Log4Shell: Was jetzt zählt

Keine Panik trotz Alarmstufe Rot

Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Alarmstufe Rot ausgerufen und auch das Schweizer Cybersicherheitszentrum hat dringende Empfehlungen herausgegeben. Sogar Massenmedien haben bereits über die Schwachstelle berichtet: log4j, das weit verbreitete Logging-Framework für Java, weist eine kritische Sicherheitslücke auf, die bereits aktiv ausgenutzt wird. Ein Grossteil aller in Java geschriebenen Anwendungen und APIs sind potentiell gefährdet. Java’s Erfolgsfaktor „Write once, run everywhere“ wird nun zum Bumerang.

Das Problem ist aus zwei Gründen gravierend: Erstens ist Log4j ein weit verbreitetes Logging-Framework für Java — so populär, dass es in diverse andere Programmiersprachen übersetzt wurde. Weltweit dürften deshalb Millionen von Systemen verwundbar sein, auch prominente Hersteller wie Google, Apple oder Tesla sind betroffen. Und zweitens lässt sich mit wenig Aufwand viel Schaden anrichten: Gefahr besteht dann, wenn Log4j verwendet wird, um eine vom Angreifer kontrollierte Zeichenkette wie beispielsweise den HTTP User Agent zu protokollieren. Mit einer einfachen Zeichenkette lässt sich Log4j dazu bewegen, zusätzlichen Programmcode von einem Server im Internet nachzuladen. Ein Angreifer kann also beliebigen Schadcode injizieren und so Firmen von innen angreifen.

Application Security Testing reicht nicht aus

Immer mehr Entwickler prüfen ihren eigenen Code und fremde Bibliotheken wie Log4j automatisiert auf Schwachstellen. Das ist ein grosser Schritt vorwärts für die Anwendungssicherheit, weil es das Problem an der Wurzel anpackt. Es ist allerdings trügerisch, sich auf eine Datenbank von bekannten Schwachstellen zu verlassen. Application Security Testing hilft zwar bei der Erkennung einer möglichen Schwachstelle, schützt aber nicht davor. Wenn ein solches Tool Alarm schlägt, dauert es oft Tage oder Wochen, bis die Korrektur ausgerollten werden kann. Manchmal ist es gar unmöglich, alle betroffenen Systeme zu patchen.

Verschaffen Sie sich Zeit mit Virtual Patching

Eine saubere Lösung benötigt Zeit. Natürlich sind die Entwickler bereits daran, auf die neuste Log4j-Version umzustellen. Das grössere Problem dürfte jedoch sein, die betroffenen Systeme erst mal zu identifizieren. Je nach Softwarelösung gibt es zusätzliche Ansätze, die Schwachstelle zu mitigieren, diese müssen aber sorgfältig auf Ihre Effektivität getestet werden. So oder so dürften noch mehrere Wochen vergehen, bis alle Systeme geschützt sind.

Jetzt in Panik auszubrechen wäre aber kontraproduktiv. Denn es gibt eine wirksame Sofortmassnahme, um Zeit zu gewinnen: Virtual Patching. Eine vorgeschaltete Application Firewall (WAF) bzw. ein API Security Gateway erkennt die gefährlichen Inhalte und blockiert sie, noch bevor sie auf das verwundbare System treffen. Damit hat man die Wahrscheinlichkeit eines erfolgreichen Angriffs stark reduziert und die IT kann in Ruhe die betroffenen Systeme patchen. Auch das Nationale Cyber Security Center empfiehlt, die Sicherheitsregeln einer WAF falls notwendig zu aktualisieren.