Security Center:Java アプリケーションのアプリケーション保護を有効にする

手動アクセス タブの [ホスト接続ガイド] サブタブで、Point-and-click Push をクリックします。

RASP プローブのプッシュ ダイアログボックスで、エージェントをプッシュするサーバーを選択し、[OK] をクリックします。

アプリケーションの実行環境に基づいて、アプリケーションサーバーに JVM パラメーターを追加します。コンソールの指示または次の表を参照できます。

次の表の操作を実行する際には、{appId} をコンソールの ホストのアクセスガイド タブに表示されるアプリケーション ID に置き換える必要があります。次の図は、アプリケーション ID の場所を示しています。

export CATALINA_OPTS="$CATALINA_OPTS -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar"

set CATALINA_OPTS=%CATALINA_OPTS% "-javaagent:C:\Program Files (x86)\Alibaba\Aegis\rasp\apps\{appId}\rasp.jar"

--exec -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

java -jar app.jar

java -javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar -jar app.jar

-javaagent:/usr/local/aegis/rasp/apps/{appId}/rasp.jar

接続されたアプリケーションをローカルで再起動します。

アプリケーションが再起動すると、保護がアクティブになります。アプリケーションの設定 ページで、アプリケーショングループに接続されているインスタンスのリストを表示できます。

手動アクセス タブの [コンテナーの追加] サブタブで、Point-and-click Push をクリックします。

レコードのプッシュ タブに移動し、RASP プローブのプッシュ をクリックして、アプリケーションが存在するホストまたはコンテナーに RASP エージェントをプッシュしてインストールすることもできます。

RASP プローブのプッシュ ダイアログボックスで、エージェントをプッシュするサーバーを選択し、[OK] をクリックします。

RASP エージェントを起動します。

• 方法 1: Dockerfile に書き込む

  1. 次のコマンドを実行して Dockerfile ディレクトリに移動し、rasp ディレクトリを作成します。

     cd <Dockerfile_Directory>
     mkdir rasp

  2. 次のコマンドを実行して、サーバーにプッシュされた RASP ファイルを新しく作成した rasp ディレクトリにコピーします。

     Security Center コンソールの [コンテナーの追加] タブからアプリケーショングループ ID を取得できます。

     cp -r /usr/local/aegis/rasp/apps/<Application_Group_ID>/* ./rasp

  3. Dockerfile を変更して、rasp インストールパッケージをコンテナーイメージにパッケージ化します。Dockerfile に次の内容を追加します。

     COPY rasp /rasp/

     重要

     アプリケーションを実行するユーザーが /rasp/ ディレクトリとその内容に対する読み取りおよび実行権限を持っていることを確認してください。

  4. Dockerfile の JVM 起動パラメーターを変更し、-javaagent:/rasp/rasp.jar を追加します。

     以下の表の {manager.key} を、[コンテナーの追加] タブに表示される Dmanager.key の値に置き換える必要があります。

     実行環境	パラメーター構成
     SpringBoot	イメージのビルド時に RASP エージェントをインストールするには、Dockerfile の起動パラメーターを変更します。変更後の起動コマンドは次のとおりです。 変更前: CMD ["java","-jar","/app.jar"] 変更後: CMD ["java","-javaagent:/rasp/rasp.jar","-Dmanager.key={manager.key}","-jar","/app.jar"]
     Tomcat Weblogic	イメージのビルド時に RASP エージェントをインストールするには、Dockerfile に次の内容を追加します。 ENV JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" コンテナーの起動時に RASP エージェントをインストールするには、起動コマンドに次のパラメーターを追加します。 docker --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" たとえば、元のコンテナー起動コマンドが docker -itd --name=test -P <Image_Name> の場合、起動時に RASP エージェントをインストールするための変更後のコマンドは docker -itd --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" --name=test -P <Image_Name> です。

  5. イメージを再ビルドし、コンテナーを起動します。

• 方法 2: データボリュームとしてマウントする

  1. コンテナーを作成する際に、次のコマンドを実行して、サーバー上の rasp ディレクトリをコンテナー内の指定されたディレクトリにマウントします。

     docker run -itd --privileged=true -v /usr/local/aegis/rasp/apps/<Application_Group_ID>:/rasp/ <Image_ID>

  2. 次のコマンドを実行してコンテナーに入ります。

     docker exec -it <Container_ID> /bin/bash

  3. アプリケーションサーバーの起動スクリプトに次の JVM パラメーターを追加して、RASP エージェントを起動します。

     ビジネス環境に基づいて次のパラメーターを構成する必要があります。{manager.key} を、[コンテナーの追加] タブに表示される Dmanager.key の値に置き換える必要があります。

     -javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}

手動アクセス タブの [コンテナーの追加] サブタブで、[RASP エージェントのダウンロードとインストール] の下のドロップダウンリストから [カスタムインストール] を選択します。

レコードのプッシュ タブに移動し、RASP プローブのプッシュ をクリックして、アプリケーションが存在するホストまたはコンテナーに RASP エージェントをプッシュしてインストールすることもできます。

ドロップダウンリストから、RASP エージェントをインストールするサーバーがプロキシ経由で Security Center に接続するかどうかに応じて、[プロキシにアクセスしない] または [自己管理プロキシクラスター] を選択します。

[自己管理プロキシクラスター] を選択した場合は、サーバーが使用するプロキシクラスターを選択する必要があります。プロキシ接続の詳細については、「プロキシを使用してエージェントを接続する」をご参照ください。

RASP インストールパッケージの横にある [ダウンロード] をクリックしてダウンロードします。

RASP エージェントを起動します。

• 方法 1: Dockerfile に書き込む

  1. 次のコマンドを実行して Dockerfile ディレクトリに移動します。

     cd <Dockerfile_Directory>

  2. ダウンロードした RASP インストールパッケージを Dockerfile ディレクトリにアップロードして展開します。

     unzip <Installation_Package_Name> -d .

     説明

     展開後、rasp という名前のディレクトリが作成されます。

  3. Dockerfile を変更して、rasp インストールパッケージをコンテナーイメージにパッケージ化します。Dockerfile に次の内容を追加します。

     COPY rasp /rasp/

     重要

     重要 アプリケーションを実行するユーザーが /rasp/ ディレクトリとその内容に対する読み取りおよび実行権限を持っていることを確認してください。

  4. Dockerfile の JVM 起動パラメーターを変更し、-javaagent:/rasp/rasp.jar を追加します。

     以下の表の {manager.key} を、[コンテナーの追加] タブに表示される Dmanager.key の値に置き換える必要があります。

     実行環境	パラメーター構成
     SpringBoot	イメージのビルド時に RASP エージェントをインストールするには、Dockerfile の起動パラメーターを変更します。変更後の起動コマンドは次のとおりです。 変更前: CMD ["java","-jar","/app.jar"] 変更後: CMD ["java","-javaagent:/rasp/rasp.jar","-Dmanager.key={manager.key}","-jar","/app.jar"]
     Tomcat Weblogic	イメージのビルド時に RASP エージェントをインストールするには、Dockerfile に次の内容を追加します。 ENV JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" コンテナーの起動時に RASP エージェントをインストールするには、起動コマンドに次のパラメーターを追加します。 docker --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" たとえば、元のコンテナー起動コマンドが docker -itd --name=test -P <Image_Name> の場合、起動時に RASP エージェントをインストールするための変更後のコマンドは docker -itd --env JAVA_OPTS="-javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}" --name=test -P <Image_Name> です。

  5. イメージを再ビルドし、コンテナーを起動します。

• 方法 2: データボリュームとしてマウントする

  1. ダウンロードした RASP インストールパッケージをサーバー上の指定されたディレクトリにアップロードして展開します。

     <user_path> を環境に適した正しいパスに置き換える必要があります。

     unzip <Installation_Package_Name> -d /<user_path>/

  2. コンテナーを作成する際に、次のコマンドを実行して、サーバー上の rasp ディレクトリをコンテナー内の指定されたディレクトリにマウントします。

     docker run -itd -v /<user_path>/rasp:/rasp/ <Image_ID>

  3. 次のコマンドを実行してコンテナーに入ります。

     docker exec -it <Container_ID> /bin/bash

  4. アプリケーションサーバーの起動スクリプトに次の JVM パラメーターを追加して、RASP エージェントを起動します。

     ビジネス環境に基づいて次のパラメーターを構成する必要があります。{manager.key} を、[コンテナーの追加] タブに表示される Dmanager.key の値に置き換える必要があります。

     -javaagent:/rasp/rasp.jar -Dmanager.key={manager.key}