Co odhalí bezplatný Java Security Assessment

Většina větších organizací přesně neví, co v jejím Java prostředí běží. Java je v aplikacích třetích stran, v kontejnerech, na build agentech i na zapomenutých serverech. Dokud se to řešilo hlavně kvůli licencím, stačil odhad. Teď, když se doba do zneužití zranitelností zkracuje a AI útočníkům dále pomáhá, už odhad nestačí.

Proto ve spolupráci s Azul nabízíme bezplatný Java Security Assessment. Už za několik dnů můžete mít přehled o tom, kde je vaše Java nejvíc vystavená a co řešit jako první. Proč se to změnilo, popisujeme v samostatném článku.

Co assessment typicky odhalí

Licenční a bezpečnostní povinnosti. Které verze a instalace s sebou nesou povinnosti, které často nikdo nesleduje. Pomáhá to s přípravou na audit a případně i s úsporou na licencích.
Verze pod aktuální úrovní záplat. Které verze jsou pod aktuální úrovní Critical Patch Update (CPU), a mají tedy známé, ale opravitelné zranitelnosti.
Expozice KEV. Které verze jsou vystavené zranitelnostem z katalogu Known Exploited Vulnerabilities americké agentury CISA. Jde o zranitelnosti s doloženým zneužitím v praxi, proto je Azul řadí mezi nejvyšší prioritu.
Verze po konci podpory v produkci. Zda v produkci běží nepodporované verze jako Java 5, 6 nebo 7. Na ně už nové opravy běžně nevycházejí.

Dobrá zpráva: riziko bývá soustředěné

Rozsah problému často vypadá hrozivě, když se poprvé objeví v tisících instancí. Podle zkušeností Azul ale většinu rizika často tvoří jen 2–3 verze Javy. Místo stovek samostatných úkolů tak často stačí vyřešit několik konkrétních verzí a celkový obrázek se výrazně zlepší. Bez dat ale nevíte, které to jsou.

Co dostanete

Výstup	K čemu slouží
Dashboard pro vedení	Přehled celého prostředí podle úrovně rizika, dodavatele a verze Javy
Analýza KEV a CVE	Porovnání s katalogem CISA KEV a databází NVD, tedy skutečné hrozby, ne jen teoretické
Rozpad rizika podle verzí	Které verze nejvíc zvyšují expozici a kam tedy soustředit nápravu
Přehled verzí po konci podpory	Které verze po konci životnosti běží a v kolika instancích, tedy bezpečnostní mezera i riziko z hlediska regulací
Přehled záplatových mezer	Jak daleko jsou nasazené verze od aktuální úrovně CPU a co znamená, když se nic neudělá
Prioritizovaný plán	Další kroky seřazené podle dopadu: co záplatovat první a z čeho migrovat pryč

Jak to probíhá

Ozvete se nám přes krátký formulář a domluvíme se na rozsahu.
Podklady. Bezplatné vyhodnocení vychází z přehledu verzí Javy a jejich počtů, anonymně a bez jmen. Stačí k tomu třeba report z vašeho ITAM nástroje. Pokud přehled nemáte, nástroje Azul umí prostředí proskenovat. Co se při tom předává, si předem upřesníme.
Vyhodnocení. Výsledky se porovnají s katalogem KEV a databází NVD a seřadí se podle dopadu.
Dashboard a další kroky. Dostanete personalizovaný dashboard a výsledky s vámi projdeme.

Vše domluvíte a vyřídíte se Solutia. Samotnou analýzu technicky provádí Azul.

Pro koho to dává smysl

Pro organizace, které provozují větší množství Java aplikací a nemají aktuální přehled o verzích.
Pro bezpečnostní týmy, které potřebují podklady pro prioritizaci záplatování.
Pro firmy, které se připravují na audit nebo řeší požadavky regulací jako DORA nebo NIS2.
Pro týmy, které stále záplatují reaktivně nebo spoléhají na to, že systémy za firewallem audit obstojí.

Nemusíte používat Azul. Assessment pokrývá Java prostředí bez ohledu na dodavatele.

Co s výsledky dál

Assessment je zdarma a k ničemu vás nezavazuje. Výsledky můžete použít sami, ve vlastním bezpečnostním procesu nebo jako podklad pro vedení. Pokud budete chtít pokračovat, pomůžeme s plánem nápravy, se security-only aktualizacemi Azul Core nebo s širším Java Assessmentem, který řeší i licence a náklady.

Je dobré vědět, že assessment má informační charakter. Nejde o právní ani odborné bezpečnostní poradenství a nenahrazuje váš vlastní bezpečnostní proces.

Vyžádejte si bezplatný Java Security Assessment nebo si přečtěte podrobnosti o službě.

Co odhalí bezplatný Java Security Assessment (a proč riziko často tvoří jen 2–3 verze Javy)