网络安全技术商Waterfall Security Solutions公司行业安全副总裁Andrew Ginter日前指出，运营技术(OT)网络目前面临着Apache Log4j(CVE-2021-44228)漏洞带来的风险。
该漏洞影响了全球数百万台Web服务器，使网络攻击者能够将任意代码注入互联网上易受攻击的Java应用程序。这一缺陷正在被网络攻击者广泛利用。这就是世界各地的安全团队都在争先恐后地确定哪些Web应用程序可能存在Log4j漏洞，然后努力重建或升级这些系统的主要原因。
在互联网上使用控制管道、电力系统或铁路网络的OT应用程序的企业通常具有网络安全知识。那么，为什么这么多OT企业对Log4j漏洞如此担心呢?
工业互联网
一些关键基础设施和制造商将他们的生产设施连接到工业互联，这些通常是与Web服务和云服务的加密连接。这些连接穿透或绕过部署在互联网和大多数自动化系统之间的六层防火墙。这就是问题所在，尽管这些企业可能已经完成了所有供应链的尽职调查。
企业通常会信任其软件和云计算服务提供商。但是即使信任这些提供商，那么应该信任他们的网站吗?供应商网站上的Web服务可能会受到威胁。而且OT网络中的工业互联网设备已经连接到这些有风险的云服务。
更糟糕的是，一旦复杂的勒索软件组织或其他网络攻击者入侵工业供应商的Web服务，这些企业很难发现或清除Log4j漏洞，而网络攻击者将继续嵌入OT网络所连接的云服务中。
一旦这些网络攻击者有时间查看并弄清楚如何利用OT系统对这些云服务的信任，他们将能够使用这些云服务将他们的网络攻击深入到工业基础设施中。这种攻击有可能同时危及数千个工业场所。
如何应对Log4j漏洞
归根结底，Log4j漏洞是一个巨大的问题。云服务供应商(尤其是工业云服务供应商)需要仔细检查他们曾经出现过漏洞的云计算和互联网系统。所有这些系统以及与其相连的任何事物都有可能藏匿被网络攻击者和勒索软件组织利用的漏洞。
工业企业需要转移关注重点。这些企业可能正在询问他的每一个软件供应商，他们的产品是否使用Log4j或存在这个漏洞。一个更重要的目标是询问所有工业云提供商，他们的云服务是否曾经受到和Log4j漏洞相关的攻击。
