Akses Awal: Upaya Penyusupan Log4j

Dokumen ini menjelaskan jenis temuan ancaman di Security Command Center. Temuan ancaman dibuat oleh pendeteksi ancaman saat mendeteksi potensi ancaman di resource cloud Anda. Untuk daftar lengkap temuan ancaman yang tersedia, lihat Indeks temuan ancaman.

Ringkasan

Temuan ini dibuat saat pencarian Java Naming and Directory Interface (JNDI) dalam header atau parameter URL terdeteksi. Pencarian ini dapat menunjukkan upaya eksploitasi Log4Shell.

Cara merespons

Untuk menanggapi temuan ini, lakukan hal berikut:

Langkah 1: Tinjau detail temuan

  1. Buka temuan Initial Access: Log4j Compromise Attempt, seperti yang diarahkan dalam Meninjau detail temuan. Panel detail untuk temuan akan terbuka di tab Ringkasan.

  2. Di tab Summary, tinjau informasi di bagian berikut:

    • Yang terdeteksi
    • Resource yang terpengaruh
    • Link terkait, terutama kolom berikut:
      • Cloud Logging URI: link ke entri Logging.
      • Metode MITRE ATT&CK: link ke dokumentasi MITRE ATT&CK.
      • Temuan terkait: link ke temuan terkait.
    • Di tampilan detail temuan, klik tab JSON.

    • Dalam JSON, perhatikan kolom berikut.

    • properties

      • loadBalancerName: nama load balancer yang menerima pencarian JNDI
      • requestUrl: URL permintaan dari permintaan HTTP. Jika ada, ini berisi pencarian JNDI.
      • requestUserAgent: agen pengguna yang mengirim permintaan HTTP. Jika ada, kolom ini berisi pencarian JNDI.
      • refererUrl: URL halaman yang mengirim permintaan HTTP. Jika ada, kolom ini berisi pencarian JNDI.

Langkah 2: Periksa log

  1. Di konsol Google Cloud , buka Logs Explorer dengan mengklik link di kolom Cloud Logging URI dari langkah 1.

  2. Di halaman yang dimuat, periksa kolom httpRequest untuk menemukan token string seperti ${jndi:ldap:// yang dapat mengindikasikan kemungkinan upaya eksploitasi.

    Lihat CVE-2021-44228: Mendeteksi eksploitasi Log4Shell dalam dokumentasi Logging untuk mengetahui contoh string yang akan ditelusuri dan contoh kueri.

Langkah 3: Meneliti metode serangan dan respons

  1. Tinjau entri framework MITRE ATT&CK untuk jenis temuan ini: Eksploitasi Aplikasi yang Terhubung ke Publik.
  2. Tinjau temuan terkait dengan mengklik link di Temuan terkait di baris Temuan terkait pada tab Ringkasan di detail temuan. Temuan terkait adalah jenis temuan yang sama dan instance dan jaringan yang sama.
  3. Untuk mengembangkan rencana respons, gabungkan hasil penyelidikan Anda dengan riset MITRE.

Langkah 4: Terapkan respons Anda

Rencana respons berikut mungkin sesuai untuk temuan ini, tetapi juga dapat memengaruhi operasi. Evaluasi dengan cermat informasi yang Anda kumpulkan dalam penyelidikan untuk menentukan cara terbaik dalam menyelesaikan temuan.

Langkah berikutnya