Javaアプリケーションを生産環(huán)境に展開(kāi)する場(chǎng)合、セキュリティ強(qiáng)化は5つの重要なポイントから開(kāi)始する必要があります。1。ランタイムアクセス許可を制限し、サービスを開(kāi)始するためにサービスを開(kāi)始し、ルート許可の亂用を避け、セキュリティマネージャー（狀況に応じて）を構(gòu)成し、コンテナ化された展開(kāi)中のファイルシステムの許可を制限し、春のブートモードを無(wú)効にし、敏感なエンドポイントです。 2。依存関係ライブラリを更新し、安全でないプロトコルを無(wú)効にし、サードパーティの依存関係の脆弱性を定期的にスキャンし、SSLV3およびTLS 1.1以下を無(wú)効にし、TLS 1.2を強(qiáng)制し、HTTPSおよびフォワードの機(jī)密性アルゴリズムを有効にします。 3.ログとエラーメッセージを慎重に処理し、機(jī)密データの記録を避け、統(tǒng)一された方法で一般的なエラーコードを返し、スタック情報(bào)の露出を無(wú)効にします。 4. JVMパラメーターとスタートストップスクリプトを最適化し、System.gc（）を無(wú)効にし、環(huán)境変數(shù)または暗號(hào)化された構(gòu)成から機(jī)密情報(bào)を読み取り、コマンドラインのハードコーディングパスワードを回避します。 5.環(huán)境の変化により、セキュリティ対策が有効であることを確認(rèn)するために、構(gòu)成を継続的に監(jiān)視および更新します。

Javaアプリケーションを生産環(huán)境に展開(kāi)する場(chǎng)合、セキュリティ強(qiáng)化は無(wú)視できない重要な部分です。多くの問(wèn)題は、コード自體の脆弱性のためではなく、不適切な構(gòu)成、許可管理の緩和、またはライブラリへの依存のリスクのためです。いくつかの重要なポイントから始めて、実際の操作で注意を払うべき安全対策について話しましょう。

ランタイムアクセス許可を制限します

Javaアプリケーションは、特にrootまたは管理者アカウントでサービスを開(kāi)始する場(chǎng)合、デフォルトでは比較的緩いアクセス許可の下で実行されます。ここでは、最小許可の原則が非常に重要です。

• 非公式のユーザーと一緒にJavaプロセスを?qū)g行し、rootを直接使用しないでください
• SecurityManagerを構(gòu)成します（新しいバージョンでは非推奨ですが、一部のシナリオはまだ価値があります）
• コンテナ化された展開(kāi)については、読み取り専用ファイルシステムを使用するか、マウントパスを制限します
• Spring Bootなどのフレームワークを使用している場(chǎng)合は、デバッグモードや敏感なエンドポイントが有効になっていないことを確認(rèn)してください（ /actuatorなど）

たとえば、Spring Bootの/actuator/envインターフェイスが外部ネットワークにさらされ、認(rèn)証されていない場(chǎng)合、攻撃者はそれを介して機(jī)密情報(bào)を取得したり、リモートコードの実行をトリガーしたりすることさえあります。

依存関係を更新し、安全でないプロトコルを無(wú)効にします

Javaプロジェクトは、脆弱性を知っている可能性のある多數(shù)のサードパーティライブラリに依存していることがよくあります。さらに、SSL/TLS構(gòu)成はしばしば無(wú)視されます。

• OWASP依存関係チェック、SNYK、Sonatype Nexusなどのツールを使用して、依存関係を定期的にスキャンします
• 最新の安定したバージョン、特にlog4J、ジャクソン、アパッチコモンズなどの一般的に使用されるライブラリにアップグレードします
• SSLV3、TLS 1.0、TLS 1.1、Force TLS 1.2以降などの古いプロトコルを無(wú)効にします
• HTTPプレーンテキストトランスミッションを避け、HTTPSを強(qiáng)制します
• 適切な暗號(hào)化スイートをセットアップし、フォワード秘密アルゴリズムに優(yōu)先順位を付けます

アプリケーションがまだJDK 8を使用している場(chǎng)合は、特にOracleとOpenJDKのセキュリティアップデート、特に時(shí)間內(nèi)にパッチを當(dāng)ててください。

ログやエラーを処理するときは注意してください

Log Leaks機(jī)密情報(bào)は一般的ですが、見(jiàn)過(guò)ごされがちな問(wèn)題です。エラーページは、スタック情報(bào)を公開(kāi)し、攻撃者に手がかりを提供する場(chǎng)合があります。

• ログ內(nèi)のパスワード、トークン、キーなどの機(jī)密データの記録は避けてください
• クレジットカード番號(hào)の交換など、ログ脫感作メカニズムを使用します****
• 特にWebアプリケーションで、エラーページに詳細(xì)な例外情報(bào)を表示しないでください
• 外部インターフェイスは、特定のエラー説明ではなく、一般的なエラーコードを返します。

たとえば、REST APIエラーがjava.lang.NullPointerException at com.example.service.UserService.getUserById(UserService.java:45)返す場(chǎng)合、攻撃者に何がうまくいかなかったかを伝えることに相當(dāng)します。

JVMパラメーターとスタートストップスクリプトの最適化

多くの人がシェルスクリプトを直接書(shū)き、展開(kāi)時(shí)にJavaアプリケーションを開(kāi)始し、パラメーターを入力します。実際、ここで強(qiáng)化できることはたくさんあります。

• スタートアップパラメータープラス-Djava.security.manager （狀況によって異なります）、およびポリシーファイル制御許可と協(xié)力します
• -XX: DisableExplicitGCを使用してsystem.gc（）を無(wú)効にしてパフォーマンスジッターを防ぐ
• スタートアップスクリプトのハードコードアカウントパスワードはありません。環(huán)境変數(shù)または暗號(hào)化された構(gòu)成から読み取る必要があります。
• PSの視聴プロセスでは簡(jiǎn)単に見(jiàn)ることができるので、コマンドラインでキーストアのパスワードを殺さないでください。

例えば：

 Java -Jar \
  -duser.timezone = gmt 8 \
  -xx：useg1gc \
  -xx：disableexplicitgc \
  -djavax.net.ssl.keystore =/path/to/keystore.jks \
  -djavax.net.ssl.keystorepassword = your_password_hore \
  app.jar

上記のコマンドは実行できますが、keystorepasswordはコマンドラインに直接さらされます。他の人がps auxを使用すると、彼らはそれを見(jiàn)ることができますが、これは非常に危険です。

基本的にそれだけです。 Javaセキュリティ補(bǔ)強(qiáng)は、一度限りのタスクではなく、継続的な監(jiān)視と更新を必要とするプロセスです。いくつかの設(shè)定は単純に見(jiàn)えるかもしれませんが、完了しないと、攻撃ポータルになる可能性があります。

以上が生産環(huán)境のJavaセキュリティ硬化の詳細(xì)內(nèi)容です。詳細(xì)については、PHP 中國(guó)語(yǔ) Web サイトの他の関連記事を參照してください。