نقص جدید در امنیت رایانه در لبه جهان است. از همین رو.
بوستون
کارشناسان امنیتی می گویند این یکی از بدترین آسیب پذیری های کامپیوتری است که تا به حال دیده اند. آنها می گویند که هکرهای چینی و ایرانی مورد حمایت دولت و حفاران متقلب ارزهای دیجیتال قبلاً آن را ضبط کرده اند.
وزارت کشور با صدور یک زنگ هشدار هشدار، به آژانس‌های فدرال دستور داد که فورا این اشکال را برطرف کنند زیرا کار با آن بسیار آسان است - و به کسانی که شبکه‌های عمومی دارند می‌گوید اگر مطمئن نیستند فایروال نصب کنند. نرم افزار تحت تأثیر کوچک و اغلب غیر مستند است.
این نقص که در ابزار پرکاربردی به نام Log4j یافت می شود، به مهاجمان مبتنی بر اینترنت اجازه می دهد تا به راحتی کنترل همه چیز از سیستم های مدیریت صنعتی گرفته تا سرورهای وب و لوازم الکترونیکی مصرفی را در دست بگیرند. به سادگی شناسایی سیستم هایی که از این ابزار استفاده می کنند یک چالش بزرگ است. اغلب در زیر لایه های نرم افزارهای دیگر پنهان می شود.
جن ایسترلی، افسر ارشد امنیت سایبری در ایالات متحده، روز دوشنبه در گفتگو با مقامات دولتی و محلی و شرکای بخش خصوصی، این نقص را به عنوان "یکی از جدی ترین نقص هایی که در تمام دوران حرفه ای خود دیده ام، اگر نگوییم جدی ترین" توصیف کرد. این برنامه که پنج شنبه گذشته به صورت عمومی رونمایی شد، برای مجرمان سایبری و جاسوسان دیجیتالی یک مزاحم است زیرا امکان ورود آسان بدون رمز عبور را فراهم می کند.
آژانس امنیت سایبری و امنیت زیرساخت، یا CISA، که خانم ایسترلی آن را مدیریت می‌کند، روز سه‌شنبه یک صفحه منبع راه‌اندازی کرد تا به پاک کردن نقصی که می‌گوید در صدها میلیون دستگاه وجود دارد کمک کند. سایر کشورهای بسیار کامپیوتری نیز با فعال کردن مرکز ملی بحران فناوری اطلاعات آلمان، آن را به همان اندازه جدی گرفته اند.
دراگوس، یک شرکت امنیت سایبری پیشرو برای کنترل صنعتی، گفت که طیف وسیعی از صنایع حیاتی، از جمله برق، آب، غذا و نوشیدنی، تولید و حمل و نقل در معرض دید قرار گرفته است. سرجیو کالتاگیرون، معاون شرکت اطلاعات تهدیدات، گفت: «من فکر نمی‌کنم هیچ فروشنده نرم‌افزاری بزرگی در جهان - حداقل در بخش صنعتی - با این مشکل ببینیم.
اریک گلدشتاین، رئیس بخش امنیت سایبری CISA، گفت که واشنگتن در حال رهبری یک واکنش جهانی است. او گفت که آژانس های فدرال شناخته نشده اند که به خطر افتاده اند. اما این روزهای اولیه است.
او گفت: «آنچه ما در اینجا داریم یک آسیب‌پذیری بسیار گسترده، آسان برای استفاده و بالقوه بسیار مضر است که مطمئناً می‌تواند توسط دشمنان برای ایجاد آسیب واقعی استفاده شود».
یک تکه کد کوچک، دنیایی از مشکلات
نرم افزار تحت تأثیر که به زبان برنامه نویسی جاوا نوشته شده است، فعالیت کاربران رایانه را ثبت می کند. این برنامه که توسط تعداد معدودی از داوطلبان تحت نظارت بنیاد نرم افزار منبع باز آپاچی توسعه و نگهداری می شود، بین توسعه دهندگان نرم افزار تجاری بسیار محبوب است. به گفته شرکت امنیتی Bitdefender، این پلتفرم روی بسیاری از پلتفرم‌ها اجرا می‌شود - ویندوز، لینوکس، macOS اپل - همه چیز از وب‌کم گرفته تا سیستم‌های ناوبری خودرو و دستگاه‌های پزشکی را تامین می‌کند.
آقای گلدشتاین در طول یک کنفرانس تلفنی سه‌شنبه شب به خبرنگاران گفت که CISA موجودی نرم‌افزار اصلاح‌شده را به‌محض موجود شدن اصلاحات به‌روزرسانی خواهد کرد. Log4j اغلب در برنامه های شخص ثالث ساخته می شود که باید توسط صاحبان آنها به روز شوند. وی گفت: "ما انتظار داریم که اصلاحات مدتی طول بکشد."
بنیاد نرم افزار آپاچی گفت که غول فناوری چینی علی بابا در 24 نوامبر او را از این نقص مطلع کرده است. توسعه و انتشار اصلاح دو هفته طول کشید.
علاوه بر رفع این اشکال، متخصصان امنیت رایانه یک چالش ترسناک تر نیز دارند: تلاش برای یافتن اینکه آیا آسیب پذیری مورد سوء استفاده قرار گرفته است - آیا یک شبکه یا دستگاه هک شده است. این به معنای هفته ها نظارت فعال خواهد بود. یک آخر هفته دیوانه وار تلاش برای شناسایی - و بستن - درهای باز قبل از سوء استفاده هکرها از آنها، اکنون به یک ماراتن تبدیل شده است.
آرامش قبل از طوفان
جو اسلوویک، رئیس اطلاعات تهدید در شبکه امنیتی گیگامون، می گوید: «بسیاری از مردم در حال حاضر از کار در آخر هفته کاملاً استرس دارند و کاملاً خسته هستند - زمانی که ما واقعاً می توانیم در آینده قابل پیش بینی این کار را تا سال 2022 انجام دهیم.
شرکت امنیت سایبری Check Point روز سه‌شنبه اعلام کرد که بیش از نیم میلیون تلاش توسط شرکت‌کنندگان مخرب شناخته شده برای شناسایی نقص در شبکه‌های شرکتی در سراسر جهان پیدا کرده است. می‌گوید این نقص برای ایجاد نرم‌افزار استخراج رمزارز مخرب - که از چرخه‌های کامپیوتری برای کشف مخفیانه پول دیجیتال استفاده می‌کند - در پنج کشور استفاده شده است.
تا به امروز، هیچ عفونت باج افزار موفقی با استفاده از کمبود پیدا نشده است. اما کارشناسان می گویند که این احتمالا فقط موضوع زمان است.
جان گراهام کامینگ، مدیر اجرایی Cloudflare، مدیر فنی Cloudflare، گفت: "من فکر می کنم آنچه اتفاق می افتد این است که دو هفته طول بکشد تا اثر مشاهده شود، زیرا هکرها وارد سازمان ها شده اند و در حال کشف اقدامات بعدی هستند." زیرساخت آنلاین از وب سایت ها در برابر تهدیدات آنلاین محافظت می کند.
شان گالاگر، محقق ارشد شرکت امنیت سایبری Sophos، گفت: ما در آرامش قبل از طوفان هستیم.
"ما انتظار داریم که حریفان به احتمال زیاد به هر چیزی که در حال حاضر می توانند به دست آورند تا آنجا که ممکن است دسترسی داشته باشند تا درآمد کسب کنند و/یا بعداً از آن بهره ببرند." این شامل بازیابی نام های کاربری و رمز عبور می شود.
جان هالتکویست، تحلیلگر ارشد شرکت امنیت سایبری Mandiant، گفت که هکرهای چینی و ایرانی تحت حمایت دولت قبلاً از این نقص استفاده کرده اند، احتمالاً برای جاسوسی سایبری، و انتظار می رود سایر مقامات دولتی نیز همین کار را انجام دهند. او هدف هکرهای چینی یا موقعیت جغرافیایی آن را مشخص نکرد. او گفت که بازیگران ایرانی «به ویژه تهاجمی» بودند و در حملات باج‌افزاری، عمدتاً برای اهداف مخرب، شرکت داشتند.
نرم افزار: در مورد طراحی مطمئن نیستید؟
به گفته کارشناسان، قسمت Log4j یک مشکل ضعیف را در طراحی نرم افزار نشان می دهد. بسیاری از برنامه های مورد استفاده در ویژگی های حیاتی با در نظر گرفتن امنیت کافی توسعه نیافته اند.
آقای اسلوویک از Gigamon گفت، توسعه دهندگان منبع باز مانند داوطلبان مسئول Log4j نباید به اندازه کل صنعت توسط برنامه نویسان سرزنش شوند، برنامه نویسانی که اغلب کورکورانه قطعه هایی از چنین کدهایی را بدون بررسی دقیق درج می کنند.
برنامه‌های محبوب و سفارشی اغلب «مشخصات نرم‌افزاری» ندارند که به کاربران امکان می‌دهد بدانند چه چیزی در زیر کاپوت وجود دارد - که در مواقعی مانند این یک نیاز حیاتی است.
آقای Caltagirone از Dragos گفت: «این بدیهی است که به یک مشکل رو به رشد تبدیل می شود، زیرا فروشندگان نرم افزار معمولاً از نرم افزارهای رایگان در دسترس استفاده می کنند.
وی افزود، به ویژه در سیستم های صنعتی، سیستم های آنالوگ قبلی در همه چیز، از تامین آب گرفته تا تولید غذا، در چند دهه گذشته برای کنترل خودکار و از راه دور به صورت دیجیتالی مدرن شده اند. آقای Caltagiron گفت: "و یکی از راه هایی که آنها این کار را انجام دادند، بدیهی است که از طریق نرم افزار و استفاده از برنامه هایی بود که از Log4j استفاده می کردند."
این خبر توسط آسوشیتدپرس گزارش شده است.
[ad_2]