Log4j – Ein Vorgeschmack auf die diesjährigen Feiertage

veröffentlicht am 16. Dezember 2021​

Eine Schwachstelle in einem auf vielen Servern installierte Software führt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer „extrem kritischen Bedrohungslage”. Die Software heißt Log4J und ist für die einfache Protokollierung für Java-Anwendungen gedacht.

Die für alle wertvolle Meldung des BSI finden Sie unter Kritische Schwachstelle in Log4j veröffentlicht (CVE-2021-44228).

Es ist davon auszugehen, dass jede IT-Abteilung und auch jedes Team aktuell mit Hochdruck an der Gefährdung arbeitet, indem identifiziert wird, ob diese Schwachstelle im eigenen Verantwortungsbereich gegeben ist und wenn ja, wie diese mit den üblichen Mitteln (welche auch in der Meldung des BSI beschrieben ist) abgemildert bzw. beseitigt werden kann.

An dieser Stelle soll aber der Gedanke aufgegriffen werden, warum eine solche Meldung nicht nur als „zu beseitigende” Schwachstelle angesehen werden soll!

Es ist davon auszugehen, dass die Schwachstelle schon seit langem gegeben ist. Die reine Beseitigung der Schwachstelle ist nicht „nur” die Lösung. Vielmehr ist zu hinterfragen, ob die Schwachstelle in der Vergangenheit schon ausgenutzt wurde. Sprich: Gibt es Hinweise auf Aktivitäten von Hackern in dem eigenen Netzwerk? Wie werden diese erkannt und konnten die laufenden Schutzinstrumente einen Hackerangriff erkennen? Wenn Sie hier nicht sicher sind, dann sollte nach der Beseitigung der Schwachstelle damit begonnen werden, nach evtl. Spuren zu suchen.

Diese Schwachstelle betrifft auch wichtige Lieferanten, Dienstleister und Provider. Es stellt sich die Frage, ob die Sicherheit von wichtigen Daten und Informationen sowie die Betriebssicherheit wichtiger Prozesse von diesen Geschäftspartnern abhängig sind. Ist dies der Fall, sollte die Vorfallsbearbeitung auch auf diese ausgedehnt werden.

Und insgesamt: Log4j gehört zu der Kategorie von Open Source Software. Einer der Vorteile dieser Gattung von Software – so wird immer kommuniziert -, ist die Offenheit des Codes und somit die Transparenz, welche auf Dauer zu mehr Sicherheit führt. Es ist offensichtlich, dass diese Offenheit zwar eine bessere Grundlage für sicheren Code bedeutet. Aber, es ist nicht so, dass diese Offenheit zwangsläufig in mehr Sicherheit endet. Daher wird die Frage notwendig sein, wie auch beim Einsatz von Open Source die Sicherheit weiter erhöht werden kann.

Mit unseren Leistungen rund um Digital GRC helfen wir, Sicherheitslücken zu identifizieren und zu beseitigen.

Kontaktieren Sie uns gerne, wenn Sie noch offene Fragen zum Thema haben.