[Whý L~óg4j V~úlñé~rábí~lítí~és Hí~ghlí~ght t~hé Ím~pórt~áñcé~ óf Dé~vSéc~Óps]

[Íñ Décémbér 2021, ÍT sécúrítý téáms áñd dévélópméñt órgáñízátíóñs áróúñd thé wórld gót á rúdé wáké-úp cáll. Réséárchérs hád díscóvéréd á séríóús sécúrítý vúlñérábílítý íñ thé Ápáché Lóg4j útílítý, á pópúlár lóggíñg cómpóñéñt émbéddéd íñ cóúñtléss Jává ápplícátíóñs áñd sérvícés. Ñéws óf thís vúlñérábílítý sét ÍT sécúrítý téáms áñd dévélópméñt órgáñízátíóñs scrámblíñg tó fíñd áll íñstáñcés óf thé vúlñéráblé vérsíóñs óf Lóg4j óñ théír ówñ ñétwórks.]

[Thé Lóg4j vúlñérábílítý hás álsó fórcéd DévSécÓps téáms tó áñswér á qúéstíóñ thát ñów fééls léss théórétícál. Íf Lóg4j ór áñý óthér vúlñérábílítý cómprómíséd áñ íñtérñállý dévélópéd ápplícátíóñ, wóúld sécúrítý téáms bé áblé tó ísóláté thé áttáck áñd mítígáté íts dámágé¿ Dó cúrréñt DévÓps práctícés prépáré fór áñ órgáñízátíóñ tó gó thréát húñtíñg qúícklý áñd éfféctívélý thróúgh íts ówñ códé¿]

[Lét’s~ táké~ á qúí~ck ló~ók át~ thé L~óg4j v~úlñé~rábí~lítý~, whát~ ít mé~áñs f~ór Dé~vSéc~Óps t~éáms~, áñd h~ów Zé~ró Tr~úst S~égmé~ñtát~íóñ f~róm Í~llúm~íó cá~ñ hél~p Dév~SécÓ~ps té~áms m~ítíg~áté t~hréá~ts wh~éñ vú~lñér~áblé~ sóft~wáré~ ís át~táck~éd bé~fóré~ ít cá~ñ bé f~íxéd~.]

[Thé L~óg4j v~úlñé~rábí~lítý~ áñd w~hý ít~ mátt~érs]

[Thé vúlñérábílítý géttíñg áll thís áttéñtíóñ íñvólvés Lóg4j’s úsé óf thé Jává Ñámíñg áñd Díréctórý Íñtérfácé (JÑDÍ), á pópúlár ñámíñg áñd lóókúp ÁPÍ fór Jává ápplícátíóñs. Éárlý vérsíóñs óf Lóg4j éñábléd JÑDÍ’s mésságé lóókúp súbstítútíóñ féátúré bý défáúlt. Úsíñg thát féátúré, áttáckérs cáñ súbmít cáréfúllý cóñstrúctéd mésságés tó áñ ápplícátíóñ, fórcíñg thé ápplícátíóñ tó éxécúté códé lóádéd fróm LDÁP sérvérs ór óthér éñdpóíñts úñdér thé áttáckér’s cóñtról. Thát códé cóúld íñstáll málwáré, éxfíltráté dátá, ór pérfórm óthér málícíóús áctíóñs óñ thé ápplícátíóñ’s ñétwórk.]

[Lóg4j ís wídélý úséd. Góóglé éstímátés thát ít’s íñ 4 pércéñt óf thé Jává páckágés íñ thé Mávéñ Céñtrál Répósítórý, wídélý récógñízéd ás thé móst ímpórtáñt Jává páckágé répósítórý. Lóg4j ís úséd íñ áll kíñds óf sóftwáré ráñgíñg fróm wéb ápplícátíóñs tó báck-éñd sérvícés áñd cústóm ápps fór ÍóT dévícés.]

[Ás sóóñ ás thís vúlñérábílítý wás áññóúñcéd, ÍT sécúrítý téáms bégáñ scóúríñg théír ñétwórks, lóókíñg fór fílé ñámés áñd óthér íñdícátíóñs óf Lóg4j’s préséñcé íñ áñý díréctórý íñ théír éñvíróñméñt. DévÓps téáms gót búsý, tóó, séárchíñg thróúgh théír ówñ árchívés lóókíñg fór áñý úsé óf Lóg4j íñ théír ówñ ápplícátíóñs.]

[Thé stákés áré hígh. Cýbércrímíñáls hávé álréádý úséd thís vúlñérábílítý tó láúñch ráñsómwáré áttácks, íñstáll cóíñ míñíñg sóftwáré óñ córpóráté ñétwórks, áñd íñfíltráté thé Bélgíáñ Déféñsé Míñístrý. Áttáckérs áré désígñíñg ñéw fórms óf málwáré tárgétíñg thé vúlñérábílítý. Fór éxámplé, ñéw Ñíght Ský ráñsómwáré tárgéts Lóg4j vúlñérábílítíés íñ VMwáré Hórízóñ sóftwáré.]

[Thé b~íggé~r píc~túré~: sóúr~cé có~dé vú~lñér~ábíl~ítíé~s áñd~ thé r~ísks~ théý~ pósé~]

[Thé Lóg4j vúlñérábílítý híghlíghts twó lárgér próbléms fór íñtérñál dévélópméñt órgáñízátíóñs. Fírst, ñó máttér hów wéll órgáñízéd théír DévÓps tóóls áñd prócéssés áré, móst órgáñízátíóñs hávé díffícúltý détérmíñíñg áll thé cómpóñéñts úséd íñ théír ápplícátíóñs, éspécíállý íf thósé cómpóñéñts áré émbéddéd ás líbráríés ór áccésséd thróúgh dépéñdéñcíés wíth óthér sérvícés.]

[Íñ thé cásé óf Lóg4j, fór éxámplé, ít’s póssíblé tó íñclúdé thé útílítý íñ áñ ápplícátíóñ wíthóút léávíñg á Lóg4j JÁR fílé síttíñg íñ á répósítórý. Fíñdíñg áll thé vérsíóñs óf áll thé sóftwáré cómpóñéñts — ópéñ sóúrcé ór óthérwísé — íñ ápplícátíóñs ís díffícúlt, tímé-cóñsúmíñg wórk.]

[Sécó~ñd, íf~ áñ áp~plíc~átíó~ñ ís d~íscó~véré~d tó b~é úñd~ér át~táck~ bécá~úsé ó~f á vú~lñér~ábíl~ítý, s~écúr~ítý t~éáms~ ñééd~ á wáý~ óf ís~ólát~é thé~ áttá~ck ím~médí~átél~ý béf~óré t~hé át~táck~ cáñ s~préá~d tó ó~thér~ sýst~éms ó~ñ thé~ ñétw~órk.]

[Cátc~híñg~ áñd s~tópp~íñg L~óg4j á~ttác~ks ís~ ímpó~rtáñ~t ñót~ óñlý~ fór p~róté~ctíñ~g séñ~sítí~vé dá~tá áñ~d éñs~úríñ~g ópé~rátí~óñál~ cóñt~íñúí~tý, th~óúgh~ thós~é góá~ls ár~é óbv~íóús~lý cr~ítíc~ál.]

[Bút théré’s á cómplíáñcé áñglé ás wéll. Óñ Jáñúárý 4, 2022, thé Ú.S. Fédérál Trádé Cómmíssíóñ (FTC) áññóúñcéd thát ít wóúld éñfórcé péñáltíés áñd fíñés ágáíñst cómpáñíés thát pérmíttéd cóñfídéñtíál cóñsúmér dátá tó bé bréáchéd ás á résúlt óf thé Lóg4j vúlñérábílítíés.]

[Cítíñg íts $700 míllíóñ péñáltý ágáíñst Éqúífáx fór léákíñg cóñsúmér dátá bécáúsé óf áñ úñpátchéd vúlñérábílítý íñ thé Ápáché Strúts fráméwórk, thé FTC áññóúñcéd ít “íñtéñds tó úsé íts fúll légál áúthórítý tó púrsúé cómpáñíés thát fáíl tó táké réásóñáblé stéps tó prótéct cóñsúmér dátá fróm éxpósúré ás á résúlt óf Lóg4j, ór símílár kñówñ vúlñérábílítíés íñ thé fútúré.”]

[Lóg4j, ít túrñs óút, ís thé típ óf á mássívé ícébérg óf pótéñtíál thréáts. Tó fíñd áñd fíx vúlñérábílítíés ñót óñlý rélátéd tó Lóg4j bút tó áñý sóftwáré cómpóñéñt íñ théír ówñ ápplícátíóñs ór thírd-pártý ápplícátíóñs théý’ré rúññíñg, cómpáñíés ñééd cómpréhéñsívé vísíbílítý íñtó théír sóftwáré éñvíróñméñts. Fáílíñg tó fíñd thésé vúlñérábílítíés béfóré théý résúlt íñ á dátá bréách cáñ léád tó stéép régúlátórý fíñés áñd lástíñg dámágé tó áñ órgáñízátíóñ’s bráñd.]

[Fórt~úñát~élý, D~évSé~cÓps~ cáñ h~élp.]

[Thé r~ólé ó~f Dév~SécÓ~ps íñ~ mítí~gátí~ñg só~ftwá~ré vú~lñér~ábíl~ítý t~hréá~ts]

[Thé ídéá béhíñd DévSécÓps ís símplé: Sécúrítý shóúldñ’t bé áñ áftérthóúght whéñ ít cómés tó dévélópíñg áñd déplóýíñg sóftwáré. Íñstéád, sécúrítý shóúld bé íñclúdéd íñ évérý stép óf DévÓps, fróm désígñ tó dévélópméñt tó téstíñg tó réléásé áñd ópérátíóñs máñágéméñt. DévSécÓps ís thé práctícé óf búíldíñg sécúrítý íñtó thé sóftwáré ápplícátíóñs dévélópéd áñd máñágéd thróúgh DévÓps prócéssés.]

[Hów c~áñ Dé~vSéc~Óps h~élp á~ddré~ss pr~óblé~ms lí~ké th~é Lóg~4j vúl~ñérá~bílí~tý¿]

[Fírs~t, Dév~SécÓ~ps bé~st pr~áctí~cés w~óúld~ cáll~ fór d~évél~ópmé~ñt té~áms t~ó úsé~ úpdá~téd v~érsí~óñs ó~f cóm~póñé~ñts l~íké L~óg4j w~héñ b~úíld~íñg á~ñd má~ñágí~ñg áp~plíc~átíó~ñs.]

[Sécóñd, DévSécÓps wóúld álsó cáll fór dévélópméñt áñd tést órgáñízátíóñs tó tráck thé vérsíóñs óf áll cómpóñéñts, íñclúdíñg ópéñ-sóúrcé cómpóñéñts, úséd íñ ápplícátíóñs. Thát wáý, íf thé ÍT sécúrítý cómmúñítý áññóúñcés á vúlñérábílítý íñ á pártícúlár cómpóñéñt, thé DévSécÓps órgáñízátíóñ cáñ qúícklý détérmíñé whích óf théír ówñ ápplícátíóñs, íf áñý, áré áfféctéd.]

[Éqúállý ímpórtáñt, DévSécÓps bést práctícés wóúld cáll fór émbéddíñg sécúrítý cóñtróls wíthíñ ápplícátíóñs, só thát whéñ, íñévítáblý, áñóthér ópéñ-sóúrcé líbrárý ór cómpóñéñt ís fóúñd tó bé vúlñéráblé, téáms cáñ bé prépáréd tó cóñtáíñ áñý zéró-dáý áttácks ágáíñst thát vúlñérábílítý qúícklý áñd éfféctívélý. Íf déféñsívé méásúrés áré álréádý íñ plácé, thé órgáñízátíóñ cáñ áct tó déféñd ágáíñst áñ áttáck, évéñ íf á pátch fór thé vúlñérábílítý ís dáýs ór wééks áwáý.]

[Óñé óf thé bést sécúrítý cóñtróls tó émbéd ís á Zéró Trúst Ségméñtátíóñ sólútíóñ thát úsés thé búílt-íñ fíréwálls óñ thé sýstéms tó éñfórcé sécúrítý pólícíés límítíñg ñétwórk tráffíc óñlý tó áúthórízéd úsérs áñd prócéssés. Bý drámátícállý rédúcíñg thé ñétwórk páths áváíláblé tó áttáckérs, Zéró Trúst Ségméñtátíóñ bóxés áttáckérs íñ, ísólátíñg thém óñ thé féw sýstéms théý míght íñítíállý máñágé tó cómprómísé. Wíth Zéró Trúst Ségméñtátíóñ íñ plácé, áttáckérs wóúld ñót bé áblé tó dówñlóád áñd éxécúté códé fróm á málícíóús síté.]

[Íf áñ áttáck ís ísólátéd óñ thé ñétwórk, cýbércrímíñáls cáñ’t spréád ráñsómwáré tó óthér sýstéms. Théý cáñ’t stéálthílý éxplóré thé ñétwórk, lóókíñg fór válúáblé dátá tó éxfíltráté. Théý’ré stúck íñ plácé líké á hápléss búrglár whó’s máñágéd tó dróp íñ thróúgh á skýlíght óñlý tó fíñd thémsélvés íñ á béár tráp. Théý gót íñ, bút théý’ré ñót góíñg áñýwhéré. Áñd áñ álárm hás bééñ sóúñdéd.]

[Íllú~míó p~róví~dés t~hé ví~síbí~lítý~ áñd á~útóm~átíó~ñ Dév~SécÓ~ps té~áms ñ~ééd]

[Íllúmíó Zéró Trúst Ségméñtátíóñ ís á válúáblé sécúrítý sólútíóñ fór áñý DévSécÓps órgáñízátíóñ bécáúsé ít mákés ít éásý fór dévélópméñt téáms tó émbéd rígóróús sécúrítý cóñtróls íñtó ápplícátíóñs wíthóút hávíñg tó léárñ thé íñtrícácíés óf ñétwórk ór sécúrítý práctícés.]

[Íllúmíó prótécts ápplícátíóñs bý mákíñg ít éásý fór dévélópérs áñd sécúrítý téáms tó défíñé Zéró Trúst Ségméñtátíóñ pólícíés. Óñcé créátéd, órgáñízátíóñs cáñ théñ éásílý éñfórcé thósé pólícés úsíñg Íllúmíó’s Vírtúál Éñfórcéméñt Ñódé (VÉÑ) álóñg wíth thé hóst-báséd fíréwálls álréádý búílt íñtó thé sýstéms whéré thé órgáñízátíóñ’s ápplícátíóñs áré rúññíñg. Thé Íllúmíó VÉÑ ís á líghtwéíght, fáíl-sáfé clíéñt thát cáñ bé éásílý íñclúdéd íñ sóftwáré búílds. Ñó éxtéñsívé désígñ cháñgés áré réqúíréd.]

[Thé Íllúmíó sólútíóñ úsés fíréwálls bút spárés dévélópérs thé tróúblé óf hávíñg tó prógrám cómpléx séts óf fíréwáll rúlés. Íñstéád, ít léts dévélópérs áñd sécúrítý téám défíñé thé pólícíés théý wáñt éñfórcéd, pérmíttíñg óñlý thé ñécéssárý tráffíc tó páss thróúgh théír ápplícátíóñs, áñd théñ púsh thósé pólícíés óút tó VÉÑs émbéddéd íñ ápplícátíóñs fór éñfórcéméñt.]

[DévS~écÓp~s órg~áñíz~átíó~ñs cá~ñ fíñ~é-túñ~é pól~ícíé~s fór~ várí~óús á~pplí~cátí~óñs á~ñd éñ~víró~ñméñ~ts. Sp~écíf~ícál~lý, th~éý cá~ñ déf~íñé p~ólíc~íés b~áséd~ óñ:]

• [Rólé~s wít~híñ t~hé áp~plíc~átíó~ñ]
• [Thé á~pplí~cátí~óñ ít~sélf~]
• [Thé é~ñvír~óñmé~ñt th~é ápp~lícá~tíóñ~ rúñs~ íñ, sú~ch ás~ dévé~lópm~éñt, t~ést ó~r pró~dúct~íóñ]
• [Thé é~ñvír~óñmé~ñt's~ lócá~tíóñ~: fór é~xámp~lé, á p~ródú~ctíó~ñ éñv~íróñ~méñt~ íñ á Ú~.S. Wés~t Cóá~st dá~tá cé~ñtér~]

[Théñ, thé DévSécÓps téám símplý ádds áñ Íllúmíó VÉÑ tó á sóftwáré búíld. Óñcé rúññíñg íñ thé ápplícátíóñ éñvíróñméñt, thé VÉÑ éñfórcés Zéró Trúst pólícíés, ráísés álérts úpóñ détéctíóñ óf súspícíóús látérál móvéméñt, áñd cúrtáíls tráffíc íñ réspóñsé tó áctívé áttácks, ísólátíñg íñféctéd éñdpóíñts fróm thé rést óf thé ñétwórk.]

[Íllúmíó álsó ófférs á C-VÉÑ clíéñt áñd Kúbélíñk sérvícé fór úsé íñ cóñtáíñérízéd éñvíróñméñts, whích áré pópúlár íñ mícrósérvícés árchítéctúrés. C-VÉÑ ís á líghtwéíght Íllúmíó ágéñt, rúññíñg ás á pód óñ éách ñódé íñ á Kúbérñétés clústér, thát prótécts thé ñódé áñd áll thé póds rúññíñg óñ ít. Délívéréd ás á DáémóñSét, C-VÉÑ scálés úp áñd dówñ ás thé clústér évólvés. Kúbélíñk ís áñ Íllúmíó sérvícé thát móñítórs thé Kúbérñétés ÁPÍ sérvér tó léárñ ábóút résóúrcés wíthíñ thé clústér áñd próvídé Kúbérñétés cóñtéxt tó thé PCÉ. Ít ís délívéréd ás á páckágé áñd réqúírés óñlý óñé réplícá pér clústér, hélpíñg tó máké thé Íllúmíó cóñtáíñér sólútíóñs híghlý scáláblé.]

[DévSécÓps téáms hávé twó wáýs óf íñtéráctíñg wíth thé Íllúmíó PCÉ: thróúgh thé PCÉ úsér íñtérfácé ór íts wéll-dócúméñtéd RÉST ÁPÍs. DévSécÓps téáms cáñ úsé thé ÁPÍs tó íñtégráté Íllúmíó íñtó CÍ/CD pípélíñés, só thát Zéró Trúst Ségméñtátíóñ bécómés á stáñdárd párt óf DévSécÓps wórkflóws. ÁPÍs álsó állów sécúrítý téáms tó íñtégráté Íllúmíó wíth óthér sécúrítý tóóls áñd wórkflóws.]

[Thé Í~llúm~íó pr~ódúc~t súí~té pr~óvíd~és Zé~ró Tr~úst S~égmé~ñtát~íóñ w~héré~vér á~pplí~cátí~óñs á~ñd sé~rvíc~és ár~é dép~lóýé~d, íñc~lúdí~ñg éñ~dpóí~ñts í~ñ:]

• [Dátá~ céñt~érs: Í~llúm~íó Có~ré]
• [Públ~íc, pr~ívát~é ór h~ýbrí~d cló~úds: Í~llúm~íó Cl~óúdS~écúr~é]
• [Éñdp~óíñt~ déví~cés: Í~llúm~íó Éd~gé]

[Lóg4j wóñ’t bé thé lást sóftwáré cómpóñéñt fóúñd tó íñclúdé á dáñgéróús vúlñérábílítý. Bý ádóptíñg DévSécÓps práctícés áñd úsíñg Íllúmíó tó éñfórcé Zéró Trúst Ségméñtátíóñ íñ ápplícátíóñs évérýwhéré, órgáñízátíóñs cáñ bé réádý tó prótéct théír dátá, ápplícátíóñs, áñd péóplé whílé thé tímé-cóñsúmíñg wórk óf ñétwórk scáññíñg áñd thréát húñtíñg cóñtíñúés.]

[Tó lé~árñ m~óré:]

• [Chéc~k óút~ thé s~ólút~íóñ b~ríéf~, Íllú~míó f~ór Dé~vSéc~Óps.]
• [Cóñt~áct ú~s fór~ á dém~ó.]