Acesso inicial: tentativa de comprometimento do Log4j

Este documento descreve um tipo de deteção de ameaças no Security Command Center. As conclusões de ameaças são geradas por detetores de ameaças quando detetam uma potencial ameaça nos seus recursos da nuvem. Para ver uma lista completa das conclusões de ameaças disponíveis, consulte o Índice de conclusões de ameaças.

Vista geral

Esta descoberta é gerada quando são detetadas consultas da Java Naming and Directory Interface (JNDI) nos cabeçalhos ou nos parâmetros de URL. Estas pesquisas podem indicar tentativas de exploração do Log4Shell.

A Deteção de ameaças com base em eventos é a origem desta descoberta.

Como responder

Para responder a esta descoberta, faça o seguinte:

Passo 1: reveja os detalhes da descoberta

  1. Abra uma deteção Initial Access: Log4j Compromise Attempt, conforme indicado em Rever detalhes da deteção. O painel de detalhes da deteção é aberto no separador Resumo.

  2. No separador Resumo, reveja as informações nas seguintes secções:

    • O que foi detetado
    • Recurso afetado
    • Links relacionados, especialmente os seguintes campos:
      • URI do Cloud Logging: link para as entradas do Logging.
      • Método MITRE ATT&CK: link para a documentação do MITRE ATT&CK.
      • Resultados relacionados: links para resultados relacionados.
    • Na vista de detalhes da descoberta, clique no separador JSON.

    • No JSON, tenha em atenção os seguintes campos.

    • properties

      • loadBalancerName: o nome do balanceador de carga que recebeu a procura de JNDI
      • requestUrl: o URL do pedido do pedido HTTP. Se estiver presente, contém uma procura JNDI.
      • requestUserAgent: o agente do utilizador que enviou o pedido HTTP. Se estiver presente, contém uma procura JNDI.
      • refererUrl: o URL da página que enviou o pedido HTTP. Se estiver presente, este elemento contém uma procura JNDI.

Passo 2: verifique os registos

  1. Na Google Cloud consola, aceda ao Explorador de registos clicando no link no campo URI do Cloud Logging do passo 1.

  2. Na página carregada, verifique os campos httpRequest para ver se existem tokens de strings como ${jndi:ldap:// que possam indicar possíveis tentativas de exploração.

    Consulte o artigo CVE-2021-44228: deteção de exploração Log4Shell na documentação do Logging para ver exemplos de strings a pesquisar e um exemplo de consulta.

Passo 3: pesquise métodos de ataque e resposta

  1. Reveja a entrada da framework MITRE ATT&CK para este tipo de descoberta: Explorar aplicação virada para o público.
  2. Reveja as conclusões relacionadas clicando no link em Conclusões relacionadas na linha Conclusões relacionadas no separador Resumo dos detalhes das conclusões. As conclusões relacionadas são do mesmo tipo de conclusão e da mesma instância e rede.
  3. Para desenvolver um plano de resposta, combine os resultados da sua investigação com a investigação da MITRE.

Passo 4: implemente a sua resposta

O seguinte plano de resposta pode ser adequado para esta descoberta, mas também pode afetar as operações. Avalie cuidadosamente as informações recolhidas na sua investigação para determinar a melhor forma de resolver as conclusões.

O que se segue?