HazelcastがEOL（サポート終了）になっても、CVEの報告は止まりません。
対応バージョン：5.1.x、5.2.x、5.3.x
Never-Ending Support (NES) 、リリースラインがアップストリームからのパッチ提供を受けられなくなった後も、インメモリデータグリッドのセキュリティ、コンプライアンス、監査対応を確実に維持します。Hazelcast 5.1、5.2、または5.3をご利用の場合、NESによりメンテナンスされたビルドが提供されるため、リリーススケジュールに左右されることなく、チーム自身がセキュリティ態勢や移行スケジュールを管理することができます。
多くの企業から信頼されています
セキュリティ、コンプライアンス、事業継続――これらを一体的に解決
Hazelcastはアプリケーションのホットパスに位置し、セッション状態、キャッシュデータ、および他のサービスが依存する結果を保持します。 Hazelcast 5.1、5.2、および 5.3 については、アップストリームからのリリースが終了しています。5.3 シリーズの最後のパッチは 2024 年 7 月の 5.3.8 であり、各シリーズの最終リリースには現在、パッチが適用されていない CVE が存在するため、ビルドのたびにスキャナーによってフラグが立てられます。NES for Hazelcast は、お客様が現在実行しているのと同じシリーズの、メンテナンスが継続されているビルドです。
セキュリティリスク
Hazelcastは、クラスタのメンバーシップ、クライアントプロトコル、およびSQLコネクタを扱っています。製品ライフサイクルが終了すると、権限チェックやデシリアライゼーションに関する脆弱性は未解決のままとなり、アップストリームからの修正も提供されなくなります。
Hazelcast製品ライン（Hazelcastがバンドルしている脆弱な依存関係を含む）に対して、コミットされたSLAに基づき、CVEの修正が提供されます。
SLAに基づくパッチの提供は、深刻度に応じて行われる
Hazelcast コアおよびspring に関する修正
Jackson や JSON-java を含む依存関係の修正がバンドルされています
コンプライアンス
EOL（サポート終了）となったデータグリッドの依存関係は、PCI DSS、SOC 2、DORA、NIS2、およびEUサイバーレジリエンス法において、是正策が定まっていない未解決の監査指摘事項となります。
すべてのNESビルドには、監査人やスキャナーツールが利用可能なVEXステートメントが同梱されているため、サポート対象外の依存関係に関する指摘事項を解決するための文書化された証拠を確保できます。
リリースごとに公開されたVEXステートメント
パッチの履歴（記録）
SOC 2、PCI DSS、DORA、NIS2、CRA に対する準拠の証拠
事業継続リスク
Hazelcastの現在のバージョンから移行するには、クラスタ全体のアップグレード、プロトコルやシリアライゼーションの変更、そしてグリッドを共有するすべてのサービスにわたる協調的なローリング再起動が必要になる場合があります。
これは、Mavenの座標をそのまま維持するドロップインビルドであるため、現在のバージョンでパッチを適用した状態を維持しつつ、ご自身のスケジュールに合わせて移行を進めることができます。
groupIdとartifactIdは同じで、バージョンだけが変更されます
アプリケーションのコードを変更する必要はありません
ランウェイの適切な改修計画を立てる
NESをインストールしたその日から、何が変化するのか。
その前――痛み
御社のグリッドは、サポート終了（EOL）となったHazelcastのバージョンで稼働しています。スキャナーはすべてのビルドで問題を検出しており、アップストリームからのパッチ提供は見込めず、新しいクライアントプロトコルやコネクタに関するCVEは、移行が完了するまで悪用され続ける恐れがあります。
その後 — HeroDevsと
NES により、パッチ適用経路が復元されます。ラインの NES ビルドに移行し、クラスタの動作やクライアント API をそのまま維持したまま、SLA に基づく CVE 修正を再開できます。
その前――痛み
内部監査、SOC 2、および顧客向けセキュリティアンケートでは、いずれもHazelcastのEOL（サポート終了）依存関係が問題として指摘されています。急いでアップグレードする以外に是正策はなく、監査人に対して納得のいく説明もできません。
その後 — HeroDevsと
ベンダーがサポートする、SLAおよびVEXステートメントが明記された、メンテナンス済みのビルドです。サポート対象外の依存関係に関する指摘は解消され、監査担当者には文書化されたパッチ履歴を提示できます。
その前――痛み
Hazelcastのバージョンアップを行うと、プロトコルやシリアライゼーションの変更が生じ、それがグリッド上のすべてのサービスに波及する可能性があります。また、急ぎの移行は、エンジニアをロードマップから外してしまうことになります。
その後 — HeroDevsと
コードの変更を一切必要としない、そのまま導入可能なビルドです。運用中の環境はセキュリティとサポートが維持されたまま、チームは適切なアップグレード計画を立てるための余裕を確保できます。
hazelcast-coreだけではありません。
Hazelcast向けのNESは、サービスが実際に取り込んでいるアーティファクトと、それらにバンドルされている脆弱性のあるライブラリを網羅しています。
コア
hazelcast
データグリッドエンジンとクライアント。
Spring
spring
Spring とBean。
依存関係の修正をまとめて適用
Hazelcastが提供する脆弱性のあるライブラリに対する修正は、HeroDevsのNESビルドを通じて提供されます：
Jackson（非同期パーサーの数値長さの制約の回避）
JSON-java（ 深くネストされたキーを悪用したサービス拒否攻撃）
対応路線
Hazelcast 5.1.x、5.2.x、および 5.3.x。各ビルドは、アップストリームのオープンソースタグ（5.1.7、5.2.5、5.3.8）をフォークし、修正を適用したものです。各ビルドには Java 8 が必要です。
導入が簡単で、業務に支障をきたさない
NESバージョンの文字列（行ごと）：5.1.7-hazelcast-5.1.9、5.2.5-hazelcast-5.2.7、5.3.8-hazelcast-5.3.10。Gradle、Nexus、Artifactoryの設定ガイドはドキュメントに記載されています。
レジストリを追加する
settings.xml または pom.xml で、https://registry.nes.herodevs.com/maven をMaven リポジトリとして登録してください。ネットワークでアウトバウンドトラフィックがフィルタリングされている場合は、registry.nes.herodevs.com および assets.nes.herodevs.com を許可リストに追加してください。
トークンの設定を行う
settings.xml 内の herodevs-nes-registry サーバーエントリのパスワードとして、HeroDevs NES アクセストークンを追加してください。これにより、ビルドがパッチ適用済みのアーティファクトを取得できるようになります。3
バージョンを更新する
Pointcom.hazelcast:hazelcast（およびspring）を、お使いの環境に適した NES バージョンに設定して再ビルドしてください。アプリケーションコードの変更は必要ありません。
スキャナー通過
このビルドは積極的にパッチが適用されており、VEXステートメントが同梱されているため、EOLに関する問題は解決されます。
あらゆる規格、フレームワーク、規制に対して、説得力のある回答を用意しています
EOL（サポート終了）ソフトウェアは、世界中の規制におけるパッチ管理への期待を損なうものです。NESなら、ベンダーによるサポートが継続されるビルドを提供し、確約されたSLAと文書化されたパッチ履歴により、監査人や規制当局に対してコンプライアンスを証明することができます。
PCIデータセキュリティ基準
要件 6.3.3 では、既知の「重大」および「高」深刻度の脆弱性については、30 日以内にパッチを適用することが求められています。アップストリームからのパッチが提供されていない EOL 版の Hazelcast を使用している場合、コンプライアンス違反となります。NES を使用することで、パッチ適用経路が復元されます。
HIPAA
未対応のコンポーネントがあると、ePHIを扱うシステムに対して適切な安全対策を講じることが困難になります。NESは、積極的なメンテナンスとリスク低減を提供します。
SOC 2
トラスト・サービスの基準では、脆弱性の適時な是正が求められています。EOL（サポート終了）となった依存関係については、代償となるサポート手段が存在しない限り、監査の際に重大な指摘事項となります。NESこそが、その代償となるサポート手段です。
NIS2
第21条では、パッチ適用、脆弱性、およびサプライチェーン管理について規定しています。サポート体制が整っていないEOLソフトウェアを稼働させることはリスクをもたらすため、NIS2では事業者がそのリスクを積極的に軽減することを求めています。
DORA
DORAは、EOL（サポート終了）ソフトウェアを、金融ICT資産におけるレジリエンスのギャップと見なしています。NESでは、メンテナンスが継続されているビルドと、文書化されたパッチ管理プログラムを提供します。
サイバーレジリエンス法
デジタル要素を含む製品のソフトウェアライフサイクルにおけるセキュリティを管理します。NESでは、保証期間中、サポート終了（EOL）となったHazelcast製品ライン向けに、メンテナンスおよびパッチ適用済みのビルドを提供します。
NIST CSF 2.0
規制PR.PS-02では、組織に対し、リスクに基づいて脆弱性のあるソフトウェアを積極的に維持または削除することが求められています。NESを利用すれば、強制的なアップグレードを行うことなく、この規制への準拠が可能になります。
FedRAMP
継続的な監視では、定義された周期での脆弱性の修正が求められます。パッチが適用され、ベンダーのサポートが保証されたビルドがあれば、ISSOは、EOL（サポート終了）となったHazelcastを認証境界内に維持し続けることを正当化するための、文書化された修正手順を確保できます。
あなたが実行しているソフトウェアにパッチを適用するセキュリティエンジニアたちによって開発されました。
Hazelcast向けのすべてのNESビルドでは、該当するラインの既知のCVEが修正されており、スキャナーが検出するアドバイザリに対応したVEXステートメントとリリースノートが同梱されています。HeroDevsのエンジニアは、パッチを適用する脆弱性に対して再現環境を構築しているため、修正は単なるバージョンアップにとどまらず、実際のエクスプロイトに対して検証されています。HeroDevsはCVE番号付与機関であり、オープンソースの持続可能性を支援する資金提供者でもあります。
CVE番号付与機関
HeroDevsが対象とする製品におけるCVEの発見と公表。
どのビルドでもVEX
スキャナーで読み取り可能な形式です。
約束されたSLA
深刻度に応じたパッチの配信。
よくある質問
お問い合わせ
オープンソース・ライブラリのネバーエンディング・サポートについてご質問ですか？私たちがお手伝いします！
HeroDevsのNES製品がお客様のシステムの安全性とコンプライアンスをどのように維持できるかをご覧ください。
当社のソリューションがお客様の組織にどのような価値をもたらすかをご覧ください。
お客様のニーズに合わせた詳細な価格情報を入手できます。
JavaおよびJVMのセキュリティとコンプライアンスに関する最新情報を常に把握しましょう
すべての記事を表示
