Log4Shell-Untersuchungs-Playbook — evidenzbasiertes Triage

Antwort zuerst

Triagen Sie Log4Shell in fünf Schritten: CVE bestätigen → betroffene Systeme finden → Indikatoren sammeln → Ausnutzung validieren → Fix planen.

1. Was Log4Shell ist und warum es wichtig ist

CVE-2021-44228 ist eine Remote-Code-Ausführungsschwachstelle in der JNDI-Message-Lookup-Funktion von Apache Log4j 2. Ein Angreifer, der eine beliebige, von einer betroffenen Version protokollierte Zeichenkette kontrollieren kann, kann eine ausgehende JNDI-Abfrage und, wenn die Bedingungen es zulassen, Remote-Code-Ausführung auslösen. Da Log4j in Tausende von Produkten eingebettet ist, ist der Blast Radius breit — genau deshalb hat die Schwachstelle ein eigenes CISA-Advisory und eine Exploitationswelle.

2. Betroffene Systeme und Versionen

Beginnen Sie mit Ihrem Asset-Inventar und ordnen Sie es bekannten betroffenen Versionen zu:

• Log4j 2.0-beta9 bis 2.14.1 (und mehrere 2.15.x-Builds) sind von CVE-2021-44228 betroffen.
• CVE-2021-45046 betrifft Log4j 2.x vor 2.16.0 und wird separat bewertet.
• Produkte, die Log4j einbetten (Anwendungsserver, Sicherheitsappliances, SDKs), sind betroffen, auch wenn Sie Log4j nicht direkt installiert haben.

Nutzen Sie die CVE-Abfrage für Schweregrad, CVSS-Vektor, betroffene Produkte und CISA-KEV-Status jeder CVE, bevor Sie priorisieren.

3. Zu sammelnde Indikatoren

Wenn Sie nach Ausnutzung suchen, sammeln — nicht löschen — Sie diese Signale:

• Logzeilen, die ${jndi:ldap://, ${jndi:rmi://, ${jndi:dns:// oder base64-kodierte JNDI-Muster enthalten.
• Ausgehende Verbindungen von Anwendungshosts zu unbekannten LDAP-/RMI-/HTTP-Hosts auf ungewöhnlichen Ports.
• HTTP-Header oder -Parameter, die Benutzereingaben in Logs zurückspiegeln (User-Agent, Referer, X-Forwarded-For, Formularfelder).
• Befehlsfragmente, die in exec()-Spuren oder Prozess-Befehlszeilen auf dem Host beobachtet wurden.
• IOCs, die von Herstellern und den CISA-/NCSC-Advisories veröffentlicht wurden: Angreifer-IPs, per JNDI abgefragte Domänen und Nutzlast-Hashes.

Normalisieren und defangen Sie jeden Indikator mit der IOC-Abfrage und prüfen Sie den normalisierten Wert in der OpenTrojan-Intelligence. Erfassen Sie den Rohwert vor dem Defangen.

4. Untersuchungs-Workflow

1. Bestätigen Sie den Eintrag: lesen Sie die CVE-Details und das Hersteller-Advisory für Ihr exaktes Produkt und Ihre exakte Version.
2. Eingrenzen: listen Sie jeden Host und Dienst auf, der ein betroffenes Log4j ausführt, einschließlich eingebetteter Kopien.
3. Sammeln: ziehen Sie Logs und Paketaufzeichnungen aus dem Aufgabenfenster, das Sie untersuchen (verändern Sie zuerst keine Dateien).
4. Validieren: unterscheiden Sie einen harmlosen Scan / eine Honeypot-Interaktion von echter Ausnutzung, indem Sie die JNDI-Abfrage mit einer anschließenden ausgehenden Anfrage oder Prozessausführung korrelieren.
5. Eindämmen: isolieren Sie bestätigte Hosts, wenden Sie dann den Hersteller-Patch oder die offizielle Abschwächung an, bevor Sie breiter beheben.

Starten Sie eine neue Untersuchung, um Umfang, Beweise und Behebung je Host zu verfolgen — dokumentieren Sie jeden Sammler-Befund mit Quelle und Zeitstempel.

5. Was zu sammeln ist (Beweisdisziplin)

Dokumentieren Sie für jeden Befund: Host, Dienst, Log4j-Version, exakte Logzeile (defangt), Beobachtungszeitstempel, Quelle des Eintrags und den Analysten, der ihn bestätigt hat. Halten Sie die Roh-Logs für die spätere Validierung unverändert.

6. So validieren Sie

Ein bestätigtes Signal bedeutet eine eingehende JNDI-Abfrage aus angreiferkontrollierter Eingabe und eine passende ausgehende Interaktion oder einen Marker für Befehlsausführung. Ein einzelner Log-Muster-Treffer ist vermutet, nicht bestätigt — Angreifer und Scanner lösen beide Abfragen aus. Behandeln Sie einen Tool-Treffer niemals für sich als Urteil.

7. Erkennung und Abschwächung

• Erkennung: suchen Sie nach den obigen Indikatoren, zusätzlich in Webzugriffs-Logs nach JNDI-Zeichenketten und nach Egress-Verbindungen zu ungewöhnlichen LDAP-/HTTP-Zielen.
• Abschwächung: aktualisieren Sie auf die herstellerseitig behobene Log4j-Version, aktivieren Sie die offiziellen Abschwächungen für Versionen, die Sie nicht aktualisieren können, blockieren Sie Egress zu nicht vertrauenswürdigem LDAP/RMI und wenden Sie die von CISA geforderte Maßnahme an, wenn die CVE auf KEV steht.

8. Nützliche Werkzeuge

• CVE-Abfrage — Schweregrad, CVSS, betroffene Produkte und KEV-Status.
• IOC-Abfrage — Indikatoren normalisieren, defangen und gegen OpenTrojan-Intelligence prüfen.
• Untersuchungsarbeitsbereich — Umfang und Behebung verfolgen.

9. Referenzen

• NVD — CVE-2021-44228
• CISA — Understanding and mitigating Log4Shell
• Apache Log4j security page