JVMXRay: Sicherheitsüberwachung von Java-Anwendungen

Duke-Verlauf

Dokumentation | Änderungen gegenüber dem Upstream | Projekt-Blog

JVMXRay überwacht Java-Anwendungen in Echtzeit mittels Bytecode-Injektion und erkennt Schwachstellen und verdächtige Aktivitäten ohne Codeänderungen. 19 modulare Sensoren überwachen Dateizugriffe, Netzwerkverbindungen, SQL-Abfragen, kryptografische Operationen, Authentifizierung, Prozessausführung und mehr – und generieren strukturierte, maschinenlesbare Sicherheitsereignisse mit automatischer sensorübergreifender Korrelation.

Schnellstart

git clone https://github.com/spoofzu/jvmxray.git
cd jvmxray
mvn clean install

Während der Maven-Testphase wird ein kleines Programm namens Turtle unter dem frisch erstellten JVMXRay-Agenten ausgeführt. Turtle führt Datei-I/O, Kryptografie, Prozessausführung, Serialisierung, Reflektion und andere Aktivitäten durch, die die Sensoren auslösen – ein erfolgreicher Build liefert Ihnen also bereits echte Sicherheitsereignis-Logs zum Erkunden in ./target/test-jvmxray/. Eine SQLite-Datenbank wird ebenfalls unter ./target/test-jvmxray/common/data/jvmxray-test.db für schnelle Experimente angelegt. Siehe die Dokumentation für weitere Details.

Bereitstellung als Java-Agent in Ihren eigenen Anwendungen:

java -javaagent:target/jvmxray-0.0.1-agent.jar -jar yourapp.jar

Vorteile

• Null Code-Änderungen — Heftet sich beim Start an jede Java-Anwendung an, wie ein Debugger. Keine Quellcode-Änderungen, keine Neukompilierung, keine zusätzlichen Bibliotheksabhängigkeiten.
• KI-bereite strukturierte Ereignisse — Sensoren erzeugen maschinenlesbare Sicherheitsereignisse, keine unstrukturierten Logzeilen. Nutzen Sie Ihre KI-Werkzeuge, um das Anwendungsverhalten wie Ihre Anwendungslogs zu analysieren.
• Passt in Ihre Logging-Infrastruktur — Ereignisse sind Logback-Lognachrichten. Leiten Sie sie an Splunk, ELK, DataDog, Kafka oder jedes Ziel, das das Logback-Ökosystem unterstützt.
• Angriffsketten-Rekonstruktion — Korrelierte Ereignisse mit trace_id und scope_chain ermöglichen es SOC-Teams, einen Vorfall von der HTTP-Anfrage über die SQL-Injection bis zur Datenexfiltration in einer einzigen Abfrage zu verfolgen.
• Einstellbarer Overhead — Standard-Logback-Loglevel-Eigenschaften steuern, welche Sensoren auslösen und mit welcher Ausführlichkeit. Schalten Sie Sensoren pro Umgebung ein oder aus, ohne neu zu bauen.

Beachten Sie, dass JVMXRay eine Quelle der Wahrheit dafür ist, was eine Java-Anwendung tut, und keine Analyse-Engine. Die Analyse erfolgt durch Ihre zentrale Logging-Lösung und/oder Ihre KI-Tooling-Projekte.

Sensoren

Ereigniskorrelation

Jedes Sensorereignis enthält Korrelationsfelder zur Rekonstruktion von Angriffsketten:

Eine Scope-Kette wie HTTP>Serialization>Reflection>Process ist auf einen Blick eine Deserialisierungs-Angriffssignatur. Die Spalte TRACE_ID ist in der Datenbank für schnelle Korrelationsabfragen indiziert.

Architektur

java -javaagent:jvmxray-agent.jar -jar app.jar
         |
    AgentBootstrap (isolated classloader)
         |
    ByteBuddy installs sensor interceptors
         |
    Sensors fire on method entry/exit
         |
    LogProxy merges MCC correlation context
         |
    +----------+----------+----------+
    | SQLite   | File     | Socket   |
    | Appender | Appender | Appender |
    +----------+----------+----------+

• Java 17, ByteBuddy 1.14.17 für Bytecode-Injektion
• Logback + SLF4J für Enterprise-Logging (kompatibel mit Splunk, ELK, DataDog)
• Multi-Datenbank: SQLite (Entwicklung), MySQL, Cassandra (Produktion)
• MCC (Mapped Correlation Context): Thread-lokale Scope-Verfolgung mit TTL-Bereinigung

Dokumentation

• Agenten-Referenz — Sensorkonfiguration, Ereignisfelder, Datenbankschema
• Allgemeine Komponenten — Datenbankeinrichtung und Hilfsprogramme
• Änderungsprotokoll — Detaillierte Versionsänderungen
• Nachrichtenarchiv — Projekthistorie

Danksagungen

Dieses Projekt wurde unter Verwendung von Ideen, Architektur und in einigen Fällen Code von den folgenden entwickelt:

• Claude Code CLI by Anthropic, Anthropic
• Byte-code architecture based in part from ideas by Terse Systems, Terse Systems
• Logback logging framework by QOS.ch Sarl Switzerland, QOS.ch
• Apache Software Foundation, Apache Software Foundation

Mitwirkende

Milton Smith — Projektersteller, Leiter

Hinweis: JVMXRay wird von Oracle Corporation weder genehmigt, unterstützt noch ist es mit ihr verbunden.