14.7. Gérer les mises à jour de sécurité pour les dépendances groupées à l'intérieur des Applications déployées sur JBoss EAP

Outils et Sources de données

Listes de diffusion pour le patch JBoss

S'abonner aux listes de diffusion de patch de JBoss vous tiendra informé au sujet des failles de sécurité qui ont été corrigées dans les produits JBoss, et vous permettra de vérifier si vos applications déployées regroupent des versions vulnérables des composants concernés.

Page consultatif de sécurité pour les composants regroupés.

De nombreux composants open source ont leur propre page consultative de sécurité. Par exemple, struts 2 est un composant couramment utilisé pour de nombreux problèmes de sécurité connus qui n'est pas fourni dans la distribution de JBoss EAP. Le projet struts 2 tient à jour une page consultative de sécurité en amont, qui doit être surveillée si vos applications déployées sont regroupées avec struts 2. De nombreux composants fournis commercialement maintiennent également des pages consultatives de sécurité.

Scannez régulièrement votre applications déployées pour les vulnerabilités connues

Il existe plusieurs outils commerciaux disponibles pour ce faire. Il y a également un outil open source appelé Victims, qui est développé par les employés de Red Hat, mais qui est livré avec aucun appui ou garantie. Victims fournit des plugins pour plusieurs outils de génération et d'intégration, qui analysent automatiquement les applications pour les regroupements connus pour leur vulnérabilité aux dépendances. Il existe des plugins Maven, Ant et Jenkins. Pour plus d'informations sur l'outil Victims, voir https://victi.ms/about.html.