Log4Shell，2021 年 12 月 9 日
Log4j 是一个 Java 日志库。2021 年 12 月 9 日，Apache 披露了一个严重漏洞，常被称为 Log4Shell，在使用受影响版本的应用中可能导致远程代码执行。并非所有组织都运行 Java，也并非每个 Java 应用都使用了易受攻击的 Log4j 版本。
SEYA Group 首席技术官 Sean Mehrabi 录制了关于 Log4Shell 漏洞的简报视频；该视频即为当时的历史说明。
2021 年 12 月简报中的步骤
扫描
扫描
简报描述了扫描网络以在各应用中寻找 Log4j。
规划
规划
简报描述了在发现 Log4j 问题后对在用应用的修复计划。
执行
执行
简报描述了落实该计划、记录修复结果并继续处理其余应用。
2021 年 12 月 Log4Shell 示意图
简报如何展示查询路径
2021 年 12 月页面所描述内容
网络风险管理
该页描述组织如何随技术、商业模式、人员与规则的变化而调整业务流程，并将网络入侵视为业务层面的后果。
文中描述了一个以风险为导向的网络安全计划，用于理解、缓解、修复并报告事件、漏洞与威胁；并将事件响应与漏洞响应描述为限制数据泄露影响的手段。
2021 年简报中的漏洞响应
通过自动化并简化信息，使更高优先级的威胁被提前呈现
威胁拟按业务影响排序
资源拟配置在最能服务组织之处
缩短补丁上线时间被列为目标。
2021 年简报中的安全事件响应
事件拟与业务影响挂钩
事件拟按业务影响分类并排序
事件响应拟实现自动化，以便团队能够排序并修复复杂事件
缩短知晓时间与响应时间被列为目标。
2021 年 12 月简报中的思路
2021 年 12 月的页面描述了面向网络与安全的基于风险的方法：将 IT 工作与业务目标对齐、设定优先级，并在投入时间前评估影响；并描述安全团队与其他业务单元在风险视角下做出决策。本页列出的计划要点为：
价值实现时间
页面将投入与业务影响挂钩，使资源投向回报更清晰的工作。
可见性
页面描述了数据准确性的信心、对弱点严重程度的可见性，以及面向各利益相关方的报告。
效率
页面描述了通过自动化并聚焦于主要运维工作，使团队在资源更少的情况下完成工作。
2021 年 12 月简报中点名的产品
这些产品于 2021 年 12 月被讨论，是因为部分发行版依赖 Log4j。名单上的名称本身并不能证明存在易受攻击的安装；版本核对以当日 Apache 公告为准。
谁是 SEYA Group
Sean Mehrabi
SEYA Group 首席技术官 Sean 在少年时首次开发应用，由此踏上技术之路。多年来，他凭借 IT 运营、解决方案架构与技术领导方面的专长，致力于帮助企业走向成功。其职业生涯中曾服务微型公司与 Netflix、Boeing 等大型互联网企业，从而进一步夯实了 IT 与数据能力。
Sean Mehrabi
首席技术官
Yan Tandeta
SEYA Group 首席执行官 Yan 拥有 25 年以上 DevSecOps 架构师经验，曾成功交付极具挑战的企业级 SDLC/PDLC，涵盖 AWS Public & GovCloud 等 N 层分布式云处理环境。他精通软件开发生命周期，善于将复杂的软件应用与服务平台进行商业化，并在全球范围内带领高绩效团队。
Yan Tandeta
首席执行官
如今需要对 Java 依赖或日志记录做审查吗？
本页记录我们 2021 年 12 月关于 Log4Shell 的说明。若需对当前 Java 资产进行审查，请致信 hello@seyagroup.io 或使用表单。