Documentation sur Oracle Cloud Infrastructure

Balayer les bibliothèques Java

Le suivi avancé de l'utilisation détecte les bibliothèques associées à l'application et à l'application déployée dans le parc et fournit des informations sur les vulnérabilités de sécurité, le cas échéant. Il peut détecter l'utilisation associée aux distributions JDK et OpenJDK d'Oracle.

Les bibliothèques Java peuvent être balayées à l'aide d'un balayage dynamique ou d'un balayage statique :

Balayage dynamique :
  1. Détecte les bibliothèques chargées dynamiquement par vos applications lors de l'exécution.
  2. Permet d'identifier et de comprendre les bibliothèques Java tierces activement utilisées par vos applications.

Balayage statique :

  1. Obtient tous les fichiers JAR de la variable classpath (obtenus à partir des propriétés système). Le balayage de chemin de classe dépend du chemin d'inclusion et d'exclusion configuré dans les paramètres d'agent.
  2. Lit les fichiers manifest de chaque fichier JAR pour identifier les dépendances.
  3. Analyse les fichiers pom pour déterminer les dépendances de premier niveau.
  4. Pour les déploiements de serveurs d'applications, examine toutes les dépendances au sein des packages war et ear.
Note

Pour les fichiers JAR ombrés, seul le fichier pom, le cas échéant, est balayé. Comme les détails des fichiers dependent jar ne sont pas disponibles, le balayage des bibliothèques Java ne fournit pas les détails du manifeste JAR.
Une analyse de bibliothèque peut également fournir des détails sur toutes les applications associées à chaque bibliothèque, ainsi que des informations sur les vulnérabilités. Les informations sur la vulnérabilité et les notes CVSS (Common Vulnerability Scoring System) sont fournies par la base de données nationale sur les vulnérabilités. La note de base CVSS 3.0 s'affiche pour les vulnérabilités et expositions courantes (CVE) détectées. Les informations et les notes sont identifiées en mettant en correspondance les noms de la bibliothèque.
Note

  • Le balayage des bibliothèques Java n'a peut-être pas identifié toutes les dépendances de bibliothèque de l'application.
  • L'analyse n'a peut-être pas identifié toutes les vulnérabilités.
  • De nouvelles vulnérabilités peuvent affecter votre application, car les données sont actualisées chaque semaine à partir de la base de données nationale sur les vulnérabilités. Pour détecter de nouvelles vulnérabilités, nous vous recommandons d'effectuer fréquemment le balayage des bibliothèques Java.

Les résultats de l'analyse ne doivent pas être traités comme absolus. Vous devrez peut-être effectuer une analyse ou une enquête supplémentaire.

Vous pouvez lancer le balayage à l'aide d'une des méthodes suivantes :

  • Dans le panneau des détails du parc, sélectionnez Actions et sélectionnez Balayer les bibliothèques Java.
  • Dans la page de détails Instances gérées, sélectionnez Actions et sélectionnez Balayer les bibliothèques Java.
  • Dans n'importe quel onglet Instances gérées, sélectionnez les instances gérées souhaitées en cochant les cases correspondantes dans la table Instances gérées. Sélectionnez ensuite Actions et sélectionnez Balayer les bibliothèques Java.
Note

Le balayage peut entraîner une utilisation élevée d'UC et de mémoire dans les instances gérées.
Dans la section Sélectionner vos options de balayage, sélectionnez Effectuer un balayage dynamique ou Effectuer un balayage statique.
  • Pour un balayage dynamique, indiquez la période pendant laquelle détecter les applications en cours d'exécution. Vous pouvez définir cette durée en minutes ou en heures, avec un maximum de 24 heures. Par défaut, la période d'enregistrement est de 10 minutes. Cette durée détermine la durée pendant laquelle les agents surveilleront chaque application en cours d'exécution détectée.
  • Un balayage statique ne s'exécute pas sur une période donnée, mais capture un instantané des bibliothèques Java présentes dans le chemin de classe au moment du balayage. Une analyse statique peut manquer les bibliothèques qui sont chargées dynamiquement au moment de l'exécution et qui dépendent de la détection des signatures de bibliothèque bien connues, de sorte qu'elle peut ne pas identifier intentionnellement les bibliothèques obscurcies ou moins connues.
Note

  • If the Record Java Library usage setting is enabled, agents will periodically scan managed instances to automatically discover vulnerabilities in Java libraries used by applications. Dans ce cas, vous n'avez pas besoin d'exécuter manuellement l'action Scan for Java library. Pour obtenir des informations supplémentaires sur vos serveurs d'applications, vous pouvez toujours effectuer un balayage statique à la demande.
  • Le balayage dynamique ne prend en charge que les applications, tandis que le balayage statique prend en charge les applications et les serveurs d'applications.
Vous pouvez utiliser l'une des options suivantes pour soumettre la demande de travail :
  • Soumettre la demande : la demande de travail sera soumise pour traitement immédiatement.
  • Programmer pour plus tard : la demande de travail peut être programmée pour traitement à une date et une heure spécifiées. En outre, vous pouvez configurer une fréquence de récurrence, ainsi qu'une date de fin ou un nombre défini d'occurrences.

Une demande de travail est créée pour cette opération. Si vous avez programmé l'analyse pour une date et une heure ultérieures, vous pouvez voir la tâche dans l'onglet Tâches programmées.

Voir le panneau Bibliothèques Java et Informations sur la bibliothèque Java pour vérifier les résultats du balayage des bibliothèques Java.