressivo, os ataques originados de sua própria rede com uma solicitação POST através do proxy serão bloqueados.

1. Coloque o conjunto 2021-12-13_10-50_Search for Log4Shell.xml de regras (disponível na seção anexo deste artigo) na área de trabalho.
2. Clique em Adicionar e, em seguida, no conjunto de regras de nível superior.
3. Clique em Importar conjunto de regras da biblioteca de conjuntos de regras.
4. Clique em Importar do arquivo.
5. Selecione o arquivo.
6. Resolver todos os conflitos.
7. Clique em OK.
8. Mova a configuração de regra para um local apropriado na política, de forma ideal onde a varredura SSL está ativada.
9. Clique em Salvar alterações.

• Assinatura definida pelo usuário: KB95092-Registered-NSP Emergency UDS Release Notes-UDS-http: Apache vulnerabilidade de execução remota de código no Log4j2 (CVE-2021-44228)
• ID de ataque: Automaticamente atribuído
• Protocolo de ataque: PROTOCOLO
• Direção do ataque: Cliente para servidor
• A ser incluído no próximo Sigset regular? Sim
• Data de lançamento: 12 de dezembro de 2021
• Descrição: Este alerta indica uma tentativa de exploração de uma vulnerabilidade de execução remota de código no Apache Log4J 2.
  

Busca, avaliação de vulnerabilidades e investigação:

• MVISION Endpoint Detection and Response (EDR), McAfee Active Response (mar):
  Você pode usar a funcionalidade ' Real-Time Search ' e ' Historical Search ' para procurar proativamente sistemas vulneráveis ou atividades de exploração em seu ambiente.
  A McAfee Enterprise mantém um repositório GitHub de consultas úteis ' Real-Time Search ' que os administradores podem encontrar para ajudá-los em sua investigação. Para obter mais informações, consulte McAfee consultas RTS da empresa do GitHub.
  Os coletores incorporados podem ativar a pesquisa para o seguinte:
  
  A autoavaliação de versões vulneráveis e informadas do log4j pelo hash pode ser realizada com uma consulta de base. Por exemplo:
  
  HostInfo os, hostname, platform
  AND Files sha256, full_name
  WHERE HostInfo platform equals "Linux"
  AND Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "bf4f41403280c1b115650d470f9b260a5c9042c04d9bcc2a6ca504a66379b2d6"
  OR Files sha256 equals "58e9f72081efff9bdaabd82e3b3efe5b1b9f1666cefe28f429ad7176a6d770ae"
  OR Files sha256 equals "ed285ad5ac6a8cf13461d6c2874fdcd3bf67002844831f66e21c2d0adda43fa4"
  OR Files sha256 equals "dbf88c623cc2ad99d82fa4c575fb105e2083465a47b84d64e2e1a63e183c274e"
  OR Files sha256 equals "a38ddff1e797adb39a08876932bc2538d771ff7db23885fb883fec526aff4fc8"
  OR Files sha256 equals "7d86841489afd1097576a649094ae1efb79b3147cd162ba019861dfad4e9573b"
  OR Files sha256 equals "4bfb0d5022dc499908da4597f3e19f9f64d3cc98ce756a2249c72179d3d75c47"
  OR Files sha256 equals "473f15c04122dad810c919b2f3484d46560fd2dd4573f6695d387195816b02a6"
  OR Files sha256 equals "b3fae4f84d4303cdbad4696554b4e8d2381ad3faf6e0c3c8d2ce60a4388caa02"
  OR Files sha256 equals "dcde6033b205433d6e9855c93740f798951fa3a3f252035a768d9f356fde806d"
  OR Files sha256 equals "85338f694c844c8b66d8a1b981bcf38627f95579209b2662182a009d849e1a4c"
  OR Files sha256 equals "db3906edad6009d1886ec1e2a198249b6d99820a3575f8ec80c6ce57f08d521a"
  OR Files sha256 equals "ec411a34fee49692f196e4dc0a905b25d0667825904862fdba153df5e53183e0"
  OR Files sha256 equals "a00a54e3fb8cb83fab38f8714f240ecc13ab9c492584aa571aec5fc71b48732d"
  OR Files sha256 equals "c584d1000591efa391386264e0d43ec35f4dbb146cad9390f73358d9c84ee78d"
  OR Files sha256 equals "8bdb662843c1f4b120fb4c25a5636008085900cdf9947b1dadb9b672ea6134dc"
  OR Files sha256 equals "c830cde8f929c35dad42cbdb6b28447df69ceffe99937bf420d32424df4d076a"
  OR Files sha256 equals "6ae3b0cb657e051f97835a6432c2b0f50a651b36b6d4af395bbe9060bb4ef4b2"
  OR Files sha256 equals "535e19bf14d8c76ec00a7e8490287ca2e2597cae2de5b8f1f65eb81ef1c2a4c6"
  OR Files sha256 equals "42de36e61d454afff5e50e6930961c85b55d681e23931efd248fd9b9b9297239"
  OR Files sha256 equals "4f53e4d52efcccdc446017426c15001bb0fe444c7a6cdc9966f8741cf210d997"
  OR Files sha256 equals "df00277045338ceaa6f70a7b8eee178710b3ba51eac28c1142ec802157492de6"
  OR Files sha256 equals "28433734bd9e3121e0a0b78238d5131837b9dbe26f1a930bc872bad44e68e44e"
  OR Files sha256 equals "cf65f0d33640f2cd0a0b06dd86a5c6353938ccb25f4ffd14116b4884181e0392"
  OR Files sha256 equals "5bb84e110d5f18cee47021a024d358227612dd6dac7b97fa781f85c6ad3ccee4"
  OR Files sha256 equals "ccf02bb919e1a44b13b366ea1b203f98772650475f2a06e9fac4b3c957a7c3fa"
  OR Files sha256 equals "815a73e20e90a413662eefe8594414684df3d5723edcd76070e1a5aee864616e"
  OR Files sha256 equals "10ef331115cbbd18b5be3f3761e046523f9c95c103484082b18e67a7c36e570c"
  OR Files sha256 equals "dc815be299f81c180aa8d2924f1b015f2c46686e866bc410e72de75f7cd41aae"
  OR Files sha256 equals "9275f5d57709e2204900d3dae2727f5932f85d3813ad31c9d351def03dd3d03d"
  OR Files sha256 equals "f35ccc9978797a895e5bee58fa8c3b7ad6d5ee55386e9e532f141ee8ed2e937d"
  OR Files sha256 equals "5256517e6237b888c65c8691f29219b6658d800c23e81d5167c4a8bbd2a0daa3"
  OR Files sha256 equals "d4485176aea67cc85f5ccc45bb66166f8bfc715ae4a695f0d870a1f8d848cc3d"
  OR Files sha256 equals "3fcc4c1f2f806acfc395144c98b8ba2a80fe1bf5e3ad3397588bbd2610a37100"
  OR Files sha256 equals "057a48fe378586b6913d29b4b10162b4b5045277f1be66b7a01fb7e30bd05ef3"
  OR Files sha256 equals "5dbd6bb2381bf54563ea15bc9fbb6d7094eaf7184e6975c50f8996f77bfc3f2c"
  OR Files sha256 equals "c39b0ea14e7766440c59e5ae5f48adee038d9b1c7a1375b376e966ca12c22cd3"
  OR Files sha256 equals "6f38a25482d82cd118c4255f25b9d78d96821d22bab498cdce9cda7a563ca992"
  OR Files sha256 equals "54962835992e303928aa909730ce3a50e311068c0960c708e82ab76701db5e6b"
  OR Files sha256 equals "e5e9b0f8d72f4e7b9022b7a83c673334d7967981191d2d98f9c57dc97b4caae1"
  OR Files sha256 equals "68d793940c28ddff6670be703690dfdf9e77315970c42c4af40ca7261a8570fa"
  OR Files sha256 equals "9da0f5ca7c8eab693d090ae759275b9db4ca5acdbcfe4a63d3871e0b17367463"
  OR Files sha256 equals "006fc6623fbb961084243cfc327c885f3c57f2eba8ee05fbc4e93e5358778c85"
  
  Hashes de arquivo para versões do log4j 2.x originadas no GitHub.
  
  
  Identificar sistemas com versões vulneráveis do log4j instaladas pelo nome do arquivo. Por exemplo: files e HostInfo hostname, onde nome de arquivos contém Log4J.
  Os nomes de arquivo podem ser diferentes entre as versões ou se o Log4J for entregue por meio de uma solução de fornecedor.

  

  
  Identificar tentativas de comunicação de saída para domínios de texto explicativo conhecidos.

  
  Identificar indicadores de comprometimento (IOC compatível) associados a cargas de exploração.
  

  Nota: Em Linux, .JAR os arquivos são excluídos do hash de arquivo por padrão. Para proporcionar uma visibilidade precisa em seu ambiente, remova .JAR o hash do arquivode políticas do EDR, Ignore as extensões em Linux configurações. Essa alteração não exige que os sistemas arquivo sejam completamente recodificados.
  
  

• McAfee Siem
  A McAfee Enterprise lançou a versão 4.1.0 do pacote de conteúdo de exploração, que agora está disponível para download no servidor de regras. Este pacote de conteúdo contém um novo alarme intitulado "exploração-possível exploração de Log4Shell". Esse alarme examina os campos de URL e User_Agent da cadeia de caracteres específica jndi para indicar uma possível tentativa de exploração.
  
  Para obter mais informações sobre o SIEM exploração Content Pack 4.1.0 , consulte: KB85403-registrador-pacotes de conteúdo Siem para exploração.
  NOTA: O conteúdo mencionado está disponível somente para logon feito no ServicePortal users. Para exibir o conteúdo, clique no link e efetue login quando solicitado.

Inteligência contra ameaças:

• MVISION insights: