Az Apache naplózójában felfedezett, Log4Shell névre keresztelt biztonsági rés hetek óta lázban tartja az IT-biztonsági szakmát, miután a sebezhetőség közvetlenül vagy áttételesen szinte mindenkit érint, aki az internetre kötött eszközöket használ, legyen szó kliensekről vagy szerverekről, beleértve a kormányzati szolgáltatásokat is.
Világszerte számtalan cégnél, szolgáltatónál és eszközgyártónál lázas munkával telnek a karácsony előtti utolsó munkanapok annak érdekében, hogy – ahol ez még nem történt meg – megnyugtató megoldás szülessen az év legnagyobb IT-biztonsági krízisének tartott Log4Shell sebezhetőség befoltozására. A kritikus minősítésű biztonsági rés részleteit december 9-én publikálták, melyet azonnal elkezdtek kihasználni a legkülönfélébb hackercsoportok, akár privát akár állami szervezetek ellen.
A támadási hullám december közepére elérte a magyar kormányzati infokommunikációs szolgáltatásokat, így egyebek mellett a Központi Azonosítási Ügynököt (KAÜ) vagy éppen az Ügyfélkaput fejlesztő és üzemeltető, a közszférában számos ügyféllel (így többek közt a NAV-val) együtt dolgozó NISZ Nemzeti Infokommunikációs és Szolgáltató Zrt-t is (NISZ).
A szolgáltatónál elmondták, hogy a sebezhetőség nyilvánosságra kerülését követően a NISZ szakemberei üzemeltető és IT biztonsági kollégák bevonásával azonnal megkezdték a sebezhetőségben érintett rendszerek behatárolását, illetve megtették a lehetséges támadások megakadályozásához szükséges konfiguráció módosításokat és frissítések ütemezését, telepítését.
A vizsgálatokat sikerült rövid időn belül lezárni és az Internet irányából elérhető rendszerek, az akkor ismert támadások elleni védelmét kialakítani. Az így kialakított védelem nem csak telepített frissítéseket tartalmaz, hanem hálózati szintű védelmi megoldások beállítását is, amelyek felismerik és megakadályozzák az ismert támadási formák alkalmazását.
A NISZ illetékesei közölték, hogy a sérülékenység kihasználására vonatkozóan nyomokat nem találtak a rendszerekben, jóllehet támadási próbálkozásokat érzékeltek, de ezek mindeddig sikertelenek voltak.
Forrás: NISZ