Bei der Bereitstellung von Java-Anwendungen in Produktionsumgebungen muss die Sicherheitsverst?rkung aus fünf wichtigen Punkten beginnen: 1. Beschr?nken Sie die Laufzeitberechtigungen, verwenden Sie nicht privilegierte Benutzer, um Dienste zu starten, Missbrauch von Root-Berechtigungen zu vermeiden, den SecurityManager (abh?ngig von der Situation einzuschr?nken), die Berechtigungen des Containers, des Defugierens des Frühlingsscharns und der sensiblen Endpunkte sowie den sensiblen Endpunkten sowie den sensiblen Modus und sensitiven Systemen einschr?nken. 2. Aktualisieren Sie die Abh?ngigkeitsbibliotheken und deaktivieren Sie unsichere Protokolle, scannen regelm??ig auf Schwachstellen für Drittanbieter, deaktivieren Sie SSLV3 und TLS 1.1 und darunter, erzwingen Sie TLS 1.2, aktivieren Sie HTTPS- und Weiterleiten von Vertraulichkeitsalgorithmen; 3. Handle Protokolle und Fehlermeldungen mit Vorsicht verarbeiten, vermeiden Sie sensible Daten, geben Sie gemeinsame Fehlercodes auf einheitliche Weise zurück und deaktivieren Sie die Exposition gegenüber Stapelinformationen. 4. Optimieren Sie JVM-Parameter und Start-Stop-Skripte, deaktivieren Sie System.gc (), lesen Sie vertrauliche Informationen aus Umgebungsvariablen oder verschlüsselte Konfigurationen und vermeiden Sie hartcodierte Passw?rter in der Befehlszeile. 5. überwachen und aktualisieren Sie kontinuierlich Konfigurationen, um sicherzustellen, dass Sicherheitsma?nahmen mit der Umgebungs?nderung effektiv bleiben.

Bei der Bereitstellung von Java -Anwendungen in Produktionsumgebungen ist die Sicherheitsverst?rkung ein wichtiger Teil, der nicht ignoriert werden kann. Viele Probleme sind nicht an der Verwundbarkeit des Code selbst zurückzuführen, sondern an unsachgem??e Konfiguration, lockerem Berechtigungsmanagement oder Risiko einer Abh?ngigkeit von der Bibliothek. Beginnen wir von mehreren wichtigen Punkten und sprechen wir über die Sicherheitsma?nahmen, die im tats?chlichen Betrieb beachtet werden sollten.

Beschr?nken Sie die Laufzeitberechtigungen

Java -Anwendungen werden standardm??ig unter relativ losen Berechtigungen ausgeführt, insbesondere wenn Dienste mit root oder Administratorkonten gestartet werden. Das Prinzip der Mindestberechtigungen ist hier sehr wichtig.

• Führen Sie Java-Prozesse mit nicht privilegierten Benutzern aus und vermeiden Sie es direkt zu verwenden
• Konfigurieren von SecurityManager (obwohl es in der neuen Version veraltet ist, sind einige Szenarien immer noch wertvoll)
• Verwenden Sie für Containerisierungsbereitstellungen nur schreibgeschützte Dateisysteme oder begrenzen Sie die Mount-Pfade
• Wenn Sie Frameworks wie Spring Boot verwenden, stellen Sie sicher, dass der Debug -Modus oder die sensiblen Endpunkte nicht aktiviert sind (z. B. /actuator ).

Wenn beispielsweise die /actuator/env -Schnittstelle des Spring -Starts dem externen Netzwerk ausgesetzt ist und nicht authentifiziert ist, kann ein Angreifer sensible Informationen über sie erhalten oder sogar die Ausführung der Remote -Code ausl?sen.

Aktualisieren Sie Abh?ngigkeiten und deaktivieren Sie unsichere Protokolle

Java-Projekte verlassen sich h?ufig auf eine gro?e Anzahl von Bibliotheken von Drittanbietern, die m?glicherweise Schwachstellen gekannt haben. Darüber hinaus werden SSL/TLS -Konfigurationen h?ufig ignoriert.

• Scannen Sie regelm??ig nach Abh?ngigkeiten unter Verwendung von Tools wie OWASP-Abh?ngigkeitskontrolle, Snyk oder Sonatyp Nexus
• Upgrade auf die neueste stabile Version, insbesondere h?ufig verwendete Bibliotheken wie Log4J, Jackson, Apache Commons
• Deaktivieren
• Vermeiden Sie die HTTP -Klartextübertragung und erzwingen Sie HTTPS
• Richten Sie die rechte Verschlüsselungssuite ein und priorisieren Sie den Algorithmus zur Vorw?rtsh?re

Wenn Ihre Bewerbung noch JDK 8 verwendet, denken Sie daran, sie rechtzeitig zu patchen, insbesondere Sicherheitsupdates für Oracle und OpenJDK.

Seien Sie vorsichtig, wenn Sie Protokolle und Fehler behandeln

Log -Lecks sensible Informationen sind h?ufig, aber leicht übersehen. Fehlerseiten k?nnen auch Stapelinformationen aufdecken und Angreifern Hinweise geben.

• Vermeiden Sie es, sensible Daten wie Passw?rter, Token und Schlüssel im Protokoll aufzuzeichnen
• Verwenden Sie Log -Desensibilisierungsmechanismen, z. B. das Ersetzen der Kreditkartennummer ****
• Zeigen Sie keine detaillierten Ausnahmeinformationen auf der Fehlerseite an, insbesondere in Webanwendungen, insbesondere in Webanwendungen
• Die externe Schnittstelle gibt eher einen gemeinsamen Fehlercode als eine bestimmte Fehlerbeschreibung zurück.

Zum Beispiel: Wenn ein REST -API -Fehler java.lang.NullPointerException at com.example.service.UserService.getUserById(UserService.java:45) zurückgibt, ist es gleichwertig, dem Angreifer zu sagen, was schief gelaufen ist.

JVM-Parameter und Start-Stop-Skriptoptimierung

Viele Personen schreiben direkt ein Shell -Skript, um beim Bereitstellen Java -Anwendungen zu starten und alle Parameter auszufüllen. Tats?chlich gibt es hier viele Dinge, die hier gest?rkt werden k?nnen.

• Startparameter plus -Djava.security.manager (abh?ngig von der Situation) und kooperieren Sie mit Berechtigungen der Richtliniendatei -Steuerung
• Verwenden Sie -XX: DisableExplicitGC , um System.gc () zu deaktivieren, um die Leistung des Leistung zu verhindern. Jitter
• KOLTKADTEN SCHRIFTEN SCHRIFTEN SCHRIFTEN HARTCODE ACOCTIONS -Kennw?rter, sondern sollten aus Umgebungsvariablen oder verschlüsselten Konfigurationen gelesen werden.
• Schreiben Sie das Keystore -Passwort nicht in die Befehlszeile zu Tode, da es durch den PS -Anzeigeprozess leicht zu sehen ist.

Zum Beispiel:

 Java -Jar \
  -Duser.TimeZone = GMT 8 \
  -Xx: useg1gc \
  -Xx: deaktivieren explicitgc \
  -Djavax.net.ssl.keystore =/path/to/keystore.jks \
  -Djavax.net.ssl.keystorepassword = your_password_here \
  app.jar

Obwohl der obige Befehl ausgeführt werden kann, wird das KeystorePassword direkt der Befehlszeile ausgesetzt. Sobald andere ps aux verwenden, k?nnen sie es sehen, was sehr gef?hrlich ist.

Grunds?tzlich ist das. Java-Sicherheitsverst?rkung ist keine einmalige Aufgabe, sondern ein Prozess, der eine kontinuierliche überwachung und Aktualisierungen erfordert. Einige Einstellungen m?gen einfach erscheinen, aber wenn sie nicht fertig sind, k?nnen sie zu Angriffsportalen werden.

Das obige ist der detaillierte Inhalt vonJava Security H?rtung für Produktionsumgebungen. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!