2021年12月，Log4j曝出“核弹头级”漏洞（Log4Shell），以后迅速像肿瘤一样在移动互联网上迅速蔓延，短期内内就要全世界超出40%的企业网络遭受围攻，因此世界上的企业安全生产工作人员一瞬间没有了礼拜天。该漏洞利用成本费极低，可以立即随意执行命令，并接手总体目标网络服务器，其潜在性伤害严重后果、影响度称得上2021年之最。
Log4Shell攻击面极大，一些医生觉得，本次漏洞与2014年Shellshock系列安全性漏洞旗鼓相当，后面一种在最开始公布的数钟头内就被损伤电子计算机的僵尸网络利用，启动了分布式系统拒绝服务攻击(DDoS)进攻和漏洞扫描仪。
Log4j漏洞并不少见，因此理应给予不断关心，以充足鉴别和修补问题。下列为各位介绍一些主要方式。
对Log4j 的顾虑关键因为Java 日志库的应用颇具客观性，及其没经身份认证的网络攻击者能如此轻轻松松就利用该漏洞完成远程控制执行命令 (RCE)。大家对配置升级，仿佛做好了Log4j进攻模块的解决提前准备，但这一切仅仅临阵磨枪。此外，此类漏洞已发生变异，但在结构内部结构，包含关键基础设施建设全方位更新的长久解决方法还无望。
因为接着发生的通用性漏洞公布 (CVE) ，加上很多团队在变更配置、扫描仪资产清查易受攻击手机软件时过度轻率，Log4j要被良好控制还需几个月時间。很多机构要不长期性逗留在清查环节，尝试彻底找到系统软件应用 Java 或 Log4j的地区，要不就一直在修补之中，由于经营或系统软件限定拘束了她们发布详细补丁包的工作能力。
由于原始配置变更不足充足，漏洞持续转变，或需做好实行全方位修补的提前准备。下列提及的最佳实践及关键论点论据将协助安全性团队在这方面做好谋略。
规模性应用资产管理方法
在Log4j漏洞发生后，安全性团队赶紧找寻并优先选择考虑到有着很多资产的人群。大家一同盼望能有迅速、可拓展的办法来搜索 Java 和 Log4j 案例。可以用测试工具许多，但很多安全性机构却忘记了一项基本上內容：全新的手机软件资产明细。
资产收集和解决十分重要，安全性团队必须如下所示问题的立即回应：什么 Linux 网络服务器已经运作Log4j？什么vm虚拟机应用Java？
强劲的资产管理方法可加速修复周期时间，每每发生新的 Log4j 时，便马上必须新的补丁包。资产管理水平更强的团队对 Log4j 的回应更高效率，她们可以更快鉴别出易受攻击的 Java 案例，与此同时监管修补对经营的危害。
最好防御力：加速修补周期时间
安裝补丁包是解决新起危害的最好方法，但网络攻击亦会快速把新的 CVE 列入进攻模块。要减轻进攻和防护系统软件，更新到最新版是更为稳定的方法。伴随着时间流逝，借助手动式配置变更会导致发生漏洞，由于Log4j 等漏洞也在持续演变，只是更改一个真/假旗标是远远不够的。
查验配置
加强资产管理方法实践活动，要执行配置查验。当新的 CVE 发生时，资产必须进一步升级和配置变更，保证可以从Log4j跟踪到它。在该漏洞管理方法方案中，主要一点是安全性团队发觉不明影响的监管方式。找寻高优先危害必须有妥当的步骤分配，不必靠听传闻或偏信twiter內容，而要确立一个积极主动的步骤。
处理遗留下系统软件问题
假如机构仍在应用与 Java 更新版本兼容问题的遗留下手机软件，那麼是时候付诸行动，促进领导阶层（和经销商）创建强有力的手机软件资产明细和循环系统修补周期时间。解决技术性债务(包含未修补的遗留下手机软件)会耗费太多的自然资源和网络带宽，与此同时必须提高监管和补偿性操纵。当Log4j发生，安全性团队也就更有主导权，而这也是方案更新遗留下系统软件的最佳时机。
内部网和磁密（Air-Gapped）系统软件不可忽视
大家通常觉得磁密系统软件和内部结构机器设备是可靠的，由于假如网络攻击触碰不上，当然也就没法利用。但这类假定对Log4j而言极其风险，由于没经身份认证的要求，即使利用别的应用软件依然很有可能造成远程控制执行命令(RCE)漏洞。看待磁密系统软件和内部网资产应如朝向互联网技术的资产一样，随时随地提前准备全方位更新并进行配置追踪。
安全性的全自动拓展和布署
鉴别云自然环境中将会应用全自动布署或全自动拓展计划方案运作的资产。要保证这种配置是可靠的，而且一切将来布署都不容易应用落伍的Java版本或Log4j库。这必须与开发设计团队协作，保证这种安全性配置列入将来的搭建之中。
参照连接：https://www.darkreading.com/attacks-breaches/log4j-getting-from-stopgap-remedies-to-long-term-solutions