JBOSS服务器安全配置基线
JBOSS服务器安全配置基线
JBOSS服务器安全配置基线
版本 V2.0 创建 版本控制信息 更新日期 2012年4月 更新人 审批人 备注：
1. 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
JBOSS服务器安全配置基线
目 录
第1章 概述 ......................................................................................................................................... 1 1.1 1.2 1.3 1.4 1.5
目的 ......................................................................................................................................... 1 适用范围 ................................................................................................................................. 1 适用版本 ................................................................................................................................. 1 实施 ......................................................................................................................................... 1 例外条款 ................................................................................................................................. 1
第2章 帐号管理、认证授权 ............................................................................................................. 1 2.1
帐号 ......................................................................................................................................... 1
2.1.1 jmx-console 登录的用户名和密码管理 ............................................................................ 1 2.1.2 web-console 登录的用户名和密码管理 ........................................................................... 2 2.2
口令 ......................................................................................................................................... 3
密码复杂度 ..................................................................................................................... 3
2.2.2 密码生存期* ................................................................................................................... 5 2.3 授权 ......................................................................................................................................... 5 2.3.1 用户权利指派* ............................................................................................................... 5
第3章 日志配置操作 ......................................................................................................................... 7 3.1
日志配置 ................................................................................................................................. 7
2.2.1
3.1.1 第4章 4.1
审核登录 ......................................................................................................................... 7
IP协议安全配置 ................................................................................................................ 8
IP协议 ..................................................................................................................................... 8
4.1.1 支持加密协议 ................................................................................................................. 8
第5章 设备其他配置操作 ............................................................................................................... 10 5.1
安全管理 ............................................................................................................................... 10
5.1.1 5.1.2 5.1.3 5.1.4 定时登出 ....................................................................................................................... 10
更改默认端口* ............................................................................................................. 10 错误页面处理 ............................................................................................................... 11 目录列表访问限制 ....................................................................................................... 12
第6章 评审与修订 ........................................................................................................................... 13
I
JBOSS服务器安全配置基线
第1章 概述
1.1 目的
本文档旨在指导系统管理人员进行Jboss服务器的安全配置。
1.2 适用范围
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
1.3 适用版本
4.x版本的Jboss服务器。
1.4 实施 1.5 例外条款
第2章 帐号管理、认证授权
2.1 帐号
jmx-console 登录的用户名和密码管理
安全基线项目名称 安全基线编号 jmx-console 登录的用户名和密码管理 SBL-Jboss-02-01-01 中国移动通信有限公司 第 1 页 共 16 页
JBOSS服务器安全配置基线
安全基线项说明 检测操作步骤 默认情况访问 http://ip:port/jmx-console 需要输入用户名和密码。设置用户名密码限制帐号,提高安全性。 1、参考配置操作 （1）修改Jboss目录下 ${jboss}/server/${server}/deploy/jmx-console.war/WEB-INF/jboss-web.xml，去掉 web-console 登录的用户名和密码管理 安全基线项目名称 安全基线编号 web-console 登录的用户名和密码管理安全基线要求项 SBL-Jboss-02-01-02 中国移动通信有限公司 第 2 页 共 16 页 JBOSS服务器安全配置基线 安全基线项说明 检测操作步骤 不需要输入用户名和密码存在安全隐患。设置用户名密码限制帐号。 1、参考配置操作 修改Jboss目录下 ${jboss}/server/${server}/deploy/management/console-mgr.sar/web-console.war/WEB-INF下jboss-web.xml文件，去掉 2.2 口令 密码复杂度 安全基线项目名称 安全基线编号 安全基线项说明 Jboss密码复杂度安全基线要求项 SBL-Jboss-02-02-01 对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口中国移动通信有限公司 第 3 页 共 16 页 JBOSS服务器安全配置基线 令。密码应至少每90天进行更换。 检测操作步骤 1、参考配置操作 1. 在${jboss}/server/${server}/deploy/oracle-ds.xml配置文件中设置oracle密码机密 中国移动通信有限公司 第 4 页 共 16 页 JBOSS服务器安全配置基线 密码生存期* 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 基线符合性判定依据 Jboss密码生存期安全基线要求项 SBL-Jboss-02-02-02 对于采用静态口令认证技术的设备，应支持按天配置口令生存期功能，帐号口令的生存期不长于90天。 1、参考配置操作 定期对管理Jbosss Web、JMX 服务器的帐号口令进行修改，间隔不长于90天。 1、判定条件 90天后使用原帐号口令进行登陆尝试，登录不成功； 2、检测操作 使用超过90天的帐号口令进行登录尝试； 根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。适用于4.x、5.x、6.x所有版本。 备注 2.3 授权 用户权利指派* 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss用户权利指派安全基线要求项 SBL-Jboss-02-03-01 在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 1、参考配置操作 编辑/server/default/config/login-config.xml配置文件，修改用户角色权限 JBOSS服务器安全配置基线 中国移动通信有限公司 第 6 页 共 16 页 JBOSS服务器安全配置基线 第3章 日志配置操作 3.1 日志配置 审核登录 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss审核登录安全基线要求项 SBL-Jboss-03-01-01 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的帐号，登录是否成功，登录时间，使用的IP地址。 1、参考配置操作 编辑${jboss}/server/${server}/conf/ log4j.xml配置文件， JBOSS服务器安全配置基线 %p 输出优先级，即 FATAL ,ERROR 等 %r 输出从启动到显示该log信息所耗费的毫秒数 %t 输出产生该日志事件的线程名 基线符合性判定依据 1、判定条件 查看logs目录中相关日志文件内容，记录完整 2、检测操作 查看server.log中相关日志记录 3、补充说明 备注 第4章 IP协议安全配置 4.1 IP协议 支持加密协议 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss支持加密协议安全基线要求项 SBL-Jboss-04-01-01 对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。 1、参考配置操作 (1)使用JDK自带的keytool工具生成一个证书 JAVA_HOME/bin/keytool -genkey –alias tomcat –keyalg RSA -keystore /path/to/my/keystore (2)修改${jboss}/server/${server}/deploy/jbossweb-tomcat55.sar/conf/server.xml配置文件，更改为使用https方式，增加如下行： Connector classname=”org.apache.catalina.http.HttpConnector” port=”8443” minProcessors=”5” maxprocessors=”100” enableLookups=”true” acceptCount=”10” debug=”0” scheme=”https” secure=”true” > Factory classname=”org.apache.catalina.SSLServerSocketFactory” clientAuth=”false” keystoreFile=”/path/to/my/keystore” keystorePass=”runway” protocol=”TLS”/> /Connector> 其中keystorePass的值为生成keystore时输入的密码 (3)重新启动Jboss服务 第 8 页 共 16 页 中国移动通信有限公司 JBOSS服务器安全配置基线 基线符合性1、判定条件 判定依据 使用https方式登陆Jboss服务器页面，登陆成功 2、检测操作 使用https方式登陆Jboss服务器管理页面 备注 中国移动通信有限公司 第 9 页 共 16 页 JBOSS服务器安全配置基线 第5章 设备其他配置操作 5.1 安全管理 定时登出 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss定时登出安全基线要求项 SBL-Jboss-05-01-01 对于具备字符交互界面的设备，应支持定时账户自动登出。登出后用户需再次登录才能进入系统。 1、参考配置操作 编辑${jboss}/server/${server}/deploy/jbossweb-tomat55.sar/server.xml配置文件，修改为2000秒 更改默认端口* 安全基线项目名称 安全基线编号 安全基线项Jboss运行端口安全基线要求项 SBL-Jboss-05-01-02 更改tomcat服务器默认端口 第 10 页 共 16 页 中国移动通信有限公司 JBOSS服务器安全配置基线 说明 检测操作步骤 1、参考配置操作 （1）修改${jboss}/server/${server}/deploy/jbossweb-tomat55.sar/server.xml配置文件，更改默认管理端口到8100 错误页面处理 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss错误页面安全基线要求项 SBL-Jboss-05-01-03 Jboss错误页面重定向 1、 参考配置操作(1)查${jboss}/server/${server}deploy/jbossweb-tomcat55.sar/conf文件: JBOSS服务器安全配置基线 基线符合性判定依据 备注 1、 判定条件 目录列表访问限制 安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 Jboss目录列表安全基线要求项 SBL-Jboss-05-01-04 禁止Jboss列表显示文件 1、参考配置操作 (1) 编辑deploy/jbossweb-tomcat55.sar/conf 配置文件， 中国移动通信有限公司 第 12 页 共 16 页 第6章 评审与修订 中国移动通信有限公司 JBOSS服务器安全配置基线 第 13 页 共 16 页 因篇幅问题不能全部显示，请点此查看更多更全内容