JVMXRay: Monitoramento de Segurança de Aplicações Java

História do Duke

Documentação | Alterações em relação ao Upstream | Blog do Projeto

O JVMXRay monitora aplicações Java em tempo real por meio de injeção de bytecode, detectando vulnerabilidades e atividades suspeitas sem alterações no código. 19 sensores modulares rastreiam acesso a arquivos, conexões de rede, consultas SQL, operações criptográficas, autenticação, execução de processos e muito mais — gerando eventos de segurança estruturados e legíveis por máquina, com correlação automática entre sensores.

Início Rápido

git clone https://github.com/spoofzu/jvmxray.git
cd jvmxray
mvn clean install

Durante a fase de teste do Maven, um pequeno programa chamado Turtle é executado sob o agente JVMXRay recém-construído. O Turtle realiza operações de E/S de arquivo, criptografia, execução de processos, serialização, reflexão e outras atividades que disparam os sensores — portanto, uma compilação bem-sucedida já fornece logs reais de eventos de segurança para explorar em ./target/test-jvmxray/. Um banco de dados SQLite também é criado em ./target/test-jvmxray/common/data/jvmxray-test.db para experimentação rápida. Consulte a documentação para mais detalhes.

Implante como um agente Java em suas próprias aplicações:

java -javaagent:target/jvmxray-0.0.1-agent.jar -jar yourapp.jar

Benefícios

• Nenhuma alteração no código — Anexa-se a qualquer aplicação Java na inicialização, como um depurador. Sem modificações no código fonte, sem recompilação, sem dependências de bibliotecas a adicionar.
• Eventos estruturados prontos para IA — Os sensores geram eventos de segurança legíveis por máquina, não linhas de log não estruturadas. Use suas ferramentas de IA para analisar o comportamento da aplicação como você faz com seus logs de aplicação.
• Adapta-se à sua infraestrutura de logging — Os eventos são mensagens de log do Logback. Encaminhe-os para Splunk, ELK, DataDog, Kafka ou qualquer destino suportado pelo ecossistema Logback.
• Reconstrução de cadeia de ataque — Eventos correlacionados com trace_id e scope_chain permitem que equipes de SOC rastreiem um incidente desde a requisição HTTP passando por injeção SQL até a exfiltração de dados em uma única consulta.
• Sobrecarga ajustável — Propriedades padrão de nível de log do Logback controlam quais sensores disparam e com qual verbosidade. Ative ou desative sensores por ambiente sem recompilar.

Tenha em mente que o JVMXRay é uma fonte da verdade sobre o que uma aplicação Java está fazendo, não um mecanismo de análise. A análise é fornecida pela sua solução centralizada de logging e/ou seus projetos de ferramentas de IA.

Sensores

Correlação de Eventos

Cada evento de sensor inclui campos de correlação para reconstruir cadeias de ataque:

Uma cadeia de escopo como HTTP>Serialization>Reflection>Process é uma assinatura de ataque de desserialização à primeira vista. A coluna TRACE_ID é indexada no banco de dados para consultas rápidas de correlação.

Arquitetura

java -javaagent:jvmxray-agent.jar -jar app.jar
         |
    AgentBootstrap (classloader isolado)
         |
    ByteBuddy instala interceptadores de sensores
         |
    Sensores disparam na entrada/saída de métodos
         |
    LogProxy mescla contexto de correlação MCC
         |
    +----------+----------+----------+
    | SQLite   | File     | Socket   |
    | Appender | Appender | Appender |
    +----------+----------+----------+

• Java 17, ByteBuddy 1.14.17 para injeção de bytecode
• Logback + SLF4J para logging empresarial (compatível com Splunk, ELK, DataDog)
• Multi-banco: SQLite (dev), MySQL, Cassandra (produção)
• MCC (Mapped Correlation Context): rastreamento de escopo thread-local com limpeza TTL

Documentação

• Referência do Agente — Configuração de sensores, campos de eventos, esquema do banco de dados
• Componentes Comuns — Configuração e utilitários do banco de dados
• Changelog — Alterações detalhadas das versões
• Arquivo de Notícias — Histórico do projeto

Agradecimentos

Este projeto foi desenvolvido utilizando ideias, arquitetura e, em alguns casos, código dos seguintes:

• Claude Code CLI pela Anthropic, Anthropic
• Arquitetura de byte-code baseada em parte em ideias da Terse Systems, Terse Systems
• Framework de logging Logback pela QOS.ch Sarl Suíça, QOS.ch
• Apache Software Foundation, Apache Software Foundation

Contribuidor(es)

Milton Smith — Criador do projeto, líder

Divulgação: JVMXRay não é aprovado, endossado nem afiliado à Oracle Corporation.