Découvrez en quoi consiste la sonde avancée Log4j présente sur l'outil Security Rating.
L'outil Security Rating dispose d'une sonde de détection des vulnérabilités Log4shell CVE-2021-44228 et CVE-2021-45046.
Ces vulnérabilités permettent d'effectuer une injection de code dans les projets JAVA en utilisant le module LOG4j. Afin de vérifier si un actif cible est vulnérable, l'outil envoie des payloads à un serveur évalué et vérifie si celui-ci effectue une requête vers un serveur tiers dit "Out-Of-Band" appartenant à Board of Cyber. Si c'est le cas, la cible est alors considérée comme vulnérable.
La sonde avancée n'est pas appliquée lors de lancement d'évaluation sur des audits de tiers ou de filiale, mais il est possible de l'appliquer lors d'audit interne. Elle est également paramétrable par la suite.
Pour cela, rendez-vous dans vos sociétés, sélectionnez la société à laquelle vous souhaitez ajouter la sonde avancée, et cochez "Sonde avancée". Plus d'informations sur l'ajout de produit sur votre société ici.
A noter que les scans LOG4j n'ont pas d'impact sur la notation.