近日，南方財經(jīng)全媒體記者獨(dú)家獲悉，工業(yè)和信息化部網(wǎng)絡(luò)安全管理局通報稱，阿里云計算有限公司（以下簡稱“阿里云”）作為工信部網(wǎng)絡(luò)安全威脅信息共享平臺合作單位，在發(fā)現(xiàn)阿帕奇（Apache）Log4j2組件嚴(yán)重安全漏洞隱患后，未及時向電信主管部門報告，未有效支撐工信部開展網(wǎng)絡(luò)安全威脅和漏洞管理。經(jīng)研究，現(xiàn)暫停阿里云公司作為上述合作單位6個月。暫停期滿后，根據(jù)阿里云公司整改情況，研究恢復(fù)其上述合作單位。

多位網(wǎng)絡(luò)安全領(lǐng)域?qū)＜以诮邮苡浾卟稍L時表示，本次阿帕奇Log4j2組件的漏洞是典型的通用型漏洞，作為最常用的Java程序日志監(jiān)控組件之一，Log4j2被應(yīng)用在各種各樣的衍生框架中，同時它也是Java全生態(tài)的基礎(chǔ)組件之一，而此類組件一旦崩塌，其影響將是破壞性的。

Log4j2作為一個經(jīng)典的開源軟件，很多開發(fā)者在編寫程序時都會直接將其集成于代碼中。視覺中國

引發(fā)全球計算機(jī)安全危機(jī)

2001年，軟件開發(fā)者Ceki Gulcu設(shè)計出一套基于Java語言的日志庫Log4j，并于不久后加入專門運(yùn)作開源軟件項目的非盈利組織Apache。在此后的軟件迭代升級中，Apache在Log4j的基礎(chǔ)上推出了新開源項目Log4j2，在保留原本特性的同時加入了控制日志信息輸出目的地、輸出格式、定義信息級別等功能，并很快因為其簡易便捷、功能強(qiáng)大的特征，作為基本集成模塊廣泛應(yīng)用于各類使用Java開源系統(tǒng)中。

但也正因為Log4j2廣泛的適用性，在被爆出存在遠(yuǎn)程代碼執(zhí)行安全漏洞后，在全球計算機(jī)領(lǐng)域引發(fā)巨大的安全危機(jī)。

近日，谷歌開源團(tuán)隊對Java軟件包最重要的存儲庫——Maven中央存儲庫進(jìn)行了掃描，發(fā)現(xiàn)35863個軟件包使用的Apache Log4j庫版本易受相關(guān)漏洞的影響。谷歌發(fā)布報告稱，受影響的Java包數(shù)量占Maven中央存儲庫的8%，考慮到該存儲庫廣泛的應(yīng)用范圍，漏洞將對整個行業(yè)生態(tài)產(chǎn)生巨大影響。某北京網(wǎng)絡(luò)安全公司技術(shù)人員向記者表示，大概百分之八十到九十涉及到Java的開發(fā)都可能受到該漏洞的影響。

梆梆安全高級副總裁方寧在接受21世紀(jì)經(jīng)濟(jì)報道記者采訪時表示，后臺記錄日志功能是大部分系統(tǒng)都會具備的模塊，而Log4j2作為一個經(jīng)典的開源軟件，很多開發(fā)者在編寫程序時都會直接將其集成于代碼中，這些新的軟件可能又會被別的系統(tǒng)集成在內(nèi)。經(jīng)過不斷地疊加和嵌套，一旦Log4j2出現(xiàn)安全問題，一整條程序鏈條上的開源軟件和系統(tǒng)都會受到波及，影響覆蓋范圍非常廣泛。

除了Log4j2本身應(yīng)用范圍廣外，該漏洞的另一大特征在于利用方式十分簡單。據(jù)專家介紹，攻擊者僅需向目標(biāo)輸入一段代碼，不需要用戶執(zhí)行任何多余操作即可觸發(fā)該漏洞，使攻擊者得以遠(yuǎn)程控制受害者用戶的服務(wù)器，90%以上基于Java開發(fā)的應(yīng)用平臺都會受到影響。

奇安信集團(tuán)安域云防護(hù)的監(jiān)測數(shù)據(jù)顯示，截至12月10日中午12點(diǎn)，已發(fā)現(xiàn)近1萬次利用該漏洞的攻擊行為。奇安信應(yīng)急響應(yīng)中心已接到十余起重要單位的漏洞應(yīng)急響應(yīng)需求，并于12月9日晚間將漏洞信息上報了相關(guān)主管部門。補(bǔ)天漏洞響應(yīng)平臺負(fù)責(zé)人介紹，12月9日深夜，僅一小時內(nèi)就收到白帽黑客提交的百余條該漏洞的信息。

而此前就十分猖獗的網(wǎng)絡(luò)勒索軟件，通過利用Log4j2漏洞被發(fā)現(xiàn)后各大企業(yè)尚未及時修補(bǔ)前的間隙，發(fā)起了新一輪大規(guī)模勒索攻擊。來自KnownSec 404團(tuán)隊和深信服威脅情報團(tuán)隊的研究人員報告稱，TellYouThePass、Khonsari等勒索軟件正利用該漏洞針對Linux和Windows系統(tǒng)發(fā)起進(jìn)攻，在用戶終端直接完成安裝。

發(fā)現(xiàn)漏洞應(yīng)及時上報

據(jù)工信部于12月17日在其官網(wǎng)發(fā)布的《關(guān)于阿帕奇Log4j2組件重大安全漏洞的網(wǎng)絡(luò)安全風(fēng)險提示》顯示，2021年12月9日，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺收到有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)報告，阿帕奇Log4j2組件存在嚴(yán)重安全漏洞。工業(yè)和信息化部立即組織有關(guān)網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)開展漏洞風(fēng)險分析，召集阿里云、網(wǎng)絡(luò)安全企業(yè)、網(wǎng)絡(luò)安全專業(yè)機(jī)構(gòu)等開展研判，通報督促阿帕奇軟件基金會及時修補(bǔ)該漏洞，向行業(yè)單位進(jìn)行風(fēng)險預(yù)警。

《提示》中還指出，該漏洞可能導(dǎo)致設(shè)備遠(yuǎn)程受控，進(jìn)而引發(fā)敏感信息竊取、設(shè)備服務(wù)中斷等嚴(yán)重危害，屬于高危漏洞。為降低網(wǎng)絡(luò)安全風(fēng)險，提醒有關(guān)單位和公眾密切關(guān)注阿帕奇Log4j2組件漏洞補(bǔ)丁發(fā)布，排查自有相關(guān)系統(tǒng)阿帕奇Log4j2組件使用情況，及時升級組件版本。

在此之前，我國對網(wǎng)絡(luò)漏洞的處理方式和流程已做出具體要求?！毒W(wǎng)絡(luò)安全法》第二十五條規(guī)定：“網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時處置系統(tǒng)漏洞、計算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險；在發(fā)生危害網(wǎng)絡(luò)安全的事件時，立即啟動應(yīng)急預(yù)案，采取相應(yīng)的補(bǔ)救措施，并按照規(guī)定向有關(guān)主管部門報告?！?/p>

今年7月，工業(yè)和信息化部、國家互聯(lián)網(wǎng)信息辦公室、公安部聯(lián)合發(fā)布《網(wǎng)絡(luò)產(chǎn)品安全漏洞管理規(guī)定》，對網(wǎng)絡(luò)產(chǎn)品提供者、運(yùn)營者及信息共享平臺的責(zé)任與義務(wù)提出更為詳細(xì)的要求。其第七條規(guī)定，網(wǎng)絡(luò)產(chǎn)品提供者在發(fā)現(xiàn)或者獲知所提供網(wǎng)絡(luò)產(chǎn)品存在安全漏洞后，應(yīng)當(dāng)立即采取措施并組織驗證，評估其危害程度和影響范圍，并在2日內(nèi)向工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺報送相關(guān)漏洞信息；對屬于其上游產(chǎn)品或者組件存在的安全漏洞，應(yīng)當(dāng)立即通知相關(guān)產(chǎn)品提供者；對于需要產(chǎn)品用戶（含下游廠商）采取軟件、固件升級等措施的應(yīng)及時告知并提供必要的技術(shù)支持。

平臺方面，工業(yè)和信息化部網(wǎng)絡(luò)安全威脅和漏洞信息共享平臺同步向國家網(wǎng)絡(luò)與信息安全信息通報中心、國家計算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心通報相關(guān)漏洞信息。

據(jù)方寧介紹，目前國內(nèi)的國家級漏洞采集共享平臺主要包括CNVD（國家信息安全漏洞共享平臺）、CNNVD（國家信息安全漏洞庫）等，此類平臺往往招募了大量第三方安全企業(yè)長期向其輸送網(wǎng)絡(luò)安全漏洞，這些第三方企業(yè)作為相關(guān)部門的支撐單位，需要依據(jù)規(guī)定及時將發(fā)現(xiàn)的漏洞提交到國家采集平臺上。

影響預(yù)計還將持續(xù)

目前，受到Log4j2漏洞影響和威脅的企業(yè)與組織數(shù)量仍在持續(xù)增長，據(jù)火線Apache Log4j2漏洞影響面查詢網(wǎng)站統(tǒng)計顯示，截至發(fā)稿前，該漏洞已影響超6萬個開源軟件，涉及相關(guān)版本軟件包32萬余個。

除企業(yè)外，一些政府機(jī)構(gòu)和社會組織由于未及時修補(bǔ)Log4j2漏洞，也成為黑客的攻擊目標(biāo)。據(jù)報道，當(dāng)?shù)貢r間12月16日，比利時國防部遭到黑客利用該漏洞發(fā)起的攻擊，比利時國防部長回應(yīng)稱，其安全團(tuán)隊正努力保證網(wǎng)絡(luò)安全，防止再發(fā)生類似事件。

盡管在12月8日，Apache官方就已發(fā)布Log4j2安全更新，但其影響預(yù)計還將持續(xù)很長一段時間。

“可能還需要至少6個月，才能把本次漏洞的影響面縮減到比較小的范圍內(nèi)。”方寧解釋稱，此類0day漏洞（已被發(fā)現(xiàn)但還未推出相關(guān)補(bǔ)丁的漏洞）剛被爆出時，往往是對安全問題較為重視并有相應(yīng)財力、人力的企業(yè)最早完成修復(fù)，大量的中小企業(yè)如果沒有專門的網(wǎng)絡(luò)安全部門和團(tuán)隊，可能都無法獲知相關(guān)的情況。

廣州某數(shù)據(jù)公司技術(shù)負(fù)責(zé)人向記者表示，在大量中小企業(yè)愈發(fā)依賴云服務(wù)商提供的各類基礎(chǔ)技術(shù)服務(wù)支撐時，云服務(wù)商有義務(wù)承擔(dān)更多的預(yù)警和安全保障的社會責(zé)任。

方寧表示，當(dāng)前各大安全廠商已提供了一些自動化檢測工具和腳本，現(xiàn)在最重要的是企業(yè)和相關(guān)單位重視起來，根據(jù)國家漏洞庫、漏洞平臺給出的解決方案，對照自己的產(chǎn)品系統(tǒng)進(jìn)行檢查。上述北京網(wǎng)絡(luò)安全公司技術(shù)人員則表示，很多開發(fā)者及時升級軟件版本，就可以避免被黑客利用漏洞進(jìn)行攻擊，“最關(guān)鍵的還是要做好自查和升級。”