背景概述
根据 黄金形态通APP 报道，美国金融业监管局（FINRA）就 Apache Log4J 软件中近期发现的安全漏洞发布通知。该漏洞被称为“Log4Shell”，存在于广泛使用的开源 Java 日志工具中，可能影响众多企业应用和云服务。FINRA 表示已立即采取措施以中和风险，并持续跟踪漏洞进展。
关键要点
FINRA 部署的缓解措施包括：
- 定义针对漏洞利用尝试的警报；
- 实施旨在防止漏洞利用的 Web 应用防火墙（WAF）规则；
- 进行扫描以确认 WAF 规则按预期工作；
- 开始更新其自研应用程序中使用的 Log4J 库。
FINRA 还表示正在跟踪该漏洞，并将在软件更新可用时应用更新，同时监控攻击者的利用尝试。
影响解读
本周早些时候，FINRA 向会员公司发布了关于该漏洞的警报。Log4Shell 漏洞给会员公司带来风险，因为它们可能在内部应用程序中使用该软件，或者该软件可能嵌入在第三方软件包中。此外，许多用 Java 编写的应用程序也可能存在漏洞。
恶意行为者可能利用此漏洞入侵系统，以窃取信息或从事欺诈活动。例如，远程攻击者可以利用该漏洞控制受影响的系统。
监管要求
FINRA 提醒会员公司，美国证券交易委员会（SEC）的 Regulation S-P 规则 30 要求公司制定书面政策和程序，以合理保护客户记录和信息。此外，FINRA 规则 4370（业务连续性计划和紧急联系信息）也适用于服务拒绝和会员运营的其他中断情况。
未来展望
FINRA 将继续跟踪 Log4J 漏洞，并在软件更新可用时及时应用。同时，该机构将监控攻击者的利用尝试，以防范潜在威胁。会员公司被敦促保持警惕，并确保其安全措施符合监管要求。
编辑总结
Log4Shell 漏洞对金融行业构成严重安全风险，FINRA 的快速响应和缓解措施为会员公司提供了指引。会员公司应评估自身暴露情况，及时更新软件，并遵守相关监管规定，以保护客户信息和业务连续性。
常见问题解答
问题：什么是 Log4Shell 漏洞？
回答：Log4Shell 是 Apache Log4J 软件中的一个安全漏洞，该软件是广泛用于企业应用和云服务的开源 Java 日志工具。远程攻击者可能利用此漏洞控制受影响的系统。
问题：FINRA 采取了哪些缓解措施？
回答：FINRA 定义了利用尝试警报，实施了 Web 应用防火墙规则，进行了扫描以确认规则有效性，并开始更新自研应用中的 Log4J 库。
问题：为什么 Log4Shell 漏洞对会员公司构成风险？
回答：会员公司可能在内部应用程序中使用 Log4J，或该软件嵌入在第三方软件包中，许多 Java 应用程序也可能存在漏洞，恶意行为者可能利用此漏洞窃取信息或进行欺诈。
问题：SEC 的 Regulation S-P 规则 30 要求什么？
回答：该规则要求公司制定书面政策和程序，以合理保护客户记录和信息。
问题：FINRA 规则 4370 涉及什么？
回答：FINRA 规则 4370 涉及业务连续性计划和紧急联系信息，适用于服务拒绝和会员运营的其他中断情况。
