BellSoft 發布 Java 加固鏡像

作者 | Mark Silvester

譯者 | 明知山

BellSoft 發布全新容器安全解決方案，旨在應對企業軟件供應鏈中日益嚴重的漏洞危機。

在 KubeCon 2025 大會上，BellSoft 發布新的“加固鏡像”產品，將 Java 運行時優化、操作系統加固與主動 CVE 修復合而為一。據官方新聞稿稱，這種一體化方案可將已知漏洞減少 95%，還將資源消耗最多壓低 30%。

容器安全仍是軟件開發團隊長期面臨的挑戰。BellSoft 引用 NetRise 的行業數據指出，一個典型的容器鏡像可能暗藏 600 多個已知漏洞。Java 工作負載面臨特定風險，公告稱，目前近半數 Java 服務包含已知可被利用的漏洞，而 Go 及其他語言的漏洞比率相對較低。此次發布的鏡像試圖通過將安全控制直接嵌入容器生命周期來緩解這些風險，滿足日益增長的“左移”安全策略需求。

這些鏡像的技術底座是 BellSoft 自研的輕量級發行版 Alpaquita Linux，該發行版采用了 BusyBox 與 APK，解決了開發者從標準 Linux 發行版遷移時的常見痛點——他們在與 Alpine Linux 這類僅支持 musl 的極簡環境兼容時往往會遇到許多摩擦。

為了實現加固目的，鏡像移除了包管理器和非必要組件，將其最小化，鎖定了配置。這種不可變性旨在防止攻擊者植入惡意軟件或篡改運行時環境。該方案還提供了詳細的軟件物料清單（SBOM），以協助審計和滿足合規性需求。

BellSoft 表示，在遷移至 Liberica JDK Lite（已包含在這些鏡像中）時，組織可觀察到效率有了顯著的提升。新聞稿指出，內部基準測試顯示 RAM 和磁盤空間使用減少了 30%。BellSoft 使用內部開發的補丁，而非僅依賴上游的發布，相比標準社區維護的鏡像，可為關鍵 CVE 提供更快的修復速度。

在隨附的新聞稿中，BellSoft 首席技術官 Aleksei Voitylov 表示：“加固鏡像是 BellSoft 對市場安全、高性能容器解決方案日益增長需求的回應，也是兌現了我們交付最完整、可靠 Java 體驗的承諾。我們的加固鏡像把 Java 運行時優化、主動 CVE 修復以及輕量靈活的基礎結合在一起，為組織提供了一個安全、可審計的平臺，可減少漏洞、提升性能并簡化遷移過程?！?/p>

隨著供應鏈安全成為企業優先考慮的事項，加固容器鏡像市場有了顯著的增長。BellSoft 的解決方案進入了一個由成熟廠商占據的競爭格局：Chainguard 提供了類似的基于 Wolfi OS 的低 CVE 鏡像套件，重點聚焦軟件供應鏈完整性，Docker 也提供了加固鏡像，而谷歌的“Distroless”鏡像則開創了移除 shell 和包管理器的理念。

然而，Distroless 鏡像常因去掉了 shell 而導致調試困難。BellSoft 將其方案定位為 Java 團隊更靈活的替代選擇，憑借頂級 OpenJDK 貢獻者的功底，同步優化運行時與操作系統，在 Distroless 的極儉和標準鏡像的易用性之間給出折中選擇。

BellSoft 加固鏡像現已提供三個版本。免費社區版可在 Docker Hub 上獲得，為加固的 Liberica 運行時容器；標準版與高級版可支持更多的語言，包括 GraalVM、Go 與 Python，并附帶關鍵 CVE 修復的 SLA 與技術支持。

查看英文原文：

https://www.infoq.com/news/2025/12/bellsoft-hardened-images/

聲明：本文為 InfoQ 翻譯，未經許可禁止轉載。