با توصیه Apache شروع کنید
آسیب‌پذیری‌های Log4j باید بر اساس مؤلفه ثبت وقایع واقعی، نسخه، پیکربندی و میزان در معرض خطر بودن اپلیکیشن ارزیابی شوند. به‌جای استفاده از یک آموزش نصب قدیمی یا یک توصیه نسخه عمومی، از رهنمودهای امنیتی فعلی Apache Logging Services استفاده کنید.
یک توالی واکنش عملی
- 01ثبت وابستگی‌های مستقیم و انتقالی در اپلیکیشن‌ها و آرتیفکت‌های بسته‌بندی‌شده.
- 02توصیه‌های مربوط به Apache، از جمله اجزای تحت تأثیر و شرایط نسخه را بررسی کنید.
- 03یک ارتقاء پشتیبانی‌شده یا اصلاح پشتیبانی‌شده توسط فروشنده را برای زمان اجرای فعلی انتخاب کنید.
- 04برنامه را دوباره بسازید، تست کنید و پیاده‌سازی کنید، سپس وابستگی در حال اجرا را تأیید کنید.
- 05در معرض خطر احتمالی را بررسی کرده و واکنش را با تیم امنیتی مسئول هماهنگ کنید.
نرم‌افزارهای پشتیبانی‌شده اهمیت دارند
Apache اعلام کرده است که Log4j 1 در سال 2015 به پایان عمر خود رسیده است. وابستگی‌های پشتیبانی‌نشده را به عنوان یک ریسک معماری و عملیاتی در نظر بگیرید؛ از دستورالعمل‌های قدیمی که بسته‌های منسوخ را نصب می‌کنند یا به‌عنوان یک راه‌حل کلی، ثبت وقایع را غیرفعال می‌کنند، پیروی نکنید.
قابل تکرار کردن اصلاح
فهرست برنامه‌ها، اسکن وابستگی‌ها، آرتیفکت‌های ساخت کنترل‌شده و انتشارهای قابل مشاهده به تیم‌ها کمک می‌کند تا به توصیه‌های فوری پاسخ دهند. غیرفعال کردن گزارش‌ها می‌تواند شواهد مورد نیاز برای بررسی را حذف کند و نباید به عنوان یک راه‌حل امنیتی معمول ارائه شود.
زمینه انتشار
این مقاله که در ابتدا در مارس 2023 منتشر شد، بازبینی شده است تا توصیفات تاریخی نادرست و توصیه‌های نصب ناامن از آن حذف شوند. منبع اصلی در آرشیو تحریریه نگهداری می‌شود؛ اقدام فعلی باید مطابق با توصیه رسمی و الزامات فروشنده برنامه باشد.
پرسش‌ها و پاسخ‌ها
کدام راهنمای اولیه فعلی جایگزین توصیه‌های قبلی Log4j شده است؟
برای ارزیابی وابستگی‌های ثبت رویداد آسیب‌دیده و برنامه‌ریزی برای اقدامات اصلاحی پشتیبانی‌شده، از راهنمای امنیتی سرویس‌های ثبت رویداد Apache استفاده کنید.
#How should we use this article in a project?
Use the explanation to frame requirements and questions, then validate the actual workload, dependencies and current provider guidance. A technical article does not replace an application-specific assessment.
#