[發明專利]基于JVM沙箱與黑白名單的Java安全防范方法、裝置及介質在審

申請號：	202110864280.0	申請日：	2021-07-29
公開（公告）號：	CN113672907A	公開（公告）日：	2021-11-19
發明（設計）人：	陳文	申請（專利權）人：	濟南浪潮數據技術有限公司
主分類號：	G06F21/53	分類號：	G06F21/53;G06F21/57
代理公司：	濟南誠智商標專利事務所有限公司 37105	代理人：	李修杰
地址：	250000 山東省濟南市中國（山東）自由貿易***	國省代碼：	山東;37
權利要求書：	查看更多	說明書：	查看更多
摘要：
搜索關鍵詞：	基于 jvm 黑白名單 java 安全防范方法裝置介質
鉆瓜網技術展會專利詞庫專利權人專利榜在售專利公布日期熱門專利

【說明書】：

本申請涉及基于JVM沙箱與黑白名單的Java安全防范方法、裝置及介質。其中方法，包括：在JVM沙箱中自動反復啟動Java應用以根據每次啟動遇到的異常確定第一策略，將第一策略加入策略文件，直至Java應用啟動成功；根據策略文件配置白名單；通過策略管理接口根據已知存在安全漏洞的路徑配置第二策略以形成黑名單，通過黑名單限制存在安全漏洞的路徑下的API執行Java反射；按照所述白名單和所述黑名單運行Java應用、管理Java應用所能訪問的硬件和網絡資源。本申請利用白名單和黑名單的配合限定未知Java應用運行的邊界，通過黑名單來避免Java應用通過反射繞過白名單造成安全隱患，彌補現有技術中的不足，加強Java應用的安全防范。

技術領域

本申請涉及Java安全防范領域，尤其涉及基于JVM沙箱與黑白名單的Java安全防范方法、裝置及介質。

背景技術

Java是目前市場上主流的企業級應用解決方案，也是PHP等web開發語言轉型的趨勢和潮流。

Java應用由JVM虛擬機來運行，JVM自身擁有一套沙箱機制，為運行的Java應用提供隔離的環境。但是JVM的沙箱機制是基于白名單實現的，需要針對每個Java應用配置相應的白名單，不具有通用性，使用起來靈活性較差。而且由于Java語言支持反射機制，允許Java應用在執行期借助于反射接口取得任何類的內部信息，并能直接操作任意對象的內部屬性及方法。即Java應用可以通過反射機制在運行時構造任意一個類的對象，在運行時獲取任意一個類所包含的成員變量和方法，在運行時調用任意一個對象的方法和屬性，生成動態代理。也就是說反射行為是普遍預先不可知的，只有在Java應用使用過程中才能體；因此，對采用反射機制Java應用，無法預先編寫相應的白名單保證其安全運行。因此對于現有的JVM沙箱安全模式，Java應用可以通過反射繞過白名單，導致在JVM沙箱中的Java應用的安全性不能得到保障。

發明內容

為了解決上述技術問題或者至少部分地解決上述技術問題，本申請提供一種基于JVM沙箱與黑白名單的Java安全防范方法、裝置及介質。

第一方面，本申請提供一種基于JVM沙箱與黑白名單的Java安全防范方法，包括：

在JVM沙箱中自動反復啟動Java應用以根據每次啟動遇到的異常確定第一策略，將第一策略加入策略文件，直至Java應用啟動成功；

根據策略文件配置白名單；

通過策略管理接口根據已知存在安全漏洞的路徑配置第二策略以形成黑名單，通過黑名單限制存在安全漏洞的路徑下的API執行Java反射；

按照所述白名單和所述黑名單運行Java應用、管理Java應用所能訪問的硬件和網絡資源。

更進一步地，所述在JVM沙箱中自動反復啟動Java應用以根據每次啟動遇到的異常確定第一策略，將第一策略加入策略文件，直至Java應用啟動成功包括：

啟用JVM沙箱，在JVM沙箱啟動默認的安全模式；

在JVM沙箱中按策略文件啟動Java應用，Java應用遇到異常終止啟動，

根據Java應用遇到的異常獲取影響Java應用啟動的第一策略，并將第一策略加入JVM沙箱的策略文件；

判斷Java應用是否啟動成功，否則重新啟動Java應用，根據異常采集其余第一策略加入所述策略文件。