二进制供应链安全平台Binarly Transparency Platform 3.5发布，新增对Java归档文件与JVM字节码的深度支持

Binarly发布了Binarly Transparency Platform 3.5版本，新增Java生态系统支持、企业级YARA集成及运维升级功能。

通过此次更新，Binarly的加密算法识别引擎现已支持Java归档文件（JAR）和JVM字节码，可扫描Docker容器或固件中的独立文件及嵌入式文件。这意味着组织无需访问源代码，即可清晰掌握其Java产品所依赖的加密原语。

该新引擎基于代码属性图（CPG）分析，通过跨函数数据流追踪消除误报，并将所有发现映射至NIST IR 8457分类，助力衡量后量子密码学（PQC）就绪状态。目前支持的库包括Bouncy Castle、Apache Commons、Google Tink和Guava，Android包分析功能将于今年晚些时候推出。

平台更新还深度集成了行业标准的YARA签名检测技术，可覆盖大规模软件和固件组合。

传统上，跨团队和供应商维护YARA规则时，常面临语法漂移、规则膨胀和执行不一致等问题。Binarly通过以下功能消除这些痛点：

1. 交互式YARA Playground：支持规则开发（YARA及Binarly自研的FwHunt）。
2. 受治理的规则管理器：提供基于角色的细粒度访问控制。
3. 实时Rust-based YARA-X引擎：在部署前验证规则有效性。

最终形成单一治理管道，使产品安全事件响应团队（PSIRT）、第三方风险管理（TPRM）团队和采购部门能够在企业范围内推动一致的检测和基于证据的决策。

“Java支持和企业级YARA集成解决了产品安全中两个最棘手的盲点。大多数团队难以了解Java堆栈的真实内容，也难以在复杂环境中一致地运维YARA规则。我们率先构建了连接现有威胁情报源数据的工具，此次发布将两个世界融合，提供深度加密可见性和可扩展的威胁狩猎能力。”Binarly首席执行官兼研究主管Alex Matrosov表示。

Binarly Transparency Platform 3.5新增功能

1. 自定义规则管理：安全团队可使用YARA和FwHunt规则定义和部署检测逻辑（与Binarly内部用于漏洞和威胁检测的架构相同，支持更高级的代码驱动规则）。这架起了研究与产品安全之间的桥梁，允许针对供应商风险、硬编码密钥或策略执行进行定制化检查。
2. 组织配额：通过集中分配和跨分布式团队的可见性简化许可证管理。
3. 分诊增强：支持添加可分配状态、带Markdown支持的线程化评论及动态图表。
4. 后端升级：提升性能速度，增强Android处理能力，深化加密工件提取（从JAR到UEFI Secure Boot密钥）。

从固件到JVM字节码，Binarly Transparency Platform 3.5由安全研究专家打造，为防御者提供跨复杂软件生态系统的漏洞、加密态势和可达性统一视图。

对于采购和第三方供应商风险团队，Binarly通过支持私有威胁情报摄入、范围化规则执行和透明的证据支持风险报告，显著改进供应商评估工作流。安全团队则受益于更快的规则验证、一致的检测和简化的分诊流程，同时降低了大规模YARA项目通常带来的隐性运营成本。