Log4Shell, 9 בדצמבר 2021
Log4j היא ספריית רישום (logging) ל-Java. ב-9 בדצמבר 2021 חשף Apache פגיעות קריטית, שמכנים לעיתים Log4Shell, שעלולה לאפשר הרצת קוד מרחוק ביישומים שהשתמשו בגרסאות מושפעות. לא לכל ארגון יש Java, ולא לכל יישום Java היה שימוש בגרסת Log4j פגיעה.
סמנכ"ל הטכנולוגיה של SEYA Group, Sean Mehrabi, הקליט בריף על פגיעות Log4Shell. הסרטון הוא ההסבר ההיסטורי הזה.
שלבים בבריף מדצמבר 2021
סריקה
סריקה
הבריף תיאר סריקת רשתות כדי לאתר Log4j בכל יישום.
תכנון
תכנון
הבריף תיאר תוכנית תיקון ליישומים בשימוש לאחר שזוהה Log4j.
ביצוע
ביצוע
הבריף תיאר יישום של התוכנית, תיעוד התיקון והמשך טיפול בשאר היישומים.
תרשים Log4Shell מדצמבר 2021
איך הבריף הדגים את נתיב החיפוש
מה שתואר בעמוד מדצמבר 2021
ניהול סיכוני סייבר
העמוד תיאר ארגונים שמזיזים תהליכים עסקיים ככל שהטכנולוגיה, המודלים העסקיים, האנשים והכללים משתנים, והוא התייחס לפרצת סייבר כאל השלכה עסקית.
הוא תיאר תוכנית סייבר מבוססת סיכון להבנה, הפחתה, טיפול ודיווח על אירועים, פגיעויות ואיומים. הוא תיאר את תגובת האירועים ואת תגובת הפגיעויות כדרכים להגבלת ההשפעה של פרצה.
תגובה לפגיעויות בבריף מ-2021
איימים בעדיפות גבוהה יותר היו אמורים לעלות לראש סדר היום באמצעות אוטומציה ופישוט המידע
איומים היו אמורים לתועדף לפי השפעה עסקית
משאבים היו אמורים להיות ממוקמים במקום שבו הם תורמים לארגון
קיצור זמן התיקון היה היעד שהוצהר.
תגובה לאירועי אבטחה בבריף מ-2021
האירועים היו אמורים להיות מקושרים להשפעה עסקית
האירועים היו אמורים להסווג ולתועדף לפי השפעה עסקית
תגובה לאירועים הייתה אמורה להיות מאוטומטית כדי לאפשר לצוותים לתעדף ולטפל באירועים מורכבים
קיצור זמן לידיעה וזמן לתגובה היו היעדים שהוצהרו.
הגישה בבריף מדצמבר 2021
העמוד מדצמבר 2021 תיאר גישה מבוססת סיכון לסייבר ולאבטחה: מיפוי עבודת ה-IT ליעדים עסקיים, קביעת עדיפות והערכת השפעה לפני השקעת זמן. הוא תיאר צוותי אבטחה ויחידות עסקיות אחרות שקובעים החלטות תוך התחשבות בסיכון. נקודות התוכנית בעמוד זה היו:
זמן לערך
העמוד קישר מאמץ להשפעה עסקית כדי שמשאבים יופנו למקום עם תשואה ברורה יותר.
ראות
העמוד תיאר ביטחון בדיוק הנתונים, ראות לחומרת חולשות ודיווח המותאם לכל בעל עניין.
יעילות
העמוד תיאר אוטומציה ומיקוד בפעילות המרכזית כדרך לבצע את העבודה בפחות משאבים.
מוצרים שצוינו בבריף מדצמבר 2021
מוצרים אלה נדונו בדצמבר 2021 משום שחלק מההפצות הסתמכו על Log4j. שם ברשימה לא מהווה בפני עצמו הוכחה להתקנה פגיעה. בדיקות הגרסאות הסתמכו על ייעוץ Apache מאותו תאריך.
מי היא SEYA Group
Sean Mehrabi
סמנכ"ל הטכנולוגיה של SEYA Group, Sean, החל את מסעו הטכנולוגי בגיל הנעורים כשפיתח אפליקציה בפעם הראשונה. במשך השנים נוצרה אצלו מחויבות לעזור לחברות להתפתח ולהצליח באמצעות מומחיותו ב-IT Operations, Solution Architecture ובהנהגה טכנית. לאורך הקריירה ליווה חברות זעירות וארגונים גדולים כמו Netflix ו-Boeing, מה שחיזק את מומחיותו ב-IT ובכישורי הנתונים.
Sean Mehrabi
סמנכ"ל טכנולוגיה
Yan Tandeta
המנכ"ל של SEYA Group, Yan, מחזיק ביותר מ-25 שנות ניסיון כאדריכל DevSecOps שסיפק בהצלחה SDLC/PDLC ארגוניים תובעניים במיוחד בסביבות עיבוד ענן מבוזרות מסוג N-tier כגון AWS Public ו-GovCloud. הוא מומחה במחזור חיי פיתוח התוכנה ובמסחור של פלטפורמות יישומים ושירותים מורכבים, ומוביל מוכח בפיתוח צוותים פרודוקטיביים ברחבי העולם.
Yan Tandeta
מנכ"ל
צריכים בדיקת תלויות Java או של מנגנון הרישום היום?
עמוד זה מתעד את ההנחיות שלנו לגבי Log4Shell מדצמבר 2021. לבדיקה עדכנית של סביבת ה-Java שלכם, כתבו ל-hello@seyagroup.io או השתמשו בטופס.