참고: 이 블로그가 처음 게시된 이후 F5는 후속 CVE(CVE-2021-45046, CVE-2021-4104 및 CVE-2021-45105)를 검토했으며, 아래에 설명된 보호 메커니즘이 이러한 취약점에도 효과적이라고 판단했습니다.
12월 9일 이 취약점이 알려진 이후, 전 세계 보안 팀은 Apache Log4j2 보안 취약점(CVE-2021-44228)이 초래하는 위협을 파악하고, 노출 여부를 확인하며, 완화 조치를 마련하기 위해 밤낮없이 노력해 왔습니다. 이 취약점에 관해서는 이미 많은 내용이 다뤄졌습니다. Log4Shell이라고도 불리는 이 취약점은 간단히 말해 원격 코드 실행 취약점으로, 공격자가 취약한 애플리케이션에 특정 데이터를 전송하여 일련의 동작을 유발하고 결국 대상 애플리케이션을 침해할 수 있음을 의미합니다. 공격자는 이를 다양한 방식으로 악용할 수 있습니다. 예를 들어 암호화폐 채굴기를 설치하거나 애플리케이션에서 민감한 데이터를 추출할 수 있습니다.
취약점, 악용, 완화 및 해결 과정에는 항상 업무 중단이 따르며, 고객에게 전문 지식과 지원을 제공하기 위해 최선을 다하는 것이 F5의 사명입니다. F5의 여러 팀은 이미 과중한 업무에 시달리는 애플리케이션 및 보안 팀이 업계의 이 중대한 위협을 완화할 수 있도록 도구와 지침을 마련하는 데 적극적으로 힘써 왔습니다.
당사는 F5 제품 및 서비스를 평가했으며, 현재 정보를 기준으로 BIG-IP, NGINX, Silverline, Volterra 및 Threat Stack 제품은 이러한 문제에 취약하지 않은 것으로 판단했습니다. F5 Managed Services의 경우 일반적인 커뮤니케이션 채널을 통해 고객에게 연락했습니다. AskF5의 보안 권고에는 당사 제품 및 Log4j 취약점 완화 조치에 관한 최신 정보가 항상 제공됩니다:
- K19026212: Apache Log4j2 원격 코드 실행 취약점 CVE-2021-44228
- K24554520: Apache Log4j 원격 코드 실행 취약점 CVE-2021-4104
- K32171392: Apache Log4j2 취약점 CVE-2021-45046
- K34162192: Apache Log4j2 서비스 거부 취약점 CVE-2021-45105
F5 제품 및 서비스를 활용하여 Log4j 취약점을 완화하는 것은 이러한 CVE가 고객 환경에 초래하는 위험을 신속하고 효과적으로 줄이는 방법입니다. 장기적인 해결을 위해 고객과 해당 개발 팀은 애플리케이션에서 취약한 Log4j 라이브러리를 업그레이드하거나 더 이상 필요하지 않은 경우 제거하시기 바랍니다.
아래에서 당사의 제품 및 서비스 포트폴리오 전반에 걸친 포괄적이고 신속한 보안 솔루션을 통해 지원을 제공하는 방식에 대한 자세한 정보를 확인하실 수 있습니다.
F5 보안 사고 대응팀(SIRT)
공격을 받고 있거나 취약점 노출이 우려되는 경우 F5 지원팀에 연락하여 F5 SIRT로 에스컬레이션해 달라고 요청하십시오. 이 팀은 연중무휴 24시간 운영되며, F5 소프트웨어 및 시스템 패치부터 공격 또는 취약점 노출을 완화하기 위한 구성 및 iRule 지원에 이르기까지 모든 사항에 대한 지침을 제공합니다.
BIG-IP Advanced WAF
F5는 Log4j 취약점에 대한 알려진 공격 벡터를 차단하는 BIG-IP Advanced WAF 및 ASM용 시그니처 세트를 출시했습니다. 이 글을 작성하는 현재 F5 위협 연구팀이 제공하는 시그니처는 총 9개이며, 여기에는 최초 CVE 공개 후 몇 시간 이내에 제공된 시그니처 2개가 포함됩니다. 우회 시도에 대한 보호 기능을 강화하기 위해 시그니처를 지속적으로 업데이트하고 있으므로, 최신 버전의 공격 시그니처 업데이트(ASU) 패키지를 사용하고 있는지 확인하시기 바랍니다.
기존 BIG-IP Advanced WAF(또는 ASM) 정책을 통해 이러한 취약점을 완화하는 방법에 대한 자세한 내용은 이 보안 권고에서 확인할 수 있습니다.
BIG-IP iRule
Advanced WAF 또는 ASM 기능을 사용하지 않는 F5 BIG-IP 고객은 애플리케이션에 F5 iRule을 적용하여 특정 CVE를 노리는 악성 트래픽을 탐지하고 기록한 후 차단할 수 있습니다. 최초로 게시한 보안 권고에서 iRule 구현에 관한 자세한 정보와 지침을 확인할 수 있습니다.
NGINX App Protect
NGINX App Protect 고객은 BIG-IP Advanced WAF 고객과 동시에 시그니처 업데이트를 받아 F5 플랫폼에 관계없이 일관된 애플리케이션 보안을 유지할 수 있습니다. NGINX App Protect 구성을 통해 관련 취약점을 완화하려면 시그니처가 최신 상태인지 확인하고, 이 문서를 검토한 후 WAF 정책에서 “서버 측 코드 삽입” 공격 유형이 활성화되어 있는지 확인하십시오. 자세한 내용은 최근 게시된 블로그 게시물에서 확인할 수 있습니다.
Volterra WAF
당사의 Volterra WAF 플랫폼은 NGINX App Protect 및 BIG-IP Advanced WAF와 마찬가지로 Log4j 취약점과 관련된 노출 위험을 더욱 완화하기 위해 업데이트된 시그니처를 적용했습니다. 이제 이러한 시그니처가 기본 WAF 정책에 포함되므로, Volterra WAF 고객은 이 위협을 완화하기 위해 별도의 조치를 취할 필요가 없습니다.
F5 Silverline
F5 Silverline 팀은 고객 애플리케이션이 해당 취약점으로부터 보호되도록 필요한 완화 조치를 구현했습니다. F5 Silverline SOC는 위협을 지속적으로 모니터링하며, 위협 연구팀 및 고객과 협력하여 필요한 완화 및 보호 조치를 적용합니다. Silverline 팀은 고객의 AppSec 팀을 확장한 조직으로서 고객을 대신해 연중무휴 24시간 운영됩니다.
Silverline 구성에 대해 구체적인 질문이 있는 경우 다음 주소로 SOC에 문의해 주세요: support@f5silverline.com Silverline 서비스에 대해 자세히 알아보려면 다음 페이지를 방문해 주세요: https://www.f5.com/products/security/silverline
Threat Stack
F5는 최근 Threat Stack을 인수했으며 Threat Stack 서비스가 제공하는 뛰어난 검사, 탐지 및 보고 기능을 활용할 수 있게 되었습니다. Threat Stack 서비스에는 서비스를 루트 권한으로 실행하는 행위, 셸에서 실행되는 서비스, 권한 상승 시도 등 Log4j 침해를 나타낼 수 있는 여러 탐지 규칙이 이미 포함되어 있습니다. 자세한 내용은 이 블로그 게시물에서 확인할 수 있습니다.
현재의 Log4j 위협으로부터 애플리케이션을 보호하고, 비정상적인 활동을 탐지하며, 규정 준수를 보장하고, 애플리케이션에 대한 종합적인 인사이트를 얻는 데 도움이 되는 Threat Stack 서비스에 관심이 있으시면 현재 담당 F5 영업 담당자에게 문의하거나 다음 사이트를 방문해 주십시오: https://www.threatstack.com
Shape Security
취약점을 악용하려는 대부분의 시도는 자동화된 정찰에서 시작됩니다. 이를 고려할 때 Shape Security의 AI 기반 Bot Defense는 이러한 자동화된 스캔을 차단하고, 인터넷에 노출된 웹 애플리케이션에서 이 취약점을 찾아내려는 공격자의 시도를 어렵게 만드는 중요한 1차 방어선입니다. Shape AI Cloud는 봇넷을 운용하는 공격자의 끊임없이 변화하는 전술에 대응할 수 있도록 봇 기반 자동화 공격에 거의 실시간으로 적응합니다. Shape에 대해 자세히 알아보려면 다음 페이지를 방문하십시오: https://www.f5.com/products/security/shape-security
최신 정보 받아보기
F5의 완화 조치에 관한 최신 정보는 CVE-2021-44228, CVE-2021-4104, CVE-2021-45046 보안 권고를 참조하시기 바랍니다. 자세한 내용은 다음 자료에서 확인하실 수 있습니다:
F5 추가 블로그
- 지금 Log4j를 완화하고 향후 익스플로잇을 방지하는 방법 Catherine Newcomb 및 Navpreet Gill 작성
- Log4j에서 얻은 교훈: 서둘러 문제를 해결하려 하지 마세요 - Lori MacVittie
F5 Labs
DevCentral
- Log4j2 취약점에 관한 DC Connects 라이브 쇼
- AFM 프로토콜 검사 사용자 지정 시그니처를 사용하여 Log4j(CVE-2021-44228) 완화
- BIG-IP을 사용하여 Apache Log4j2 취약점으로부터 Kubernetes 클러스터 보호
NGINX
Threat Stack
앞으로도 관련 취약점에 대한 최신 정보를 고객에게 지속적으로 제공하고 위 리소스에 링크를 추가할 예정입니다. 또한 고객은 소프트웨어 릴리스, 보안 경고 및 기타 중요 업데이트에 관한 알림을 구독할 수 있습니다.
_______
F5 글로벌 보안 솔루션 아키텍트 부문 수석 디렉터 Scott Altman 작성
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.