지난 10일(금) Log4j  (CVE-2021-44228) 라이브러리가 가장 높은 단계의 취약점으로 긴급 발표 되었습니다.

여러 국/내외 언론에서 언급한 것 처럼 Log4j 취약점을 가진 시스템은 긴급 조치가 필요한 상황 입니다.

아쿠아 시큐리티 솔루션 이번 Log4j 취약점 관련하여,

CVE 발표전/후 Drift Prevention, CVE Block,  Vshield등을 통해서 효율적으로 대응 하고 있습니다.

1. Log4j  (CVE-2021-44228) 취약점은 지난 11월24일 경 Alibaba Cloud Security Team에 의해서 발견 되었습니다.
   아쿠아 시큐리는CVE 취약점이 발표되기 전까지 이러한 제로 데이 공격을 어떻게 방어 할 수 있나요?

• • Drift Prevention

Drift Prevention은 제로데이 공격을 방어 하기 위한 효율적인 기능 입니다.

원본 이미지 (보안 검증이 완료된 이미지)에 포함되지 않은 실행파일의 실행 모두 차단 됩니다.

Log4j shell 에 의해 손상된 시스템은 외부에서 악성코드 다운로드를 하는 행위가 확인되었습니다.

새롭게 다운로드 받은 실행 파일은 원본 이미지에 포함되지 않았던 것으로 Drift prevention에 의해서 차단됩니다.

이렇게 함으로 더이상의 악성 행위를 진행 할 수 없도록 방어 하며, 클라우드 환경의 불변성(immutability)를 유지 합니다.

Drift Prevention은 아쿠아 시큐리티만의 유일한 방식으로
오랜 시간 프로파일링 없이 정책 적용과 동시에 즉각적으로 제로데이 공격을 방어 할 수 있습니다.

• • CNDR
    클라우드 네이티브에서 유일하게 아쿠아 시큐리만 제공하는 CNDR (Cloud Native Detection & Response) 은,

별도의 외부 샌드박스 솔루션과 연동없이 행위기반 악성 행위를 탐지 방어 합니다.  

CNDR은 패턴 매칭이 아닌행위기반 분석으로 페이로드에 의해 실행되는 크립토마이닝, 메모리 샐행 등과 같은 악성 행위를 탐지 차단 합니다.

즉, Log4j 외부로 부터 실행을 위한 악성 코드를 다운로드 받으면, 해당 행위를 분석 하여 대응 합니다.

파일 시스템은 물론, 메모리 까지 분석 하여 대응 할 수 있습니다.  

2. CVE 취약점이 12월10일 경 발표 되었습니다. CVE 취약점 발표 후 아쿠아 시큐리티는 어떻게효율적으로 방어 할 수 있습니까?

• vShield

아쿠의 대표적인 보안 기능 중 하나로, Virtual Patch 기능 입니다.

여러가지 이유로 실제 시스템에서 조치를 취할 수 없는 상황이라면, vShield 를 통하여 선재적 방어 기능을 제공 합니다.

패치/업데이트 에 대한 영향도, 서비스 영향도를 충분히 고려 될때까지 아쿠아의 vShield 로 취약점을 방어 하고,

모든 상황이 충분히 고려된 이후 시스템에서 패치를 적용 하시면 됩니다.

• CVE 기반 탐지 및 차단
  아쿠아의 효율적인 방어 방법 중 CVE Block, CVE Vulnerability Severity/Score 을 통하여 Log4j 취약점에 대응 할 수 있습니다.
  CVE 기반의 탐지 및 차단은 이미지내 해당 취약점을 가진 하는 Log4j 2 라이브러리 있는지 검사하여,

취약점이 있는 경우 runtime에서 실행 되지 못하도록 통제 할 수 있습니다.

• Drift Prevention

CVE 취약점이 발표된 이후에도 효율적으로 취약점을 방어 할 수 있는 기능 입니다.

정책 적용과 동시에 Drift Prevention 을 통한 보안 기능을 제공 할 수 있는 장점이 있습니다.

• CNDR

역시 CVE 취약점 발표 이후에도 효율적으로 취약점을 방어 할 수 있는 기능 입니다.

추가적인 샌드 박스 구성 없이 행위 기반분석을 제공 하기에,

클라우드로 데이터가 전달 되는 것을 우려하는 조직에서 이런 걱정 없이 행위 기반 분석을 적용 할 수 있습니다.

3. 추가 정보

이 취약점을 악용하려는 공격자들은 다양한 경로를 통해서 매턴 매칭 기반 보안 솔루션의 탐지를 우회하려는 시도가 있습니다.

• 참고: CVE-2021-44228-PoC-log4j-bypass-words: https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words

때문에 전통적인 보안 솔루션의 패턴 매칭 방식은 지속적인 방어를 제공 하기 어려울 것으로 예상 됩니다.

관련하여 궁금한 내용 있으시면 언제든지 연락 주시기 바랍니다.

감사합니다.