[发明专利]一种面向容器管理平台的JAR漏洞检测方法、系统、储存介质以及计算机

说明书

本发明涉及计算机技术领域，具体涉及一种面向容器管理平台的JAR漏洞检测方法、系统、储存介质以及计算机，所述方法包括编译打包JAVA服务、构建镜像、监听容器创建事件、监听容器变更事件、监听容器停止事件以及定位JAR，所述定位JAR包括遍历运行时容器集合，针对每一容器ID，查看其镜像版本，由其镜像查看JAR依赖；本申请维护镜像版本与JAR依赖、运行时容器ID情况，能够实时查询当前运行所有容器JAR依赖情况，方便迅速定位每个JAR所关联的容器集合，以非侵入的模式，提供迅速、准确定位含有特定JAR的容器集合，方便在安全漏洞等场景发生时，尽快干预。

技术领域

本发明涉及计算机技术领域，具体涉及一种面向容器管理平台的JAR漏洞检测方法、系统、储存介质以及计算机。

背景技术

容器：容器是一种虚拟化技术，基于服务器资源共享与隔离机制实现，方便应用部署，利于弹性伸缩，提升运维效率。常见容器技术如Docker，以不同编程语言开发的应用都可容器化部署。

镜像：如Docker Image，镜像是容器运行的模板。镜像是构建产物，容器是运行时体现，不同的容器可加载同一个镜像。

容器管理平台：支持镜像与容器的生命周期管理。一般应用方式包括基于代码仓库构建镜像、基于镜像创建并启动容器、管理容器运行时状态。

JAR：一种软件包文件格式，用于聚合大量Java类文件。JAVA程序开发一般依赖若干开源或自主开发的JAR。

MAVEN：JAVA工程管理及构建工具，用于管理JAVA工程依赖的JAR文件及版本，提供编译、打包等构建工具。

应用部署方式：常见服务器部署与容器部署，服务器部署指应用直接部署于服务器宿主的操作系统之上，可能独占资源，也可能与其他服务共享资源。容器部署指基于服务构建镜像，以容器方式加载运行。容器部署方式有利于资源共享与隔离，方便服务能力弹性扩展与运维管理。容器部署方式常见于公有云、私有云、混合云等不同PaaS平台，是云服务主要服务模式之一。

JAVA程序开发模式：JAVA服务开发广泛依赖开源JAR，常见包括Spring、Hibernate、iBatis等应用与数据库框架，log4j、logback等日志框架，redis、ElasticSearch等中间件客户端，网络、文件、字符串等处理工具等。一般而言，一个JAVA服务依赖的jar往往几十个。

JAR依赖检测：JAR依赖是树状结构，一个JAVA服务依赖多个一级JAR，每个一级JAR又依赖多个二级JAR，不同一级JAR可依赖相同的二级JAR，一级JAR包也可作为其他一级JAR包的依赖，MAVEN为避免对同一JAR引入不同版本提供解决方案。

依赖检测有多重应用场景，如静态检查，用于检查JAR冲突版本引入问题。本申请讨论面向容器管理平台的JAR依赖检测方法，强调运行时检查，主要用于漏洞检测等场景。2021年12月log4j漏洞爆发影响了整个JAVA生态系统，据统计，MavenCentral(https://view.inews.qq.com/a/20211221A03X7N00)超过8％的软件至少有一个版本受漏洞影响。容器化作为当前最流行的部署方式，提供一种方法检测当前容器平台上服务是否有漏洞尤为必要。

现有技术中通过以下方案检测当前容器上服务是否有JAR漏洞：

方案一：多数公司有内部Maven仓库，可维护本公司已有的JAVA服务版本。可根据每个JAVA服务历史版本排查依赖情况。

方案二：利用网络安全或漏洞检测工具，设置漏洞攻击方式，针对容器平台上所有服务检查。

但是现有技术中存在缺点如下：

方案一：Maven仓库未记录当前所有服务的运行版本，历史版本漏洞并不影响实际服务运行。如管理规范或实际执行不标准，线上运行服务可能并未在Maven仓库中发布。