Pekin zawiesza chmurę Alibaba, aby wcześniej nie zgłaszać luki w zabezpieczeniach Log4j

Ostatnia aktualizacja mar 21, 2023

Różne chińskie media donoszą, że Alibaba Cloud doświadcza skutków ubocznych ze strony rządowych regulatorów po poinformowaniu Ministerstwa Przemysłu i Technologii Informacyjnych (MIIT) o luce Log4J w Apache.

Według 21st Century Business Herald, administracja ds. bezpieczeństwa cybernetycznego MIIT zaprzestała współpracy w zakresie wymiany informacji z Alibaba Cloud na sześć miesięcy, szczególnie podając przyczynę takiego działania, np. zaniechanie zgłoszenia Log4J na czas.

Chen Zhaojun, inżynier bezpieczeństwa w Alibaba Cloud, jako pierwszy odkrył lukę Log4J i powiadomił Apache. Poinformował Apache 24 listopada, a osoba trzecia również poinformowała ten sam MIIT za pośrednictwem raportu.

Zgodnie z Protokołem, Chiny niedawno uchwaliły nowe prawo wymagające od wszystkich firm zgłaszania luk w zabezpieczeniach (takich jak Log4J) organom państwowym w ciągu dwóch dni. Niestety, ta niedawna porażka ze strony MIIT ma miejsce kilka miesięcy po tym, jak chiński rząd nałożył surowsze przepisy dotyczące ujawniania luk w zabezpieczeniach.

Alibaba została obciążona grzywną w wysokości 18,2 miliarda juanów, a 33 inne aplikacje mobilne spotkały się z zastrzeżeniami Pekinu dotyczącymi ich polityki gromadzenia danych. W tym samym czasie Alibaba i Tencent znalazły się pod ścisłą kontrolą rządową, a Didi przeszła poważny przegląd cyberbezpieczeństwa.

Belgijskie Ministerstwo Obrony niedawno doświadczyło cyberataku z powodu luki Log4J. Punkt kontrolny; izraelska firma ochroniarska potwierdziła, że do tej pory zakazała ponad 4,3 miliona ujęć związanych z wykorzystywaniem, przy czym 46% tych włamań zostało dokonanych przez znane szkodliwe grupy.

Według Check Pointa:

Ta luka może spowodować zdalne sterowanie urządzeniem, co spowoduje poważne zagrożenia, takie jak kradzież poufnych informacji i przerwy w działaniu urządzenia, MIIT powiedział wcześniej w publicznym oświadczeniu opublikowanym 17 grudnia, dodając, że został tylko poinformowany o luce 9 grudnia, 15 dni po pierwotnym ujawnieniu.

We wrześniu rząd uruchomił „bazy danych dotyczących bezpieczeństwa cyberprzestrzeni i profesjonalnych luk w zabezpieczeniach", aby powiadamiać o lukach w zabezpieczeniach w sieciach, aplikacjach mobilnych, przemysłowych systemach sterowania, inteligentnych samochodach, urządzeniach IoT i innych produktach internetowych, na które mogą atakować cyberprzestępcy.

W listopadzie Chińska Administracja Cyberprzestrzeni ujawniła nowy zestaw przepisów klasyfikujących dane i przedstawiła liczne zestawy kar za naruszenie polityki cyberbezpieczeństwa.

MIIT potwierdził, że otrzymał raport od strony trzeciej o problemie zamiast Alibaba Cloud. Jednak Alibaba Cloud odmówił komentarza w sprawie zawieszenia.