როგორ შეიძლება დავიწყებულმა ნოდმა Oracle Java წარმოებაში დააბრუნოს

კორპორატიული Java-ს მწარმოებელმა Azul-მა ოთხშაბათს Azul Intelligence Cloud AI Assistant წარადგინა - ინტერფეისი, რომელიც ბუნებრივ ენაზე დასმულ შეკითხვებს პასუხობს და აჩვენებს, სად იმალება უსაფრთხოების რისკი და ლიცენზირების დარღვევები წარმოებაში მომუშავე Java გარემოში.

Azul-ის განცხადებით, ასისტენტი ცოცხალ runtime მონაცემებს ეყრდნობა და ცვლის სტატიკურ ანგარიშებს, რომლებიც შედგენისთანავე ძველდება.

სტატიკური ანგარიშები სწრაფად ძველდება

IT და საინჟინრო გუნდების უმეტესობა Java-ს რისკებს კვლავ სტატიკური ITAM/SAM ანგარიშებითა და კოდის სკანერებით ამოწმებს. Azul-ის თქმით, ასეთი ანგარიშები შედგენის დღესაა ზუსტი, შემდეგ კი სულ უფრო მცდარი ხდება, რადგან JVM-ები მუდმივად იცვლება.

„წლების განმავლობაში საწარმოები დაფებსა და ანგარიშებს აწყობდნენ, რომ გაეგოთ, რა მუშაობს მათ Java გარემოში, თუმცა სანამ ანგარიშს გადახედავენ, აღწერილი რისკი ხშირად უკვე შეცვლილია“, - განაცხადა Azul-ის თანადამფუძნებელმა და CEO-მ სკოტ სელერსმა. „ახლა, როცა AI მოწყვლადობას კვირების ნაცვლად საათებში იარაღად აქცევს, ეს ბიზნესრისკია - უსაფრთხოების, შესაბამისობისა და აუდიტზე გამოვლენილი ლიცენზირების რისკის ჩათვლით.“

მოწყვლადობიდან ექსპლუატაციამდე დრო მცირდება

Azul მიუთითებს Anthropic-ის Mythos-სა და OpenAI-ს Aardvark-ზე, რომლებმაც რეალური მოწყვლადობები დამოუკიდებლად აღმოაჩინეს, და Cloud Security Alliance-ის თეთრ წიგნზე: პატჩებს ადრე მედიანურად 32 დღე სჭირდებოდა, 2025 წელს კი ექსპლუატაციამდე ეს დრო დაახლოებით 5 დღემდე დაეცა.

ასისტენტი LLM საუბრის ფენას ამატებს Azul Intelligence Cloud-ის ორ ცოცხალ ჩანაწერს - JVM Inventory-ს, რომელიც ყველა JVM ინსტანციას ასახავს, და Code Inventory-ს, რომელიც რეალურად მომუშავე კოდს აღრიცხავს. ინჟინრებს შეუძლიათ იკითხონ, რომელი JVM-ები არ არის უახლეს განახლებებზე, სად მუშაობს ახლა Oracle Java, ან რომელი კოდი შეიძლება უსაფრთხოდ წაიშალოს.

FAQ-ში Azul აღნიშნავს, რომ მიგრაციის შემდეგ „დრიფტი“ ხშირია: ცვლილების უკან დაბრუნება, დავიწყებული ნოდი, ჩრდილოვანი განლაგება ან მოძველებული სკრიპტი შეიძლება ჩუმად დააბრუნოს Oracle Java-ს runtime.

ბაზარზე ბევრი კონკურენტია

Azul ამ ბაზარზე მარტო არ არის: Contrast Security ყიდის JVM აგენტებსა და bytecode ინსტრუმენტაციას, Dynatrace Runtime Vulnerability Analytics-ს სთავაზობს, Fortify Application Defender-ის RASP აგენტს ყიდის, Imperva კი Java-სა და .NET-ს ფარავს.

Datadog-ის უსაფრთხოების ადვოკატირების ხელმძღვანელმა ენდრიუ კრუგმა The New Stack-თან განაცხადა, რომ დროის ერთ მომენტზე დაფუძნებული სკანირება runtime გარემოს „ყოველთვის არ ასახავს“. „Runtime კონტექსტი კრიტიკულია წარმოებაში რეალური რისკის გასაგებად“, - თქვა მან. Datadog-ის დაკვირვებით, ავტომატიზებული შეტევები ცნობილ მოწყვლადობებზე, განსაკუთრებით Java-ზე, იზრდება.

Azul-ის არგუმენტით, ტექნიკური მომსახურების ხარჯი რეალურია: გამოუყენებელი და მკვდარი კოდი მაინც ტესტირდება და ყოველ მიგრაციას გადაჰყვება, რადგან ვერავინ ადგენს, უსაფრთხოა თუ არა მისი წაშლა. რაც უფრო დიდია Java გარემო, მით უფრო დიდია რისკი.