最高峰のAIアンチウイルスをカンタンに

CPMS Cyber Protection Managed Service

CPMSブログ

セキュリティ

2021.12.28

更新2022.02.03

セキュリティ

身近なアプリにも攻撃の可能性アリ!? 今話題のLog4j2の脆弱性と取るべき対策について解説します!

目次

Log4j2の脆弱性を悪用した攻撃から防御する方法とは!?​


AI型ウイルス対策ソフト​「Deep Instinct」が
どのように​Log4j2の脅威に対応するかをご紹介​

資料をダウンロードする

資料をダウンロードする

Log4j2の脆弱性について

2021年12月9日、Apacheのログ収集ツールである「Log4j2」に、深刻なリモートコード実行の脆弱性が公開されました。Log4j2は、商用、非商用、自社開発のアプリケーションやユーザーがログ収集のために広く使用しているオープンソースのJavaフレームワークで、過去のすべてのバージョンに影響を与えます。



例えば、iCloudやMinecraft※でもオープンソースのJavaフレームワークは使われており、日常的に使用しているアプリケーションの多くが今回の脆弱性の対象になっているおそれがあります。

(※既に脆弱性対策が完了しているサービスもあります)



この脆弱性は悪用が容易であることや、さまざまな製品で利用されていることから幅広く影響します。また、この脆弱性を利用したソースコードが開発プラットフォームの「Github」上で公開されており、脆弱性の悪用が可能なことが証明されています。

この脆弱性は既に修正版が提供されており、利用している場合は各アプリケーションを最新版にバージョンアップ頂くことを推奨します。

Log4Shellの危険性

今回公開されたLog4j2の脆弱性は「Log4Shell」と呼ばれています。

Log4Shellは、具体的に何が危険かというと、攻撃者によって遠隔で任意のコード実行ができてしまう点です。

例えば、攻撃対象のサーバから重要データを取得や改竄をしたり、ランサムウェアを呼び寄せて実行させるなど、あらゆる攻撃手段が可能です。



業界や会社の規模を問わず、様々な企業で影響が出ることが予想されています。
また企業だけでなく、アプリケーションの利用ユーザーにも危険が及ぶ可能性があります。




JPCERT CCでも攻撃観測が行われており、注意喚起がありました。
■12月10日以降JPCERT/CCのハニーポットで観測された、「Log4Shell」を狙う通信の推移

出展:2021/12/17 Apache Log4j2のRCE脆弱性(CVE-2021-44228)を狙う攻撃観測

今、取るべき対策

まず、log4j2を最新バージョン2.15.0に直ちにアップグレードしてください。
バージョン(2.10以上)を使用している場合は、設定システムプロパティ「log4j2.formatMsgNoLookups」を「true」に設定してください(バージョン2.15.0のデフォルト)

以前のバージョン(2.0_beta9 - 2.10.0)での保護は、クラスパスから JndiLookup クラスを削除することで可能です。log4jと相互作用するすべてのコードへの入力検証メカニズムの実装してください

[2022/1/12日追記]
log4j2の最新バージョンは随時更新されています。最新版を確認しアップグレードを行ってください。
2022/1/4時点の最新版
Java 8 及びそれ以降の場合
Apache Log4j 2.17.0
※2.17.0 は、CVE-2021-45105 を対応したバージョンです。

Java 7 の場合
Apache Log4j 2.12.3
※2.12.3 は、CVE-2021-45105 を対応したバージョンです。

また、Deep Instinctでも脆弱性を悪用した攻撃への対策を行うことが可能です。

Deep Instinct vs Log4Shell
仮に、攻撃者がLog4Shellを悪用して、攻撃対象のサーバやクライアント上でシェルコードや悪意のあるマルウェアのペイロードを実行させようとした場合、Deep Instinctであればこうした攻撃を阻止することが可能です。
実際に、どのように防御出来るか動画も用意しております。
下記Deep Instinct社のWebサイトからご確認頂けます。

・Deep Instinct vs CVE-2021-44228
https://www.deepinstinct.com/ja/blog/log4shell-cve-2021-44228-what-you-need-to-know

上記URLの動画は、Deep Instinctを搭載したWindows が脆弱性の悪用から保護される様子を示しています。ここではDeep Instinctのエージェント「D-Client」が、Windowsにインストールされており、悪意のあるサービスが実行されようとしています。攻撃者側のkaliマシンは、PowerShellコマンドの実行を試みる悪意のあるHTTPリクエストを送信することで、攻撃しようとしています。

このようにDeep InstinctであればLog4j2の脆弱性を悪用した攻撃からサーバやクライアントを防御します。 また、MOTEXではDeep Instinctの無料体験版をご用意しております。

弊社SEが無償で操作方法をレクチャーしますので、どこよりも手厚くフォローさせて頂きます。ご興味ありましたら、お気兼ねなくお問い合わせくださいませ。

※本記事は、協業企業のDeep Instinct社のブログより一部転載しています。
転載元ブログURL:https://www.deepinstinct.com/ja/blog/log4shell-cve-2021-44228-what-you-need-to-know

Log4j2の脆弱性を悪用した攻撃から防御する方法とは!?​


AI型ウイルス対策ソフト​「Deep Instinct」が
どのように​Log4j2の脅威に対応するかをご紹介​

資料をダウンロードする

資料をダウンロードする

進化したAIアンチウイルス
「CPMS powered by Deep Instinct」を無料体験

無料体験する

無料体験する

身近なアプリにも攻撃の可能性アリ!? 今話題のLog4j2の脆弱性と取るべき対策について解説します!

関連記事

2022.05.11

セキュリティ

2022年のサイバー攻撃を予想! Deep Instinctサイバー脅威情勢レポート

2022.05.10

セキュリティ

スマホのウイルス感染を防ぐには?よくある症状や対処方法を解説

2022.05.10

セキュリティ

ランサムウェアやマルウェアを未然に防御する10の戦略 – 今すぐできる予防と対策

2022.03.29

セキュリティ

調査・復旧に5000万円超のケースも。データから見るランサムウェアの被害状況と、万が一感染した時にやるべきこととは

2022.03.11

セキュリティ

EPPとEDRの違いはズバリこれ!それぞれの役割やEDR導入メリットをご紹介

2022.03.11

セキュリティ

国内全ての自動車工場が操業停止…
相次ぐ企業のマルウェア感染に対し、自社で対策できること

2022.02.18

セキュリティ

「スマホにアンチウイルス不要」はもう古い! Androidをマルウェア感染させる新しい手口にご注意

2022.02.10

セキュリティ

IPA「セキュリティ10大脅威 2022」を深堀り! 2021年に発生した重大脅威の半数に対応するCPMSの実力もご紹介

2022.01.24

セキュリティ

「境界型セキュリティ」だけでは安心できない!? 医療機関の感染事例から学ぶ、新しいセキュリティ対策

2021.12.28

セキュリティ

マルウェア対策とは?事前対策や感染してしまったときの対処法を解説

2021.12.24

セキュリティ

ウイルス感染への対策方法や次世代型アンチウイルスについて解説

2021.12.24

セキュリティ

サイバーセキュリティとは?リスクや対策についてわかりやすく解説

2021.10.12

セキュリティ

ランサムウェア対策には、事前防御に徹したEDRを!

2021.09.30

セキュリティ

【最新】ランサムウェア攻撃とその対策について

2021.09.29

セキュリティ

EDRとは?事前防御のウイルス対策との違いやEDRを使ったインシデント対応について解説

2021.09.10

セキュリティ

【被害例に学ぶ】いま全企業が肝に銘じるべき「テレワークセキュリティ」の基本

2021.09.03

セキュリティ

あなたのEDRの選び方、間違っています!効果がでるEDR導入のポイントとは?

2021.08.26

セキュリティ

進化したAIアンチウイルス、深層学習でセキュリティは次のステージに

詳しい資料をご用意しています。

導入時にご検討いただく際の各種資料を
ダウンロードいただけます。

ダウンロードする

全国でセミナーを開催しています。

製品の基本操作から活用方法まで
詳しくご説明いたします。

セミナー情報を見る