本番システムに適用する前に、このコンテンツをテストしてください。
最新のパッケージをリリースページ（https://github.com/VerveIndustrialProtection/CVE-2021-44228-Log4j/releases）からダウンロードし、Fixlet、Analysis、コンピューターグループをサイトにインポートして、コンピューターのサブスクリプションを適用してください。
サポートされている各オペレーティングシステムに対して、3つの検出方法が利用可能です。これらの検出器を使用する前に、それぞれの違いを理解することが重要です。
とはいえ、すべての検出方法の使い方はまったく同じです。OS固有の検出Fixletをデバイスに対してアクションとして適用し、その結果をユニバーサルな Warning-* Fixlet またはトリアージ情報用のユニバーサル分析を使用して確認するだけです。
すべての検出方法は、ベータ版/アルファ版のバージョンを正しくカタログ化します。
| 手法 | 影響 | 実行時間 | 真陽性 | 真陰性 | 偽陽性 | 偽陰性 |
|---|---|---|---|---|---|---|
| Verve Log4j Detector | 極めて低い | <1s | 良好 | 良好 | 非常に良好 | 不良 |
| Verve Log4j Enhanced Detector | 低い | 1-15s | 非常に良好 | 非常に良好 | 非常に良好 | 非常に良好 |
| Verve Log4j Full System Scan | 高い | 5-30m | 非常に良好 | 非常に良好 | 非常に不良 | 非常に良好 |
Verve Log4j Detector は、超高速で低影響の検出メカニズムです。log4j JAR をロードしている Java プロセスを単純に検索します。JAR/WAR 等の内部を検索しないため、偽陰性が発生する可能性があります。
また、jndi クラスが削除された JAR（潜在的な緩和策）とそうでないものを区別できません。
すぐに作業を開始する必要があるものの概要を把握するために使用してください。偽陽性が非常に少なく、すぐに作業を開始できます。
これらの Fixlet は最小限の前提条件しか必要としません。Windows 版は、Sysinternals ツールの Handle をダウンロードして主要な処理を行います。
この方法の Fixlet は次のとおりです。
Invoke - Verve Log4j Detector - LinuxInvoke - Verve Log4j Detector - WindowsVerve Log4j Enhanced Detector は、前述の超高速低影響検出メカニズムを拡張し、システム上で JAR/WAR 等をロードしているプロセスを特定します。その後、それらを解析ツールに渡し、JAR/WAR 等の内部を調べて埋め込まれた Log4j ライブラリを見つけられるかどうかを確認します。 この方法は、JNDI クラスが削除された JAR を検出でき、結果として脆弱性があるとは報告しません。
この方法は、システム上の開かれている JAR/WAR 等の数に比例して、システムへの影響が大きくなります。とはいえ、この方法は常にファイルシステムスキャナーを使用するよりも影響が低くなります。 これらの Fixlet にはいくつかの前提条件があります。両方の Fixlet に Java ランタイムが必要なため、アクションの一部としてポータブル JRE 8 ランタイムがダウンロードされ、検出の実行に使用された後、破棄されます。
この方法の Fixlet は次のとおりです。
Invoke - Verve Log4j Enhanced Detector - LinuxInvoke - Verve Log4j Enhanced Detector - WindowsVerve Log4j Full System Scan は Logpresso に依存し、高影響の検出メカニズムです。JAR/WAR 等の内部を調べて Log4j ライブラリを特定します。
他の方法とは異なり、ディスク上に存在するが使用されていない Log4j ファイルを検出します。
例としては以下が含まれます。
この方法は、多くのデータと多くの偽陽性を生成します。この方法によるデータは、修復に役立つ前にオペレーターによる分析が必要です。
可能な場合は他の方法を使用することをお勧めします。
この方法の Fixlet は次のとおりです。
Invoke - Verve Log4j Full System Scan - LinuxInvoke - Verve Log4j Full System Scan - Windows検出 Fixlet の結果を確認するには、Verve Log4j Detector - Results - Universal という名前の Analysis を表示できます。
さらに、Fixlet の実行が完了すると、脆弱なマシンで以下の追加の Fixlet が関連するようになります。
Warning - Verve Log4j Detector reports CVE-2021-44228 - UniversalWarning - Verve Log4j Detector reports CVE-2021-45046 - UniversalWarning - Verve Log4j Detector reports CVE-2021-45105 - UniversalInvoke - Clear all Verve Log4j Detector results - Universal という Fixlet が利用可能で、システムからすべてのスキャン結果を消去します。
問題が発生した場合は、リポジトリに Issue を提出し、そのコンピュータの Verve Log4j Detector - Debug - Universal 分析の結果を含めてください。
このコンテンツは、Verve Industrial Protection によって作成、保守、著作権が保護されています。このコンテンツは自由に使用および配布できますが、この通知は削除できません。このコンテンツを変更したり、このコンテンツから派生したコンテンツを作成した場合は、変更したコンテンツを同じ条件で無料で利用できるようにする必要があります。このコンテンツには、明示的または黙示的な保証は一切ありません。ライセンス物件は「現状のまま」、すべての欠陥を抱えて提供されます。本契約に基づいて提供される Verve Industrial Protection の知的財産、専有知識、その他のサービスまたは製品、ならびにその見通しや結果に関して、明示的または黙示的な保証や表明は一切ありません。Verve Industrial Protection は、明示、黙示、法律、衡平法、取引慣行、法定、その他、口頭または書面を問わず、商品性、特定目的への適合性、非侵害、権原または平穏享受の黙示的保証を含むがこれらに限定されない、一切の表明、保証、誓約、または条件を否認し、インストラクターはそれらがないことを承認し同意します。さらに、Verve Industrial Protection は、ライセンス物件にエラーがないこと、常時利用可能であること、または中断なく動作することを保証しません。Verve Industrial Protection、その代理人、または従業員がいつでも提供する口頭または書面による情報やアドバイスは、いかなる種類の保証も創出しません。一部の州または法域では、明示的または黙示的な保証の排除を認めていないため、上記の排除がお客様に適用されない場合があります。その場合、保証は、適用法により管轄権を有する裁判所が定める範囲でのみ課されるものとします。