7
有没有检测 docker 容器、虚拟机内 Java 程序 log4j 漏洞的工具？
source link: https://www.v2ex.com/t/821865
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
目前内部用户 Java 程序可能是跑在 k8s 环境的 docker 容器里、或者 openstack 虚拟机（ linux 和 windows 都有），有没有什么办法可以检测他们的容器、镜像和虚拟机有没有问题同时尽量避免对他们的服务产生影响？目的是想尽快发现问题并督促修复。
看 github 开源了很多工具大多是从 jndi 注入方式来探测的，但这种感觉有点 hack 了，需要了解用户服务访问地址，可能会对服务有影响，不知能否从底层基础设施比如进入容器、虚拟机或者宿主机节点检测不能，看到一些公有云在漏洞爆出来后都很快推出了关于容器、镜像和云主机的扫描检测工具。
目前我能想到的就是去用户程序里面扫描 jar ，解压查找有无 log4j ，但感觉这种很耗时、cpu 和 IO ，可能也会影响线上服务，不知道大佬们有没有更好的办法？
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK