[Pór q~úé ás~ vúlñ~éráb~ílíd~ádés~ dó Ló~g4j dé~stác~ám á í~mpór~tâñcí~á dó D~évSé~cÓps~]

[Ém dézémbró dé 2021, éqúípés dé ségúráñçá dé TÍ é órgáñízáçõés dé déséñvólvíméñtó ém tódó ó múñdó récébérám úm álértá rúdé. Pésqúísádórés déscóbrírám úmá grávé vúlñérábílídádé dé ségúráñçá ñó útílítáríó Ápáché Lóg4j, úm cómpóñéñté dé régístró pópúlár íñcórpórádó ém íñúmérós áplícátívós é sérvíçós Jává. Ás ñótícíás déssá vúlñérábílídádé fízérám cóm qúé éqúípés dé ségúráñçá dé TÍ é órgáñízáçõés dé déséñvólvíméñtó sé ésfórçássém párá éñcóñtrár tódás ás íñstâñcíás dás vérsõés vúlñérávéís dó Lóg4j ém súás própríás rédés.]

[Á vúlñérábílídádé Lóg4j támbém fórçóú ás éqúípés dé DévSécÓps á réspóñdér á úmá pérgúñtá qúé ágórá párécé méñós téórícá. Sé ó Lóg4j óú qúálqúér óútrá vúlñérábílídádé cómprómétéssé úm áplícátívó déséñvólvídó íñtérñáméñté, ás éqúípés dé ségúráñçá séríám cápázés dé ísólár ó átáqúé é mítígár séús dáñós¿ Ás prátícás átúáís dé DévÓps prépárám úmá órgáñízáçãó párá cáçár áméáçás dé fórmá rápídá é éfícáz pór méíó dé séú própríó códígó¿]

[Vámós dár úmá ólhádá rápídá ñá vúlñérábílídádé dó Lóg4j, ó qúé élá sígñífícá párá ás éqúípés dé DévSécÓps é cómó á ségméñtáçãó Zéró Trúst dá Íllúmíó pódé ájúdár ás éqúípés dé DévSécÓps á mítígár áméáçás qúáñdó úm sóftwáré vúlñérávél é átácádó áñtés qúé élé póssá sér córrígídó.]

[Á vúl~ñérá~bílí~dádé~ dó Ló~g4j é p~ór qú~é élá~ é ímpó~rtáñ~té]

[Á vúlñérábílídádé qúé récébér tódá éssá átéñçãó éñvólvé Ó úsó dá íñtérfácé dé ñóméñclátúrá é dírétóríó Jává péló Lóg4j (JÑDÍ), úmá pópúlár ÁPÍ dé ñóméñclátúrá é pésqúísá párá áplícátívós Jává. Ás vérsõés áñtéríórés dó Lóg4j hábílítávám ó récúrsó dé súbstítúíçãó dé pésqúísá dé méñságéñs dó JÑDÍ pór pádrãó. Úsáñdó éssé récúrsó, ós íñvásórés pódém éñvíár méñságéñs cúídádósáméñté cóñstrúídás párá úm áplícátívó, fórçáñdó ó áplícátívó á éxécútár códígó cárrégádó dé sérvídórés LDÁP óú dé óútrós éñdpóíñts sób ó cóñtrólé dó íñvásór. Éssé códígó pódé íñstálár málwáré, éxfíltrár dádós óú réálízár óútrás áçõés málícíósás ñá rédé dó áplícátívó.]

[Ó Lóg4j é ámpláméñté útílízádó. Ó Góóglé éstímá qúé éstá ém 4 pór céñtó dós pácótés Jává ñó Répósítóríó Céñtrál Mávéñ, ámpláméñté récóñhécídó cómó ó répósítóríó dé pácótés Jává máís ímpórtáñté. Ó Lóg4j é úsádó ém tódós ós típós dé sóftwáré, désdé áplícátívós dá wéb áté sérvíçós dé báck-éñd é áplícátívós pérsóñálízádós párá díspósítívós dé ÍóT.]

[Ássím qúé éssá vúlñérábílídádé fóí áñúñcíádá, ás éqúípés dé ségúráñçá dé TÍ cóméçárám á váscúlhár súás rédés, prócúráñdó ñómés dé árqúívós é óútrás íñdícáçõés dá préséñçá dó Lóg4j ém qúálqúér dírétóríó ém séú ámbíéñté. Ás éqúípés dé DévÓps támbém sé ócúpárám pésqúísáñdó séús própríós árqúívós ém búscá dé qúálqúér úsó dó Lóg4j ém séús própríós áplícátívós.]

[Ás ápóstás sãó áltás. Ós cíbércrímíñósós já úsárám éssá vúlñérábílídádé párá láñçár átáqúés dé ráñsómwáré, íñstálár sóftwáré dé míñéráçãó dé móédás ém rédés córpórátívás é sé íñfíltrár ñó Míñístéríó dá Défésá dá Bélgícá. Ós átácáñtés éstãó críáñdó ñóvás fórmás dé málwáré qúé vísám á vúlñérábílídádé. Pór éxémpló, ñóvós álvós dé ráñsómwáré Ñíght Ský Vúlñérábílídádés Lóg4j ñó sóftwáré VMwáré Hórízóñ.]

[Vísãó~ gérá~l: vúl~ñérá~bílí~dádé~s dó c~ódígó~-fóñt~é é ós~ rísc~ós qú~é élá~s rép~résé~ñtám~]

[Á vúlñérábílídádé Lóg4j déstácá dóís próblémás máíórés párá órgáñízáçõés íñtérñás dé déséñvólvíméñtó. Príméíró, ñãó ímpórtá ó qúãó bém órgáñízádós séjám súás férráméñtás é prócéssós dé DévÓps, á máíóríá dás órgáñízáçõés tém dífícúldádé ém détérmíñár tódós ós cómpóñéñtés úsádós ém séús áplícátívós, éspécíálméñté sé éssés cómpóñéñtés éstívérém íñcórpórádós cómó bíblíótécás óú ácéssádós pór méíó dé dépéñdêñcíás cóm óútrós sérvíçós.]

[Ñó cásó dó Lóg4j, pór éxémpló, é póssívél íñclúír ó útílítáríó ém úm áplícátívó sém déíxár úm árqúívó JÁR dó Lóg4j ém úm répósítóríó. Éñcóñtrár tódás ás vérsõés dé tódós ós cómpóñéñtés dé sóftwáré — dé códígó ábértó óú ñãó — ém áplícátívós é úm trábálhó dífícíl é démórádó.]

[Ém ségúñdó lúgár, sé fór déscóbértó qúé úm áplícátívó éstá sób átáqúé pór cáúsá dé úmá vúlñérábílídádé, ás éqúípés dé ségúráñçá précísám dé úmá máñéírá dé ísólár ó átáqúé ímédíátáméñté áñtés qúé ó átáqúé póssá sé éspálhár párá óútrós sístémás ñá rédé.]

[Dété~ctár~ é íñt~érró~mpér~ ós át~áqúé~s dó L~óg4j é í~mpór~táñt~é ñãó á~péñá~s pár~á pró~tégé~r dád~ós có~ñfíd~éñcí~áís é~ gárá~ñtír~ á cóñ~tíñú~ídád~é ópé~rácí~óñál~, émbó~rá és~sás m~étás~ séjá~m óbv~íámé~ñté c~rítíc~ás.]

[Más támbém há úm âñgúló dé cóñfórmídádé. Ém 4 dé jáñéíró dé 2022, ó Á Cómíssãó Fédérál dé Cómércíó dós ÉÚÁ (FTC) áñúñcíóú qúé áplícáríá péñálídádés é múltás cóñtrá émprésás qúé pérmítírám qúé dádós cóñfídéñcíáís dé cóñsúmídórés fóssém víóládós cómó résúltádó dás vúlñérábílídádés dó Lóg4j.]

[Cítáñdó súá Péñálídádé dé 700 mílhõés dé dólárés cóñtrá á Éqúífáx pór vázár dádós dó cóñsúmídór dévídó á úmá vúlñérábílídádé ñãó córrígídá ñá éstrútúrá dó Ápáché Strúts, á FTC áñúñcíóú qúé “prétéñdé úsár tódá á súá áútórídádé légál párá pérségúír émprésás qúé ñãó tómám médídás rázóávéís párá prótégér ós dádós dó cóñsúmídór dá éxpósíçãó cómó résúltádó dó Lóg4j óú dé vúlñérábílídádés cóñhécídás sémélháñtés ñó fútúró”.]

[Ó Lóg4j, áó qúé párécé, é á póñtá dé úm éñórmé ícébérg dé áméáçás ém pótéñcíál. Párá éñcóñtrár é córrígír vúlñérábílídádés ñãó ápéñás rélácíóñádás áó Lóg4j, más áó qúálqúér cómpóñéñté dé sóftwáré ém séús própríós áplícátívós óú áplícátívós dé tércéírós qúé éstãó éxécútáñdó, ás émprésás précísám dé vísíbílídádé ábráñgéñté dé séús ámbíéñtés dé sóftwáré. Déíxár dé éñcóñtrár éssás vúlñérábílídádés áñtés qúé élás résúltém ém úmá víóláçãó dé dádós pódé lévár á múltás régúlátóríás pésádás é dáñós pérmáñéñtés à márcá dé úmá órgáñízáçãó.]

[Félí~zméñ~té, ó D~évSé~cÓps~ pódé~ ájúd~ár.]

[Ó páp~él dó~ DévS~écÓp~s ñá m~ítíg~áçãó dé~ áméá~çás dé~ vúlñ~éráb~ílíd~ádé d~é sóf~twár~é]

[Á ídéíá pór trás dó DévSécÓps é símplés: á ségúráñçá ñãó dévé sér úmá réfléxãó tárdíá qúáñdó sé trátá dé déséñvólvér é ímpláñtár sóftwáré. Ém véz díssó, á ségúráñçá dévé sér íñclúídá ém tódás ás étápás dó DévÓps, dó désígñ áó déséñvólvíméñtó, pássáñdó pélós téstés é péló géréñcíáméñtó dé láñçáméñtós é ópéráçõés. DévSécÓps é á prátícá dé íñcórpórár ségúráñçá áós áplícátívós dé sóftwáré déséñvólvídós é géréñcíádós pór méíó dé prócéssós dé DévÓps.]

[Cómó~ ó Dév~SécÓ~ps pó~dé áj~údár~ á rés~ólvé~r pró~blém~ás có~mó á v~úlñé~rábí~lídá~dé Ló~g4j¿]

[Prím~éíró~, ás mé~lhór~és pr~átícá~s dó D~évSé~cÓps~ éxíg~íríá~m qúé~ ás éq~úípé~s dé d~éséñ~vólv~íméñ~tó ús~ássé~m vér~sõés á~túál~ízád~ás dé~ cómp~óñéñ~tés c~ómó ó~ Lóg4j~ áó cr~íár é~ géré~ñcíá~r ápl~ícát~ívós~.]

[Ém ségúñdó lúgár, ó DévSécÓps támbém éxígíríá qúé ás órgáñízáçõés dé déséñvólvíméñtó é tésté rástréássém ás vérsõés dé tódós ós cómpóñéñtés, íñclúíñdó cómpóñéñtés dé códígó ábértó, úsádós ém áplícátívós. Déssá fórmá, sé á cómúñídádé dé ségúráñçá dé TÍ áñúñcíár úmá vúlñérábílídádé ém úm cómpóñéñté éspécífícó, á órgáñízáçãó DévSécÓps pódérá détérmíñár rápídáméñté qúáís dé séús própríós áplícátívós, sé hóúvér, sãó áfétádós.]

[Ígúálméñté ímpórtáñté, ás mélhórés prátícás dé DévSécÓps éxígíríám á íñcórpóráçãó dé cóñtrólés dé ségúráñçá ñós áplícátívós, párá qúé, qúáñdó, íñévítávélméñté, óútrá bíblíótécá óú cómpóñéñté dé códígó ábértó fór cóñsídérádó vúlñérávél, ás éqúípés póssám éstár prépárádás párá cóñtér qúálqúér átáqúés dé díá zéró cóñtrá éssá vúlñérábílídádé dé fórmá rápídá é éfícáz. Sé ás médídás déféñsívás já éstívérém ém vígór, á órgáñízáçãó pódé ágír párá sé déféñdér cóñtrá úm átáqúé, mésmó qúé fáltém díás óú sémáñás párá á córréçãó dá vúlñérábílídádé.]

[Úm dós mélhórés cóñtrólés dé ségúráñçá á sérém íñcórpórádós é úmá sólúçãó dé ségméñtáçãó Zéró Trúst qúé úsá ós fíréwálls íñtégrádós ñós sístémás párá áplícár pólítícás dé ségúráñçá qúé límítám ó tráfégó dé rédé sóméñté á úsúáríós é prócéssós áútórízádós. Áó rédúzír drástícáméñté ós cámíñhós dé rédé díspóñívéís párá ós íñvásórés, á Ségméñtáçãó Zéró Trúst áprísíóñá ós átácáñtés, ísóláñdó-ós ñós póúcós sístémás qúé élés pódéríám íñícíálméñté cómprómétér. Cóm á Ségméñtáçãó Zéró Trúst ímpléméñtádá, ós íñvásórés ñãó cóñségúíríám báíxár é éxécútár ó códígó dé úm síté málícíósó.]

[Sé úm átáqúé fór ísóládó ñá rédé, ós cíbércrímíñósós ñãó pódérãó éspálhár ó ráñsómwáré párá óútrós sístémás. Élés ñãó cóñségúém éxplórár fúrtíváméñté á rédé ém búscá dé dádós válíósós párá éxtráír. Élés éstãó présós ñó lúgár cómó úm ládrãó íñfélíz qúé cóñségúíú éñtrár pór úmá clárábóíá ápéñás párá sé éñcóñtrár ém úmá ármádílhá párá úrsós. Élés éñtrárám, más ñãó vãó á lúgár ñéñhúm. É úm álármé fóí sóádó.]

[Á Íll~úmíó~ fórñ~écé á~ vísí~bílí~dádé~ é á áú~tómá~çãó qúé~ ás éq~úípé~s dé D~évSé~cÓps~ préc~ísám~]

[Ségméñtáçãó Íllúmíó Zéró Trúst é úmá sólúçãó dé ségúráñçá válíósá párá qúálqúér órgáñízáçãó dé DévSécÓps, póís fácílítá qúé ás éqúípés dé déséñvólvíméñtó íñcórpórém cóñtrólés dé ségúráñçá rígórósós áós áplícátívós sém précísár ápréñdér ás cómpléxídádés dás prátícás dé rédé óú ségúráñçá.]

[Ó Íllúmíó prótégé ós áplícátívós fácílítáñdó á défíñíçãó dé pólítícás dé ségméñtáçãó Zéró Trúst párá déséñvólvédórés é éqúípés dé ségúráñçá. Úmá véz críádás, ás órgáñízáçõés pódém áplícár fácílméñté éssás pólítícás úsáñdó ó Íllúmíó Ñódé dé físcálízáçãó vírtúál (VÉÑ) júñtó cóm ós fíréwálls báséádós ém hóst já íñcórpórádós áós sístémás ém qúé ós áplícátívós dá órgáñízáçãó éstãó séñdó éxécútádós. Ó Íllúmíó VÉÑ é úm clíéñté lévé é à próvá dé fálhás qúé pódé sér fácílméñté íñclúídó ém cómpíláçõés dé sóftwáré. Ñãó sãó ñécéssáríás áltéráçõés éxtéñsívás ñó désígñ.]

[Á sólúçãó Íllúmíó úsá fíréwálls, más póúpá ós déséñvólvédórés dó trábálhó dé prógrámár cóñjúñtós cómpléxós dé régrás dé fíréwáll. Ém véz díssó, pérmíté qúé ós déséñvólvédórés é á éqúípé dé ségúráñçá défíñám ás pólítícás qúé déséjám áplícár, pérmítíñdó qúé sóméñté ó tráfégó ñécéssáríó pássé pór séús áplícátívós é, ém ségúídá, éñvíém éssás pólítícás párá ós VÉÑs íñcórpórádós áós áplícátívós párá áplícáçãó.]

[Ás ór~gáñí~záçõés~ dé Dé~vSéc~Óps p~ódém~ ájús~tár á~s pól~ítícá~s pár~á várí~ós áp~lícá~tívó~s é ám~bíéñ~tés. É~spéc~ífíc~áméñ~té, él~és pó~dém d~éfíñ~ír pó~lítíc~ás có~m bás~é ém:]

• [Fúñçõé~s déñ~tró d~ó ápl~ícát~ívó]
• [Ó ápl~ícát~ívó é~m sí]
• [Ó ámb~íéñt~é ém q~úé ó á~plíc~átív~ó é éxé~cútá~dó, có~mó dé~séñv~ólví~méñt~ó, tés~té óú~ pród~úçãó]
• [Á lóc~álíz~áçãó dó~ ámbí~éñté~: pór é~xémp~ló, úm~ ámbí~éñté~ dé pr~ódúçãó~ ém úm~ dátá~ céñt~ér ñá~ cóst~á óés~té dó~s ÉÚÁ~]

[Ém ségúídá, á éqúípé DévSécÓps símplésméñté ádícíóñá úm Íllúmíó VÉÑ á úmá cómpíláçãó dé sóftwáré. Úmá véz éxécútádó ñó ámbíéñté dó áplícátívó, ó VÉÑ ímpõé Pólítícás dé Zéró Trúst, émíté álértás áó détéctár móvíméñtós látéráís súspéítós é rédúz ó tráfégó ém réspóstá á átáqúés átívós, ísóláñdó ós éñdpóíñts íñféctádós dó réstó dá rédé.]

[Íllúmíó támbém óférécé úm Clíéñté C-VÉÑ é sérvíçó Kúbélíñk párá úsó ém ámbíéñtés cóñtéíñérízádós, qúé sãó pópúlárés ém árqúítétúrás dé mícróssérvíçós. Ó C-VÉÑ é úm ágéñté lévé dó Íllúmíó, éxécútádó cómó úm pód ém cádá ñó ém úm clústér Kúbérñétés, qúé prótégé ó ñó é tódós ós póds ém éxécúçãó ñélé. Fórñécídó cómó úm DáémóñSét, ó C-VÉÑ áúméñtá é dímíñúí á éscálá à médídá qúé ó clústér évólúí. Ó Kúbélíñk é úm sérvíçó dá Íllúmíó qúé móñítórá ó sérvídór dá ÁPÍ Kúbérñétés párá ápréñdér sóbré ós récúrsós déñtró dó clústér é fórñécér ó cóñtéxtó dó Kúbérñétés áó PCÉ. Élé é éñtrégúé cómó úm pácóté é réqúér ápéñás úmá réplícá pór clústér, ájúdáñdó á tórñár ás sólúçõés dé cóñtêíñér dá Íllúmíó áltáméñté éscálávéís.]

[Ás éqúípés dé DévSécÓps têm dúás máñéírás dé íñtérágír cóm ó Íllúmíó PCÉ: pór méíó dá íñtérfácé dé úsúáríó dó PCÉ óú dé súás ÁPÍs RÉST bém dócúméñtádás. Ás éqúípés dé DévSécÓps pódém úsár ás ÁPÍs párá íñtégrár ó Íllúmíó áós pípélíñés dé CÍ/CD, párá qúé á ségméñtáçãó Zéró Trúst sé tórñé úmá párté pádrãó dós flúxós dé trábálhó dó DévSécÓps. Ás ÁPÍs támbém pérmítém qúé ás éqúípés dé ségúráñçá íñtégrém ó Íllúmíó á óútrás férráméñtás é flúxós dé trábálhó dé ségúráñçá.]

[Ó pác~óté d~é pró~dútó~s Íll~úmíó~ fórñ~écé s~égmé~ñtáçãó~ Zéró~ Trús~t sém~pré q~úé áp~lícá~tívó~s é sé~rvíçó~s sãó í~mplá~ñtád~ós, íñ~clúí~ñdó é~ñdpó~íñts~ ém:]

• [Céñt~rós d~é dád~ós: Ñúc~léó Í~llúm~íó]
• [Ñúvé~ñs púb~lícá~s, prí~vádá~s óú h~íbríd~ás: Íl~lúmí~ó Cló~údSé~cúré~]
• [Dísp~ósít~ívós~ dé éñ~dpóí~ñt: Íl~lúmí~ó Édg~é]

[Ó Lóg4j ñãó sérá ó últímó cómpóñéñté dé sóftwáré qúé íñclúírá úmá vúlñérábílídádé pérígósá. Áó ádótár prátícás dé DévSécÓps é úsár ó Íllúmíó párá ímpór á ségméñtáçãó Zéró Trúst ém áplícátívós ém tódós ós lúgárés, ás órgáñízáçõés pódém éstár próñtás párá prótégér séús dádós, áplícátívós é péssóás éñqúáñtó ó trábálhó démórádó dé várrédúrá dé rédé é búscá dé áméáçás cóñtíñúá.]

[Párá~ sábé~r máí~s:]

• [Cóñf~írá ó~ résú~mó dá~ sólú~çãó, Íll~úmíó~ párá~ DévS~écÓp~s.]
• [Éñtr~é ém c~óñtá~tó có~ñósc~ó pár~á úmá~ démó~ñstr~áçãó.]