14.7. 管理部署在 JBoss EAP 上的应用程序内部捆绑的依赖关系的更新

工具和数据源

JBoss 补丁邮件列表

订阅 JBoss 补丁邮件列表将让你知晓 JBoss 产品里已修复的安全漏洞，允许你检查所部署的应用程序是否捆绑了受影响组件的易受攻击的版本。

用于绑定的组建的安全顾问页面。

许多开源都有自己的安全顾问页面。例如，Struts 2 是常用的带有许多已知安全问题、且不属于 JBoss EAP 安装的一部分的组件。Struts 2 项目维护着一个上游安全顾问页面，如果你的应用程序捆绑了 Struts 2，你应该注意这个页面。许多商用的组件也维护着安全顾问页面。

经常扫描你部署的应用程序里已知的漏洞

你可以使用几个常用的商业工具。红帽员工开发了一个名为 Victims 的开源工具，但并不为此提供支持和保障。Victims 为几个构建和集成工具提供插件，它自动扫描应用程序里捆绑的已知的易受攻击的依赖关系。这些插件可用于 Maven、Ant 和 Jenkins。关于 Victims 工具的更多信息，请参考 https://victi.ms/about.html。