距离圣诞节只有几天了，在发现广泛使用的日志软件存在重大安全漏洞后，联邦官员警告那些保护国家基础设施的人在假期期间要防范可能的网络攻击。

但是一个多星期前发现的 Log4j 错误提高了重要性CISA周五还发布了一项紧急指令，命令联邦民事执行机构检查接受来自互联网的数据输入的软件是否受到该漏洞的影响这些机构被指示在美国东部时间 12 月 23 日下午 5 点之前修补或删除受影响的软件，并在 12 月 28 日之前报告采取的步骤

Java 日志库Apache Log4j 中的错误为大量互联网带来了风险网络攻击者可能会利用广泛使用的软件中的漏洞来接管计算机服务器，从而可能使从消费电子产品到政府和企业系统的一切都面临网络攻击的风险

最早使用该漏洞的已知攻击之一涉及计算机游戏Minecraft在拥有 Minecraft 的微软修补这个问题之前，攻击者已经能够接管一个世界建筑游戏的服务器该错误是所谓的零日漏洞安全专家在它为人所知并可能被利用之前并没有为它创建补丁

专家警告说，该漏洞正在被积极利用网络安全公司 Check Point 周五表示，自该漏洞公开以来，它已检测到超过 380 万次利用该漏洞的尝试，其中约 46% 的尝试来自已知的恶意组织

该公司在一份报告中表示:这显然是最近几年来互联网上最严重的漏洞之一潜在的损害是无法估量的

这一消息还引发了联邦官员的警告，他们敦促受影响的人立即修补他们的系统或以其他方式修复缺陷。

需要明确的是，这个漏洞带来了严重的风险，CISA 主管 Jen Easterly 在一份声明中说她指出，鉴于 Apache Log4j 的广泛使用，该缺陷对安全专业人员提出了紧迫的挑战

以下是您需要了解的有关 Log4j 漏洞的其他信息。。

谁受到影响。

Trend Micro 威胁情报副总裁 Jon Clay 表示，由于 Log4j 日志库在各种企业和开源软件中广泛使用，因此该漏洞可能是灾难性的。

日志库很受欢迎，部分原因是它可以免费使用这个价格标签伴伴随着一个权衡:只有少数人维护它相比之下，付费产品通常背后有庞大的软件开发和安全团队

与此同时，受影响的公司有责任在坏事发生之前修补他们的软件。

这可能需要数小时，数天甚至数月的时间，具体取决于组织，克莱说。

在漏洞公开后的几天内，IBM，甲骨文，AWS和微软等公司都发布了警告，提醒他们的客户注意 Log4j，概述他们在补丁方面的进展，并敦促他们尽快安装相关的安全更新。

物联网安全公司 Armis 的首席技术官兼联合创始人 Nadir Izrael 表示，一般来说，任何使用网络服务器的消费设备都可以运行 Apache他补充说，Apache 广泛用于智能电视，DVR 系统和安全摄像头等设备

想想有多少这些设备位于装卸码头或仓库中，未连接到互联网，并且无法接收安全更新，Izrael 说当它们打开并连接时，它们立即容易受到攻击

消费者只能在收到提示时更新他们的设备，软件和应用程序但是，Izrael 指出，还有大量较旧的互联网连接设备不再接收更新，这意味着它们将不受保护

为什么这是一件大事。

如果利用该漏洞，攻击者可以控制基于 Java 的 Web 服务器并发起远程代码执行攻击，从而控制计算机服务器这可能会带来许多危害安全的可能性

微软表示，它已经找到了证据，表明中国，伊朗，朝鲜和土耳其的被跟踪组织正在使用该漏洞其中包括总部位于伊朗的勒索软件组织，以及其他以出售系统访问权以进行勒索软件攻击而闻名的组织微软表示，这些活动可能会导致勒索软件攻击的增加

Bitdefender还报告说，它检测到针对 Windows 系统的攻击携带名为 Khonsari 的勒索软件家族。

网络安全公司Sophos被用于加密采矿作业还报告漏洞的证据，而瑞士官员说，有证据表明该漏洞被用来部署在经常使用两种僵尸网络的DDoS攻击和cryptomining

加密挖掘攻击，有时也称为加密劫持，允许黑客接管带有恶意软件的目标计算机，以挖掘比特币或其他加密货币DDoS或分布式拒绝服务攻击涉及控制计算机以虚假访问淹没网站，使网站不堪重负并将其脱机

以色列还担心这对员工在家工作的公司的潜在影响他说，工作设备和个人设备之间的界限通常很模糊，如果员工的个人设备受到威胁，这可能会使公司数据面临风险

会有什么后果。

现在说还为时过早。

Check Point 指出，这一消息是在假期高峰期之前发布的，当时 IT 部门通常由骨干人员运行，可能没有资源来应对严重的网络攻击。

在美国政府已经警告企业要对勒索软件和网络攻击在节日期间保持高度警惕，并指出，网络罪犯不花时间关闭，经常看到在节日作为一个理想的时间罢工。

尽管 Clay 表示有些人已经开始将 Log4j 称为历史上最糟糕的黑客攻击，但他认为这将取决于公司推出补丁和解决潜在问题的速度。

鉴于该缺陷目前对如此多的软件产品产生了灾难性的影响，他说公司可能要三思而后行在他们的产品中使用免费软件。为降低网络安全风险，网络安全管理局提醒有关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，排查自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本。

毫无疑问，我们将来会看到更多这样的错误，他说。