一、学习目标

了解EAS & EAS Cloud安全处理策略；
学会安全分类以及处理办法，如：操作系统平台上安全、EAS产品安全、数据库安全等；
学会EAS & EAS Cloud产品安全处理规范以及安全注意事项；

二、业务场景

解决生产环境EAS &E AS Cloud安全问题（一定优先在测试环境验证后再应用）；

三、学习内容

3.1 EAS & EAS Cloud安全声明

1.产品处理策略

1) 高危漏洞：必须解决。

2) 中危漏洞：尽量解决，若研发认为不存在被利用的风险，需说明原因。

3) 低危漏洞：不处理，除非该风险被证实可被利用对系统造成破坏。

2.EAS & EAS Cloud产品问题知会

1) 组件升级存在兼容性风险，请务必在测试环境进行功能性验证，升级指南中会给出相关领域范围，可以以此为主要范围，确保无异常后进行生产环境部署。

2) 升级过程中建议至少一名开发岗全程参与，针对于升级的组件如果二次开发中有相关引用需要重点测试。

升级时所有步骤需要有清晰记录，做好文件备份，保证当出现无法解决的异常时能够及时回退。

四、EAS & EAS Cloud产品安全处理范围

1) EAS & EAS Cloud 产品安全范围：一定为EAS & EAS Cloud安装目录下具体文件或页面访问安全（如：指定的jar包或jsp文件等安全类）。

2) 非EAS产品安全范围：

Linux操作系统层面安全；如Linux上open ssh、X11、apache 程序（非EAS安装目录下）。
数据库安全；如mysql 安全、Oracle安全、Sql Server安全等。
Windows操作系统上非EAS程序安装目录外软件安全；如windows IIS程序、系统补丁安全等。

3) 非EAS & EAS Cloud产品处理建议，优先按安装产品官方说明或链接进行修复，如操作系统和数据库安全，建议按操作系统和数据库官方说明进行评估，评估通过后，进行测试环境修复验证无误后，再到生产环境应用操作。

五、EAS & EAS Cloud 产品安全已出补丁列表

所有EAS & EAS Cloud产品安全都建议提单反馈，并附上安全漏洞扫描报告，以便于总部支持明确分析此访问为EAS & EAS Cloud路径、具体端口或页面代码等安全问题，及时进行安全补丁安装修复、研发私包修复等处理。

已经出补丁列表链接整理如下（仅供参考，具体访问路径以及补丁处理需要总部支持确认通过后，告知在测试环境验证，方可在生产环境同样方法应用）：

1) EAS Cloud安全公告，金蝶云社区官方知识：
https://vip.kingdee.com/knowledge/specialDetail/164676138713728512?productLineId=8&category=179921860207931392&id=170588596498185216

2) EAS及EAS Cloud安全公告（专项安全问题处理）：

https://vip.kingdee.com/article/143312877061707264

3) EAS Cloud应用服务器实例宕机修复补丁推荐列表

https://vip.kingdee.com/article/142587311610767616

4) 金蝶s-HR V1.5及V2.0安全公告：https://vip.kingdee.com/article/264402358682030592

5) s-HR Cloud 2021H1的最新补丁：
https://vip.kingdee.com/article/159347852819090432?productLineId=10

EAS & EAS Cloud安全产品分类以及处理办法

恭喜您！