Tomcat系统安全配置基线
第1章概述
1.1目的
本文规定了Tomcat系统应当遵循的操作安全性设置标准，本文档旨在指导Tomcat系统管理人员或安全检查人员进行Tomcat系统的安全合规性检查和配置。
1.2适用范围
本配置标准的使用者包括：服务器系统管理员、安全管理员和相关使用人员。
本配置标准适用的范围包括： Tomcat系统。
1.3适用版本
适用于Tomcat。
第2章账号管理、认证授权
2.1账号
2.1.1用户帐号设置
安全基线项目名称 | 为不同的管理员分配不同的号 |
安全基线项说明 | 应按照用户分配账号，避免不同用户间共享账号,提高安全性。 |
检测操作步骤 | 1、参考配置操作 修改tomcat/l配置文件，修改或添加帐号。 <user username=”tomcat” password=” Tomcat!234” roles=”admin”> 2、补充操作说明 tomcat虚拟主机怎么设置1、根据不同用户，取不同的名称。 2、Tomcat 4.1.37、5.5.27和6.0.18这三个版本及以后发行的版本默认都不存在l配置文件。 |
基线符合性判定依据 | 询问管理员是否安装需求分配用户号 |
备注 | |
2.1.2删除或锁定无效账号
安全基线项目名称 | 删除或锁定无效账号 |
安全基线项说明 | 删除或锁定无效的账号，减少系统安全隐患。 |
检测操作步骤 | 参考配置操作 修改tomcat/l配置文件，删除与工作无关的帐号。 例如tomcat1与运行、维护等工作无关，删除帐号： <user username=”tomcat1” password=”tomcat” roles=”admin”> |
基线符合性判定依据 | 查看配置文件 |
备注 | |
2.2认证
2.2.1密码复杂度
安全基线项目名称 | 密码复杂度 | ||
安全基线项说明 | 对于采用静态口令认证技术的设备，口令长度至少12位，包括数字、小写字母、大写字母和特殊符号4类中至少2类。 | ||
检测操作步骤 | 1、参考配置操作 在tomcat/l配置文件中设置密码 <user username=”tomcat” password=”Tomcat!234” roles=”admin”> 2、补充操作说明 口令要求：长度至少12位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。 | ||
基线符合性判定依据 | 检查配置文件
策略设置 | ||
备注 | |||
2.2.2权限最小化
安全基线项目名称 | 权限最小化 |
安全基线项说明 | 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 |
检测操作步骤 | 1、参考配置操作 编辑tomcat/l配置文件，修改用户角权限 授权tomcat具有远程管理权限： <user username=”tomcat” password=”chinamobile” roles=”admin,manager”> 2、补充操作说明 1、Tomcat 4.x和5.x版本用户角分为：role1，tomcat，admin，manager四种。 role1：具有读权限； tomcat：具有读和运行权限； admin：具有读、运行和写权限； manager：具有远程管理权限。 Tomcat 6.0.18版本只有admin和manager两种用户角，且admin用户具有manager管理权限。 2、Tomcat 4.1.37和5.5.27版本及以后发行的版本默认除admin用户外其他用户都不具有manager管理权限。 |
基线符合性判定依据 | 查看配置文件策略配置 业务测试正常 |
备注 | |
第3章日志审计
3.1日志审核
安全基线项目名称 | 启用日志记录功能 |
安全基线项说明 | 应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。 |
检测操作步骤 | 1、参考配置操作 编辑l配置文件，在<HOST>标签中增加记录日志功能 将以下内容的注释标记< ! -- -- >取消 <valve classname=”org.apache.catalina.valves.AccessLogValve” Directory=”logs” prefix=”localhost_access_log.” Suffix=”.txt” Pattern=”common” resloveHosts=”false”/> 2、补充操作说明 classname: This MUST be set to org.apache.catalina.valves.AccessLogValve to use the default access log valve. &<60 Directory:日志文件放置的目录，在tomcat下面有个logs文件夹，那里面是专门放置日志文件的，也可以修改为其他路径； Prefix: 这个是日志文件的名称前缀，日志名称为localhost_access_，前面的前缀就是这个 |
基线符合性判定依据 | 判定条件 登录测试，检查相关信息是否被记录 查看l文件 |
备注 | |
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论