Apache Log4j2是一款業(yè)界廣泛使用的基于Java的日志工具，該組件使用范圍廣泛，利用門檻低，漏洞危害極大。華為云安全在第一時(shí)間檢測到漏洞狀況并在官網(wǎng)發(fā)布相關(guān)公告，在此提醒使用Apache Log4j2的用戶盡快安排自檢并做好安全防護(hù)。
公告詳情：
https://www.huaweicloud.com/notice/2021/20211210001621800.html
掃碼查看
Apache Log4j2是一款業(yè)界廣泛使用的基于Java的日志記錄工具。此次曝出的漏洞，利用門檻低，漏洞危害極大，威脅級別定義為嚴(yán)重級。此漏洞存在于Apache Log4j 2.x到 2.15.0-rc1多個(gè)版本，已知受影響的應(yīng)用及組件包括spring-boot-starter-log4j2 / Apache Solr / Apache Flink / Apache Druid等。
華為云安全在第一時(shí)間提供了對該漏洞的防護(hù)。僅僅過去數(shù)小時(shí)，華為云WAF就在現(xiàn)網(wǎng)中攔截了Apache Log4j2 遠(yuǎn)程代碼執(zhí)行漏洞的大量變形攻擊，通過分析發(fā)現(xiàn)攻擊者正在不斷嘗試新的攻擊方法，當(dāng)前已識別到10+種試圖取得服務(wù)器控制權(quán)的變形攻擊。鑒于此漏洞威脅級別高，而且出現(xiàn)大量變形攻擊，因此華為云安全團(tuán)隊(duì)提醒客戶及時(shí)進(jìn)行檢測、采取處置措施和開啟防護(hù)服務(wù)。
漏洞處置
1. 盡快升級至Apache log4j-2.15.0-rc2官方正式版，Apache官方已發(fā)布補(bǔ)丁，下載地址：
https://github.com/apache/logging-log4j2/releases/tag/log4j-2.15.0-rc2
2. 對于無法短時(shí)間升級新版本的情況，建議采取如下措施來緩解：
(優(yōu)先) 添加以下JVM啟動(dòng)參數(shù)來禁止解析JDNI，重啟服務(wù)，jvm參數(shù) -Dlog4j2.formatMsgNoLookups=true
log4j2配置中設(shè)置log4j2.formatMsgNoLookups=True 禁止解析JDNI
系統(tǒng)環(huán)境變量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 設(shè)置為true
確保使用高版本JDK，如JDK8u191默認(rèn)限制遠(yuǎn)程加載惡意類(只能增加漏洞利用難度，不能杜絕)
禁止沒有必要的業(yè)務(wù)訪問外網(wǎng)
開啟防護(hù)服務(wù)，主動(dòng)檢測和動(dòng)態(tài)防護(hù)
華為云安全持續(xù)監(jiān)測此漏洞及其變種攻擊，建議開啟相關(guān)安全防護(hù)服務(wù)，主動(dòng)掃描防護(hù)利用此漏洞進(jìn)行的惡意攻擊：
1. 開啟華為云WAF的基礎(chǔ)防護(hù)功能（WAF標(biāo)準(zhǔn)版、專業(yè)版或鉑金版），檢測和攔截各種變形攻擊，您可免費(fèi)申請1個(gè)月標(biāo)準(zhǔn)版試用。
產(chǎn)品頁：
https://www.huaweicloud.com/product/waf.html
掃碼進(jìn)入產(chǎn)品頁
在華為云WAF控制臺(tái)，防護(hù)策略->Web基礎(chǔ)防護(hù)，開啟狀態(tài)，設(shè)置攔截模式，開啟華為云WAF的Web基礎(chǔ)防護(hù)功能。
2. 開啟華為云CFW的基礎(chǔ)防御功能（基礎(chǔ)版），檢測和攔截各種變形攻擊。
產(chǎn)品頁：
https://www.huaweicloud.com/product/cfw.html
掃碼進(jìn)入產(chǎn)品頁
在華為云CFW控制臺(tái)，入侵防御->防御策略設(shè)置頁面，打開基礎(chǔ)防御功能開關(guān)，并啟動(dòng)攔截模式。
3、華為云漏洞掃描服務(wù)VSS第一時(shí)間提供了對該漏洞的檢測能力。
開啟華為云VSS的漏洞掃描功能（免費(fèi)開通基礎(chǔ)版，或購買專業(yè)版、高級版、企業(yè)版），檢測網(wǎng)站及主機(jī)資產(chǎn)是否存在該漏洞，主動(dòng)識別安全風(fēng)險(xiǎn)。
產(chǎn)品頁：
https://www.huaweicloud.com/product/vss.html
掃碼進(jìn)入產(chǎn)品頁
在華為云VSS控制臺(tái)，資產(chǎn)列表->網(wǎng)站->新增域名，資產(chǎn)列表->主機(jī)->添加主機(jī)，啟動(dòng)掃描，等待任務(wù)結(jié)束，查看掃描報(bào)告。
華為云安全
繼承華為30多年的安全積累，華為云構(gòu)筑的原生冰山安全體系和責(zé)任共擔(dān)模型，為客戶提供可信、極簡、智能的云安全平臺(tái)和服務(wù)，服務(wù)于包括華為流程與IT，消費(fèi)者云及政企、電商、金融、互聯(lián)網(wǎng)等行業(yè)客戶。
【卓越能力】20+自主研發(fā)的云安全服務(wù)和300+伙伴安全服務(wù)，從保護(hù)云工作負(fù)載，保護(hù)應(yīng)用服務(wù)，保護(hù)數(shù)據(jù)資產(chǎn)，管理安全態(tài)勢到幫助合規(guī)上云方面，幫助客戶構(gòu)建立體云安全防護(hù)。
【全球合規(guī)】全球累計(jì)獲得100+安全合規(guī)認(rèn)證，如PCI 3DS，TISAX，ISO 27799， ISO/IEC 27701，ISO/IEC 27034，CSA STAR V4，SOC 2 Type2，德國C5等，滿足全球客戶業(yè)務(wù)合規(guī)和隱私保護(hù)要求。
【產(chǎn)業(yè)共享】參與和主導(dǎo)制定10+云安全相關(guān)標(biāo)準(zhǔn)，輸出30+安全白皮書，向產(chǎn)業(yè)和客戶共享華為安全優(yōu)秀實(shí)踐經(jīng)驗(yàn)。
【安全保障】專業(yè)的安全運(yùn)營團(tuán)隊(duì)，7*24小時(shí)安全保障體系，防御針對云平臺(tái)的攻擊，實(shí)現(xiàn)99.99%的安全事件自動(dòng)響應(yīng)，讓企業(yè)上云安全無憂。
