Documentazione di Oracle Cloud Infrastructure

Cerca librerie Java

Il tracciamento dell'uso avanzato rileva le librerie associate sia all'applicazione che all'applicazione distribuita nella flotta e fornisce eventuali informazioni sulle vulnerabilità della sicurezza. Può rilevare l'uso associato sia alle distribuzioni Oracle JDK che a quelle OpenJDK.

È possibile eseguire la scansione delle librerie Java utilizzando una scansione dinamica o una scansione statica:

Scansione dinamica:
  1. Rileva le librerie caricate dinamicamente dalle applicazioni in fase di esecuzione.
  2. Consente di identificare e comprendere le librerie Java di terze parti utilizzate attivamente dalle applicazioni.

Esame statico:

  1. Recupera tutti i file jar dal classpath (ottenuto dalle proprietà di sistema). La scansione del classpath dipende dal percorso di inclusione ed esclusione configurato nelle impostazioni dell'agente.
  2. Legge i file manifest di ogni file JAR per identificare le dipendenze.
  3. Analizza i file pom per determinare le dipendenze di primo livello.
  4. Per le distribuzioni di application server, esamina tutte le dipendenze all'interno dei pacchetti war e ear.
Nota

Per i file jar ombreggiati, viene eseguita la scansione solo dell'eventuale file pom. Poiché i dettagli sui file dependent jar non sono disponibili, la scansione delle librerie Java non fornisce i dettagli del file manifesto JAR.
Una scansione della libreria può inoltre fornire i dettagli di tutte le applicazioni associate a ciascuna libreria, insieme alle informazioni sulle vulnerabilità. Le informazioni sulle vulnerabilità e i punteggi del Common Vulnerability Scoring System (CVSS) sono forniti dal National Vulnerability Database. Il punteggio base CVSS 3.0 viene visualizzato per le vulnerabilità ed esposizioni comuni rilevate (CVE, Common Vulnerabilities and Exposures). Le informazioni e i punteggi vengono identificati facendo corrispondere i nomi della libreria.
Nota

  • La scansione delle librerie Java potrebbe non aver identificato tutte le dipendenze della libreria dell'applicazione.
  • L'analisi potrebbe non aver identificato tutte le vulnerabilità.
  • Potrebbero esserci nuove vulnerabilità che influiscono sulla tua applicazione poiché i dati vengono aggiornati settimanalmente dal National Vulnerability Database. Per rilevare nuove vulnerabilità, si consiglia di eseguire frequentemente la scansione delle librerie Java.

I risultati dell'analisi non devono essere considerati assoluti. Potrebbe essere necessario eseguire ulteriori analisi o indagini.

È possibile avviare la scansione utilizzando uno dei metodi seguenti:

  • Nel pannello dei dettagli della flotta selezionare Azioni e scegliere Esegui scansione per librerie Java.
  • Nella pagina dei dettagli Istanze gestite selezionare Azioni e scegliere Esegui scansione per librerie Java.
  • In una qualsiasi scheda Istanze gestite selezionare le istanze gestite desiderate selezionando le caselle corrispondenti nella tabella Istanze gestite. Selezionare quindi Azioni e scegliere Esegui scansione per librerie Java.
Nota

La scansione potrebbe causare un elevato utilizzo della CPU e della memoria nelle istanze gestite.
Nella sezione Selezionare le opzioni di scansione selezionare Esegui scansione dinamica o Esegui scansione statica.
  • Per una scansione dinamica, specificare il periodo durante il quale rilevare le applicazioni in esecuzione. È possibile impostare questa durata in minuti o ore, al massimo 24 ore. Per impostazione predefinita, il periodo di registrazione è di 10 minuti. Questa durata determina per quanto tempo gli agenti monitoreranno ogni applicazione in esecuzione rilevata.
  • Una scansione statica non viene eseguita per un periodo di tempo, ma acquisisce invece uno snapshot delle librerie Java presenti nel classpath al momento della scansione. A un'analisi statica potrebbero mancare librerie caricate dinamicamente in fase di esecuzione e che si basano sul rilevamento di firme di librerie note, pertanto potrebbe non identificare librerie offuscate intenzionalmente o meno note.
Nota

  • Se l'impostazione Uso della libreria Java di record è abilitata, gli agenti eseguiranno periodicamente la scansione delle istanze gestite per individuare automaticamente le vulnerabilità nelle librerie Java utilizzate dalle applicazioni. In questo caso, non è necessario eseguire manualmente l'azione Scansione libreria Java. Per ottenere ulteriori informazioni sugli application server, è comunque possibile eseguire una scansione statica su richiesta.
  • La scansione dinamica supporta solo le applicazioni, mentre la scansione statica supporta sia le applicazioni che gli application server.
Per sottomettere la richiesta di lavoro è possibile utilizzare una delle opzioni riportate di seguito.
  • Sottometti richiesta: la richiesta di lavoro verrà sottomessa per l'elaborazione immediatamente.
  • Schedulazione successiva: la richiesta di lavoro può essere schedulata per l'elaborazione in una data e ora specificate. Inoltre, è possibile configurare una frequenza di ricorrenza, insieme a una data di fine o a un numero definito di ricorrenze.

Per questa operazione viene creata una richiesta di lavoro. Se l'analisi è stata pianificata per una data e un'ora successive, è possibile visualizzare il task nella scheda Task pianificati.

Per esaminare i risultati della scansione delle librerie Java, vedere il pannello Librerie Java e Informazioni sulla libreria Java.