Java-Sicherheitsanalyse mit 100- bis 1000-fach höherer Genauigkeit als bisher Das Erkennen bekannter Schwachstellen auf Ebene einzelner Java-Klassen

Anbieter zum Thema

Azul Systems , Inc.

Schneider Electric GmbH

Fsas Technologies GmbH

EPS Rechenzentrum Infrastruktur GmbH

„Azul Intelligence Cloud“ erkennt bekannte Schwachstellen auf Ebene einzelner Java-Klassen, eliminiert bis zu 99 Prozent der Fehlalarme und steigert somit die Effizienz und Kapazität von DevOps-Teams, so der Anbieter.

Azul stellt mit der Funktion „Azul Vulnerability Detection“ eine Erweiterung seiner Plattform „Azul Intelligence Cloud“ vor. Damit ist es möglich, Sicherheitslücken in Java-Anwendungen mit einem neuen Level an Präzision zu erkennen. Herkömmliche Tools für Application Security (AppSec) oder Application Performance Monitoring (APM) identifizieren Schwachstellen auf Basis von Dateinamen oder SBOM-Daten (SBOM = Software Bill of Materials), was häufig zu einer Flut an Fehlalarmen führt. Im Gegensatz dazu arbeitet Azul Vulnerability Detection mit produktiven Laufzeitdaten auf Klassenebene. So werden ausschließlich tatsächlich genutzte Codepfade analysiert, wodurch sich laut Azul die Zahl der Fehlalarme im Vergleich zu anderen Produkten um den Faktor 100 bis 1.000 reduziert.

Präzision statt Alarmflut

Viele Unternehmen kämpfen mit einer Flut an Sicherheitswarnungen im Zusammenhang mit Java. Laut dem „Azul 2025 State of Java Survey & Report“ geben 33 Prozent der befragten Organisationen an, dass mehr als die Hälfte der Zeit ihrer DevOps-Teams durch das Nachverfolgen von Fehlalarmen zu Java-bezogenen Schwachstellen (Common Vulnerabilities and Exposures, CVEs) verloren geht.

Das liegt unter anderem daran, dass herkömmliche AppSec-Tools CVEs in Drittanbieter-Komponenten melden, die in Java-Anwendungen eingebettet sind – unabhängig davon, ob diese Komponenten in der Produktion tatsächlich genutzt werden oder lediglich vorhanden sind. Dieser relativ undifferenzierte Ansatz überlastet Teams mit irrelevanten Warnungen, erschwert die Priorisierung und mindert die Produktivität.

Java-Komponenten wie „Log4j“ bestehen aus JAR-Dateien (Java ARchives), die wiederum zahlreiche Klassen enthalten. Es ist daher durchaus möglich, dass eine als verwundbar markierte Komponente zwar vorhanden oder sogar genutzt wird, aber der tatsächlich gefährdete Code innerhalb einer bestimmten Klasse nie ausgeführt wird – und damit gar kein echtes Risiko für die Anwendung darstellt.

Fehlalarme sinken um bis zu 99 Prozent

Um Kapazitäten im DevOps-Team zurückzugewinnen und die Produktivität zu steigern, braucht es laut Azul eine Lösung, die auf Klassenebene erkennt, welcher Code in der Produktion tatsächlich verwendet wird. So lassen sich Sicherheits-Patches gezielt auf wirklich risikobehaftete Komponenten konzentrieren und unnötige Fehlalarme vermeiden.

Die Azul Intelligence Cloud sei eine cloud-basierte Analyseplattform, die produktive Java-Laufzeitdaten in verwertbare Erkenntnisse umwandele und so die Produktivität von Entwicklerteams signifikant steigere. Dazu identifiziert und priorisiert die Funktion Vulnerability Detection bekannte Sicherheitslücken in Java-Anwendungen im laufenden Betrieb.

Grundlage ist eine kuratierte Wissensdatenbank, die CVEs auf tatsächlich zur Laufzeit genutzte Klassen abbildet. So lassen sich verwundbare Komponenten laut Azual gezielt priorisieren und beheben sowie bis zu 99 Prozent der Fehlalarme vermeiden, was die Effizienz in DevOps-Teams deutlich erhöht.

Ein Beispiel dazu

Ein aktuelles Beispiel ist die als „kritisch“ eingestufte Sicherheitslücke „CVE-2024-1597“ in 42.x-Versionen des „PostgreSQL“-Java-Treibers „pgjdbc“. Die Schwachstelle ermöglicht potenziell SQL-Injection-Angriffe und erreicht einen CVSS-Score von 9,8 von 10. Sie tritt jedoch nur unter spezifischen, nicht standardmäßigen Nutzungsszenarien auf.

Klassische AppSec-Tools schlagen dennoch Alarm, sobald die betroffene Komponente vorhanden ist, selbst wenn sie gar nicht oder nur im sicheren Standardmodus verwendet wird. Das führt zu unnötigen Warnungen und bindet Entwicklerressourcen für nicht relevante Code-Passagen.

Azul Vulnerability Detection hingegen analysiert zur Laufzeit, ob eine oder mehrere der 11 durch die CVE betroffenen Java-Klassen – von insgesamt 470 Klassen in der Komponente – tatsächlich produktiv genutzt werden. Diese präzise Analyse reduziert die Fehlalarme.

Das sagt der Analyst

William Fellows, Research Director bei 451 Research, einem Unternehmen von S&P Global Market Intelligence, kommentiert die Azul-Erweiterung: „Die erweiterten Funktionen von Vulnerability Detection stärken das Leistungsprofil der SaaS-Analyseplattform Intelligence Cloud von Azul: Sie helfen dabei, die Produktivität von DevOps-Teams zu steigern und Entwicklerkapazitäten zurückzugewinnen, indem der Aufwand für Fehlalarme und ineffizientes Triage-Management deutlich reduziert wird.“

Letztlich ergeben sich folgende Vorteile:

Triage-Management neuer Schwachstellen: Die Software ermöglicht eine kontinuierliche, echtzeitbasierte Erkennung von Sicherheitslücken in produktiven Java-Anwendungen. DevOps-Teams können dadurch kritische Schwachstellen schneller identifizieren, priorisieren und beheben – insbesondere bei sicherheitsrelevanten Vorfällen mit hoher Tragweite wie Log4j. Das reduziert den Aufwand für Fehlalarme deutlich, minimiert operative Störungen und schafft Freiräume für strategisch wichtigere Aufgaben.

Echtzeit- und rückblickende Analyse, unterstützt durch KI: Azul Vulnerability Detection speichert die Nutzungsverläufe von Komponenten und Code und ermöglicht so eine gezielte forensische Analyse. Sicherheitsverantwortliche können dadurch etwa prüfen, ob eine Schwachstelle bereits ausgenutzt wurde, bevor sie überhaupt bekannt war.

Die Software spürt also kontinuierlich bekannte Sicherheitslücken auf und dokumentiert, welcher Code in der Produktion tatsächlich verwendet wird. So lassen sich begrenzte personelle Ressourcen effizienter einsetzen.
Dabei kommt auch Künstliche Intelligenz zum Einsatz: Das Vulnerability-Team von Azul nutzt KI-gestützte Verfahren, um Java-spezifische CVEs aus der National Vulnerability Database (NVD) und anderen Quellen schnell zu identifizieren und die Wissensdatenbank von Azul Vulnerability Detection laufend mit neuen Bedrohungen zu aktualisieren.

Produktions-Monitoring für „Oracle JDK“ und alle „OpenJDK“-basierten JVMs: Azul Vulnerability Detection nutzt Laufzeitdaten aus der Produktion – unabhängig davon, ob Anwendungen auf dem Oracle JDK oder einer OpenJDK-basierten JVM betrieben werden. Unterstützt werden alle gängigen Distributionen, darunter Azul, „Amazon Corretto“, „Eclipse Temurin“, Microsoft, Red Hat und viele weitere. Auch das trägt zur Effizienzsteigerung in DevOps-Teams bei.

Keine Performance-Einbußen im laufenden Betrieb: Die Azul-Software greift auf bestehende Java-Laufzeitdaten innerhalb der JVM zu, ohne die Anwendung selbst zu beeinflussen. Dadurch entstehen keinerlei Performance-Verluste – ein entscheidender Vorteil gegenüber anderen Tools, die teils tief in die Ausführung eingreifen müssen.

(ID:50448082)