Apache Log4j2 的远程代码执行漏洞被刷爆了网络安全朋友圈了，该漏洞一旦被攻击者利用会造成严重危害。面对这个核弹级别的漏洞，全网颤抖，公司领导非常重视，很多互联网企业也都连夜做了应急措施。这个周五“网络安全人”又要全体加班了，积极更换jar包，升级包的版本，第一时间守住自己的企业站防止被攻击，场面真的热闹非凡呀。

一方面大家都把Log4j2开源当免费来用，一方面又指望它有企业级的维护支持与安全性保障。但另一方面，Log4j2这个库当初只有三个人的赞助，所有的维护者都是在利用业余时间去维护，都是免费的运维，即使这已经是整个互联网深深依赖的基础库，但也很多人不会去做和利益不搭边的事情吧。

像 HMCL 这种十万级用户量的开源软件，还要倒贴服务器维护成本，直到开发出稳定的版本后放在网上后才有收益支撑着服务器的支出，这次漏洞使得许多开发者用户认识到开源软件的安全性。

据了解，此次 Apache Log4j2 远程代码执行漏洞风险已被业内评级为“高危”漏洞，且漏洞危害巨大，利用门槛极低。有报道称，目前 Apache Solr、Apache Struts2、Apache Druid、Apache Flink 等众多组件及大型应用均已经受到了影响，需尽快采取方案阻止，有不少的小伙伴可能会找网络安全方面的专家去修复，也有很多小伙伴为这件事情决定要做等级保护。

等级保护又是什么呢?

一般指信息管理系统(APP)安全性等级保护，信息管理系统经营、应用企业根据进行等级保护工作中可以发觉系统软件里面的安全风险与存在的不足，可根据安全性整顿提高系统软件的安全防护能力，减少黑客攻击的风险性。

现阶段绝大多数企业都趋向于找寻第三方机构做等级保护

1.在评定报备流程，有一些等保机构会明确提出规范性建议帮助企业递交评定汇报。

2. 第三方等保机构可以帮助企业寻找专业测评机构，评测机构明确提出整改意见，企业依据整改意见选购网络安全产品，进行评测。

本文内容经过考证，整理和编写，部分出处：https://www.tianxiacloud.com/news/