香港電訊全力對抗近十年最大安全漏洞

Apache Log4j於上年12月驚爆嚴重的風險漏洞（CVE-2021-44228)，觸發遠端程式碼執行 (Remote code execution，RCE) 漏洞，對全球網絡系統造成極大威脅。Apache Log4j本身是廣泛使用的Java日誌管理平台，程式設計員常用作記錄軟件上的各種使用及錯誤數據。基於現時約有過百萬的網站和應用程式採用Log4j工具，所造成的影響牽連甚廣。

香港電訊快速應對及啓動防禦

正當不少企業仍在努力進行全面的漏洞評估以識別任何受影響的系統，香港電訊的專責團隊以及新世代網絡安全監控中心（Next Generation Security Operations Center, NG SOC）已為使用網絡安全託管服務的企業加强管理及確保其網絡系統的安全，應對及部署如下:

• 自動更新入侵防禦系統（IPS）簽名，IPS系統亦由2021年12月11日上午開始掃描和攔截惡意攻擊

• 一直採用的新世代防惡意軟件工具有效防禦和檢測 CVE-2021-44228 中使用的策略和技術；而香港電訊及供應商個別的網絡安全監控中心繼續積極監控任何進一步的惡意行為

• 漏洞評估已内置於相關應用程式，並且執行所需的修復程序

 
非使用香港電訊網絡安全託管服務的企業  應立即部署防禦

在沒有受到網絡安全託管服務的防護下，NG SOC 專家建議企業立即採取防禦：

• 更新入侵防禦系統 (IPS) 簽名，透過最新修補程式是較爲妥善安全的做法

• 對於本地軟件系統（Home-grown applications），可考慮盡快執行以下緩解措施：

  1. Log4j 2.10 或更高版本：將 log4j.formatMsgNoLookups 或 Dlog4j.formatMsgNoLookups 設置為 true

  2. Log4j 2.7 或更高版本: PatternLayout 配置中使用 %m{nolookups}; 以及

  3. 所有其他 Log4j 2 版本:從 log4j-core.jar 中刪除 JdniLookup 和 JdniManager 類別

• 對於商用現貨 (Commercial Off-the-Shelf，COTS) 系統，請與供應商確認可採取的臨時措施以降低風險

• 限制防火墻上的網絡流量

  1. 阻止易受攻擊的裝置存取網路（通常伺服器不需要啟動網路流量到外部網路）

  2. 在易受攻擊的裝置需要訪問外部資源時，使用白名單限制出站流量
     

• Apache 已發布了 Log4j 2.17.1 版本，並修復該漏洞。所有企業組織的應用團隊應盡快將應用程式升級至最新版本

我們亦樂意為企業提供更多協助，以採取有效的預防及緩解措施，即使企業在面對人手資源和專業知識短缺的情況下，仍可加强網絡安全防禦。