Décryptage de la faille Apache Log4j : priorités et inventaire

Jérôme Warot, Vice-président, Technical Account Management, South EMEA chez Tanium partage son expertise

La faille Apache Log4j est la vulnérabilité la plus redoutable que j’ai connue de toute ma carrière, en termes de nombre de personnes et d’organisations touchées et par conséquent de gravité de l’impact.

Prioriser les sujets

Étant donné l’exposition potentielle des systèmes, il est important de procéder avec méthode et de prioriser les sujets. Est-ce que toutes les entreprises utilisent Log4j ? Oui, probablement, mais les vraies questions sont :

• Que mettre en œuvre pour ralentir, minimiser ou remédier à cette vulnérabilité avant que quelqu’un ne tente de l’exploiter ?
• Quels sont les systèmes les plus critiques ou exposés ?
  
  

Commencer par mettre en œuvre les mécanismes de détection et de blocage sur tous les périmètres tournés vers l’extérieur est primordial.

Ensuite, travailler sur l’inventaire de tous les systèmes utilisant cette librairie est essentiel.

Enfin prioriser : quels systèmes, quels impacts, etc.

La phase d’inventaire
Dans la phase d’inventaire, l’une des erreurs à ne pas commettre, lors de l’analyse des applications et la mise à jour de la librairie, est de s’appuyer sur des outils traditionnels de gestion des vulnérabilités.

En effet, ces outils analysent les applications installées à la recherche de problèmes éventuels, mais si un package comme Log4j a été renommé ou installé dans un chemin autre que celui défini par défaut, il est probable que ces outils ne le détecteront pas.

Aussi, il est préférable d’utiliser des solutions à multiples types d’analyse notamment celles qui permettent l’analyse des chaînes de configuration dans les fichiers.

L’approche à long terme

Sur une approche à plus long terme, le secteur devra commencer à examiner de plus près les projets open-source comme Log4j.

 Ces cadres et ces outils sont largement adoptés par des milliers d’organisations, mais ils sont souvent gérés par des individus pendant leur temps libre, comme projet personnel. Il n’est généralement pas évident de savoir combien de ressources sont consacrées au maintien des normes de sécurité, mais je pense que les entreprises seront plus enclines à vérifier ce point avant d’utiliser des outils open-source à l’avenir.

Cette nouvelle faille nous rappelle une fois de plus l’importance de s’assurer d’une parfaite hygiène cyber et d’une bonne gestion de ses actifs IT. En respectant ces principes de base, vous êtes mieux préparé pour affronter une telle situation et en minimiser l’impact.