TomcatWeb服务器安全配置基线.docx
- 文档编号:17891258
- 上传时间:2023-08-04
- 格式:DOCX
- 页数:14
- 大小:23.05KB
TomcatWeb服务器安全配置基线.docx
《TomcatWeb服务器安全配置基线.docx》由会员分享,可在线阅读,更多相关《TomcatWeb服务器安全配置基线.docx(14页珍藏版)》请在冰点文库上搜索。
TomcatWeb服务器安全配置基线
TomcatWeb服务器安全配置基线
中国移动通信有限公司管理信息系统部
2012年04月
版本
版本控制信息
更新日期
更新人
审批人
V1.0
创建
2009年1月
V2.0
更新
2012年4月
备注:
1.若此文档需要日后更新,请创建人填写版本控制表格,否则删除版本控制表格。
2.
第1章概述
第2章
2.1目的
2.2
本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的TomcatWEB服务器应当遵循的安全性设置标准,本文档旨在指导系统管理人员进行TomcatWEB服务器的安全配置。
2.3适用范围
2.4
本配置标准的使用者包括:
服务器系统管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括:
支持中国移动集团公司管理信息系统部运行的TomcatWeb服务器系统。
2.5适用版本
2.6
4.x、5.x、6.x版本的TomcatWeb服务器。
2.7实施
2.8
本标准的解释权和修改权属于中国移动集团管理信息系统部,在本标准的执行过程中若有任何疑问或建议,应及时反馈。
本标准发布之日起生效。
2.9例外条款
2.10
欲申请本标准的例外条款,申请人必须准备书面申请文件,说明业务需求和原因,送交中国移动通信有限公司管理信息系统部进行审批备案。
第3章帐号管理、认证授权
第4章
4.1帐号
4.2
4.2.1共享帐号管理*
安全基线项目名称
Tomcat共享帐号管理安全基线要求项
安全基线编号
SBL-Tomcat-02-01-01
安全基线项说明
应按照用户分配帐号。
避免不同用户间共享帐号。
避免用户帐号和设备间通信使用的帐号共享。
检测操作步骤
1、参考配置操作
修改tomcat/conf/tomcat-users.xml配置文件,修改或添加帐号。
234”roles=”admin”> 2、补充操作说明 1、根据不同用户,取不同的名称。 2、Tomcat4.1.37、5.5.27和6.0.18这三个版本及以后发行的版本默认都不存在admin.xml配置文件。 基线符合性判定依据 1、判定条件 各帐号都可以登录TomcatWeb服务器为正常 2、检测操作 访问http: //ip: 8080/manager/html管理页面,进行Tomcat服务器管理 备注 手工检查 无关帐号管理* 安全基线项目名称 Tomcat无关帐号管理安全基线要求项 安全基线编号 SBL-Tomcat-02-01-02 安全基线项说明 应删除或锁定与设备运行、维护等工作无关的帐号。 检测操作步骤 1、参考配置操作 修改tomcat/conf/tomcat-users.xml配置文件,删除与工作无关的帐号。 例如tomcat1与运行、维护等工作无关,删除帐号: 基线符合性判定依据 1、判定条件 被删除的与工作无关的帐号tomcat1不能正常登陆。 2、检测操作 访问http: //ip: 8080/manager/html管理页面,使用删除帐号进行登陆尝试。 备注 手工检查 4.3口令 4.4 密码复杂度 安全基线项目名称 Tomcat密码复杂度安全基线要求项 安全基线编号 SBL-Tomcat-02-02-01 安全基线项说明 对于采用静态口令认证技术的设备,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号四类中至少两类。 且5次以内不得设置相同的口令。 检测操作步骤 1、参考配置操作 在tomcat/conf/tomcat-user.xml配置文件中设置密码 234”roles=”admin”> 2、补充操作说明 口令要求: 口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号四类中至少两类。 且5次以内不得设置相同的口令。 基线符合性判定依据 1、判定条件 检查tomcat/conf/tomcat-user.xml配置文件中的帐号口令是否符合移动通过配置口令复杂度要求。 2、检测操作 (1)人工检查配置文件中帐号口令是否符合; (2)使用tomcat弱口令扫描工具定期对TomcatWeb服务器进行远程扫描,检查是否存在弱口令帐号。 3、补充说明 对于使用弱口令扫描工具进行检查时应注意扫描的线程数等方面,避免对服务器造成不必要的资源消耗;选择在服务器负荷较低的时间段进行扫描检查。 备注 密码生存期 安全基线项目名称 Tomcat密码生存期安全基线要求项 安全基线编号 SBL-Tomcat-02-02-02 安全基线项说明 对于采用静态口令认证技术的设备,应支持按天配置口令生存期功能,帐号口令的生存期不长于90天。 检测操作步骤 1、参考配置操作 定期对管理TomcatWeb服务器的帐号口令进行修改,间隔不长于90天。 基线符合性判定依据 1、判定条件 90天后使用原帐号口令进行登陆尝试,登录不成功; 2、检测操作 使用超过90天的帐号口令进行登录尝试; 备注 4.5授权 4.6 用户权利指派* 安全基线项目名称 Tomcat用户权利指派安全基线要求项 安全基线编号 SBL-Tomcat-02-03-01 安全基线项说明 在设备权限配置能力内,根据用户的业务需要,配置其所需的最小权限。 检测操作步骤 1、参考配置操作 编辑tomcat/conf/tomcat-user.xml配置文件,修改用户角色权限 授权tomcat具有远程管理权限: roles=”admin,manager”> 2、补充操作说明 1、Tomcat4.x和5.x版本用户角色分为: role1,tomcat,admin,manager四种。 role1: 具有读权限; tomcat: 具有读和运行权限; admin: 具有读、运行和写权限; manager: 具有远程管理权限。 Tomcat6.0.18版本只有admin和manager两种用户角色,且admin用户具有manager管理权限。 2、Tomcat4.1.37和5.5.27版本及以后发行的版本默认除admin用户外其他用户都不具有manager管理权限。 基线符合性判定依据 1、判定条件 登陆远程管理页面,使用tomcat帐号进行登陆,登陆成功。 2、检测操作 登陆http: //ip: 8080/manager/html页面,使用tomcat帐号登陆,进行远程管理。 备注 根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。 第5章日志配置操作 第6章 6.1日志配置 6.2 审核登录 安全基线项目名称 Tomcat审核登录安全基线要求项 安全基线编号 SBL-Tomcat-03-01-01 安全基线项说明 设备应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的帐号,登录是否成功,登录时间,以及远程登录时,用户使用的IP地址。 检测操作步骤 1、参考配置操作 编辑server.xml配置文件,在 将以下内容的注释标记 ---->取消 Directory=”logs”prefix=”localhost_access_log.”Suffix=”.txt” Pattern=”common”resloveHosts=”false”/> 2、补充操作说明 classname: ThisMUSTbesetto org.apache.catalina.valves.AccessLogValvetousethedefaultaccesslogvalve.&<60 Directory: 日志文件放置的目录,在tomcat下面有个logs文件夹,那里面是专门放置日志文件的,也可以修改为其他路径; Prefix: 这个是日志文件的名称前缀,日志名称为localhost_access_log.2008-10-22.txt,前面的前缀就是这个localhost_access_log Suffix: 文件后缀名 Pattern: common方式时,将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中 resolveHosts: 值为true时,tomcat会将这个服务器IP地址通过DNS转换为主机名,如果是false,就直接写服务器IP地址 基线符合性判定依据 1、判定条件 查看logs目录中相关日志文件内容,记录完整 2、检测操作 查看localhost_access_log.2008-10-22.log中相关日志记录 3、补充说明 备注 第7章IP协议安全配置 第8章 8.1IP协议 8.2 支持加密协议* 安全基线项目名称 Tomcat支持加密协议安全基线要求项 安全基线编号 SBL-Tomcat-04-01-01 安全基线项说明 对于通过HTTP协议进行远程维护的设备,设备应支持使用HTTPS等加密协议。 检测操作步骤 1、参考配置操作 (1)使用JDK自带的keytool工具生成一个证书 JAVA_HOME/bin/keytool-genkey–aliastomcat–keyalgRSA -keystore/path/to/my/keystore (2)修改tomcat/conf/server.xml配置文件,更改为使用https方式,增加如下行: Connectorclassname=”org.apache.catalina.http.HttpConnector” port=”8443”minProcessors=”5”maxprocessors=”100” enableLookups=”true”acceptCount=”10”debug=”0” scheme=”https”secure=”true”> Factoryclassname=”org.apache.catalina.SSLServerSocketFactory” clientAuth=”false” keystoreFile=”/path/to/my/keystore”keystorePass=”runway” protocol=”TLS”/> /Connector> 其中keystorePass的值为生成keystore时输入的密码 (3)重新启动tomcat服务 基线符合性判定依据 1、判定条件 使用https方式登陆tomcat服务器页面,登陆成功 2、检测操作 使用https方式登陆tomcat服务器管理页面 备注 根据应用场景的不同,如部署场景需开启此功能,则强制要求此项。 第9章设备其他配置操作 第10章 10.1安全管理 10.2 定时登出 安全基线项目名称 Tomcat定时登出安全基线要求项 安全基线编号 SBL-Tomcat-05-01-01 安全基线项说明 对于具备字符交互界面的设备,应支持定时账户自动登出。 登出后用户需再次登录才能进入系统。 检测操作步骤 1、参考配置操作 编辑tomcat/conf/server.xml配置文件,修改为300秒 port="8080"maxHttpHeaderSize="8192"maxThreads="150" minSpareThreads="25"maxSpareThreads="75"、 enableLookups="false"redirectPort="8443"acceptCount="100" connectionTimeout="300"disableUploadTimeout="true"/> 2、补充操作说明 基线符合性判定依据 1、判定条件 300秒自动登出。 2、检测操作 登陆tomcat默认页面http: //ip: 8080/manager/html,使用管理帐号登陆 3、补充说明 备注 错误页面处理 安全基线项目名称 Tomcat错误页面安全基线要求项 安全基线编号 SBL-Tomcat-05-01-02 安全基线项说明 Tomcat错误页面重定向 检测操作步骤 1、参考配置操作 (1)查看tomcat/conf/web.xml文件: …………… 基线符合性判定依据 1、判定条件 2、 要求包含如下片段: 备注 目录列表访问限制 安全基线项目名称 Tomcat目录列表安全基线要求项 安全基线编号 SBL-Tomcat-05-01-03 安全基线项说明 禁止tomcat列表显示文件 检测操作步骤 1、参考配置操作 (1)编辑tomcat/conf/web.xml配置文件, 把true改成false (2)重新启动tomcat服务 基线符合性判定依据 1、判定条件 当WEB目录中没有默认首页如index.html,index.jsp等文件时,不会列出目录内容 2、检测操作 直接访问http: //ip: 8800/webadd 备注 第11章评审与修订 第12章 本标准由中国移动通信有限公司管理信息系统部定期进行审查,根据审视结果修订标准,并颁发执行。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- TomcatWeb 服务器 安全 配置 基线