从 Log4j 中学到的知识： 不要急于补救

我们大多数人，作为人类，都经历过通常所说的“战斗或逃跑”——一种通常强烈的自主身体反应，表现为心跳加速、肌肉紧张和手心出汗。 这种反应会伴随恐慌感，同时决策瘫痪会使我们的逻辑思考能力几乎不存在。

企业界有自己的应对措施，这种措施是经过多年应对威胁性数字形势的发展和磨练而形成的。

企业面临的风险与人类面临的风险类似。 对于人类来说，过于频繁、强烈或不适当的战斗或逃跑反应与一系列临床状况有关。 简而言之，它们能够造成真正的物理伤害。 从业务方面来看，频繁、密集或可能不适当的数字战斗或逃跑反应可能会对业务健康造成不利影响——尤其是在安全领域。

与众所周知的“悲伤阶段”非常相似，我们注意到，在数十年致力于减轻application和基础设施相关威胁的过程中出现了“安全反应阶段”。  

选择正确回应的重要性

仓促采取补救措施可能是其中一种反应，但从长远来看，这并不是最好的应对措施。 考虑到 Apache 发布的 Log4j 的第一个补丁也存在漏洞，因此急于补救的组织基本上必须从头开始并重新修补所有系统。

此时，我要停下来并强烈指出，不急于补救并不意味着忽视风险或不采取行动。

记住这一点尤其重要，因为未能负责任地管理推动数字业务的数据会产生现实后果。 在 Log4j 曝光后，美国联邦贸易委员会 (FTC)“警告称，将对未能保护因 Log4j 而暴露的消费者数据的私营企业进行严厉打击。”（ ZDNet ）

为何缓解气候变化是首要任务

缓解先于补救是有原因的，其中最重要的原因是为了满足人类“做点什么”并急于补救的本能。 快速缓解措施还解决了对客户数据负责任的管理需求，即在制定正确的补救行动计划的同时保护数据免遭泄露。  

缓解措施应该是首先采取的行动，特别是在处理这种需要深入软件供应链探索的普遍漏洞时。 1 月 4 日，“ #log4shell的易受攻击的下载量总体上仍达到 46%”这一发现，很可能是由于发现易受攻击的软件包和组件可能隐藏在哪里而造成的，而且这种发现十分困难。 （声纳类型）

数字化世界的现实是，新的、严重的安全漏洞将继续扰乱业务，并给本已不堪重负的资源带来压力。 由于企业application组合的稳健性（通常跨越核心、云和边缘的五代application程序架构），我们应该假设补救将耗费大量的时间和精力。 这就是为什么快速缓解如此重要。 它减轻了压力，并允许采取更加慎重和全面的补救方法 - 该方法包括验证发布的补丁是否安全，并允许开发人员按照现有的发布周期进行更新、修补和测试。

组织应确保在所有环境中都有支持缓解的控制点。 战略控制点的 Web 和 API 保护、内容检查和阻止功能为应对此类普遍存在的漏洞提供了一种“平台”。 这些相同的控制点还可以以揭露利用此类漏洞的企图的形式提供有价值的信息。  

结论

我们大多数人都会记得童年时的消防演习，我们练习在发生火灾时如何安全离开学校。 我还进行了龙卷风演习，我猜世界各地的孩子可能都练习过如何应对地震或海啸。 制定计划并知道如何执行，对于减少在重大漏洞新闻曝光后陷入恐慌的时间至关重要。

所以不要惊慌。 利用战略控制点并专注于快速缓解，以便您可以执行有目的的补救措施。

请记住，熟能生巧可以减少恐慌。 规划和执行自己的“安全消防演习”并不是一个坏主意。