Hace varios meses se empezaron a reportar casos de hacking en Apache para servidores mediante una vulnerabilidad de nombre Log4j. El caso era peculiar y alarmante, pues era una vulnerabilidad «day one» casi imposible de parchear, y de la cual se han reportado posibles casos de uso por agentes gubernamentales, siendo una vulnerabilidad relativamente fácil de implementar y que hasta meses después de su descubrimiento no se ha reportado su uso.
Ahora, varios meses después de que apareciera un número crítico de casos, se ha hecho un balance de su impacto. Los expertos en seguridad han advertido que se necesitarán años, incluso una década, para erradicar por completo la amenaza que supone la vulnerabilidad Log4j.
Log4j parece que viene a quedarse durante una larga temporada
La Junta de Revisión de la Ciberseguridad del Gobierno de EE.UU. ha analizado lo que causó el fallo Log4j. Han tratado de aportar soluciones, lecciones y otros puntos clave para las empresas afectadas. Este organismo independiente de 15 miembros fue creado por el Presidente de EE.UU., Joe Biden, en 2021 para intentar mejorar los estándares de ciberseguridad del país, y ha estado investigando Log4j durante los últimos cinco meses.
Entre las conclusiones de su investigación está la advertencia de que los puntos finales sin parchear persistirán durante años, si no una década. Y con ellos, seguirá la amenaza de los exploits y el riesgo seguirá existiendo. Los defensores de la red tienen que permanecer vigilantes. Estas advertencias provienen de Rob Silvers, subsecretario de políticas del DHS y presidente del panel, en una declaración a los periodistas el pasado miércoles durante una conferencia telefónica.
Según Silvers, se entrevistaron a unas 80 empresas, así como a expertos de la industria, de gobiernos extranjeros y de seguridad. El gobierno chino también estuvo involucrado, debido a que fueron los ingenieros de Alibaba los primeros en descubrir Log4j.
En un principio se acusó inmediatamente a los chinos de intentar aprovecharse de sus descubrimientos, pero el informe dice que no había pruebas que respaldaran tales afirmaciones, con lo que los chinos son tan víctimas como cualquier otro afectado.
Como conclusión, el informe ofrece casi dos docenas de recomendaciones, que deberían ayudar a las organizaciones a mantenerse a salvo del riesgo que supone la vulnerabilidad Log4j. También sostiene que las empresas deberían invertir más en términos de soluciones y defensas de ciberseguridad, como los cortafuegos y la confianza cero para evitar vulnerabilidades y ataques maliciosos.
Fuente: TechRadar
