WebLogic Web服务器安全配置风险评估检查表

1、WebLogicWeb服务器安全配置基线1= TOC o 1-5 h z HYPERLINK l bookmark28 o Current Document 第1章概述1 HYPERLINK l bookmark31 o Current Document 目的1适用范围1 HYPERLINK l bookmark34 o Current Document 适用版本1 HYPERLINK l bookmark37 o Current Document 第2章账号管理、认证授权2 HYPERLINK l bookmark40 o Current Document 账号2 HYPERLINK l b

2、ookmark43 o Current Document 账号锁定策略2口令2密码复杂度2 HYPERLINK l bookmark50 o Current Document 第3章日志配置操作4日志配置4审核登录4 HYPERLINK l bookmark57 o Current Document 第4章IP协议安全配置5 HYPERLINK l bookmark60 o Current Document IP 协议5 HYPERLINK l bookmark63 o Current Document 支持加密协议5 HYPERLINK l bookmark66 o Current Docu

3、ment 限制应用服务器Socket数量5 HYPERLINK l bookmark69 o Current Document 禁用 Send Server Header 6 HYPERLINK l bookmark72 o Current Document 第5章设备其他配置操作7安全管理7定时登出7 HYPERLINK l bookmark79 o Current Document 更改默认端口 7 HYPERLINK l bookmark82 o Current Document 错误页面处理8 HYPERLINK l bookmark85 o Current Document 目录歹U

4、表访问限制8第1章概述1.1目的本文档规定了 WebLogic Web服务器应当遵循的安全性设置标准，本文档旨在指导系统 管理人员进行WebLogic Web服务器的安全配置。1.2适用范本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。1.3适用版本6.x、7.x、8.x 版本的 WebLogic Web服务器。现在最新的weblogic服务器时9.1，此文件不适用与最新的服务器第2章账号管理、认证授权2.1 账号2.1.1账号锁定策略安全基线项 目名称WebLogic账号锁定安全基线要求项安全基线编 号SBL-WebLogic-02-01-01安全基线项 说明要求设定帐

5、号锁定次数和时间检测操作步 骤1、参考配置操作查看以管理员身份登录控制台点击左侧面板”Security”文件夹，展开” REALM” 点击右侧面板中的User Lock”标签，查看 Lockout Enabled，LockoutThreshold， Lockout Duration 等基线符合性 判定依据1、判定条件要求 Lockout Enabled=true;Lockout Threshold=5;Lockout Duration=30备注2.2 口令2.2.1密码复杂度安全基线项 目名称WebLogic密码复杂度安全基线要求项安全基线编 号SBL-WebLogic-02-01-01安全基

6、线项 说明对于米用静态口令认证技术的设备，口令长度至少8位。检测操作步 骤1、参考配置操作查看 WebLogic安装目录下的perties配置文件2、补充操作说明口令要求：长度至少8位。基线符合性 判定依据1、判定条件weblogic.system.minPasswordLen=8备注第3章日志配置操作3.1 日志配置3.1.1审核登录安全基线项 目名称WebLogic审核登录安全基线要求项安全基线编 号SBL-WebLogic-03-01-01安全基线项 说明设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的 账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。

7、检测操作步 骤1、参考配置操作查看 WebLogic安装目录下的perties配置文件基线符合性 判定依据1、判定条件weblogic.system.enableReverseDNSLookups=true备注第4章IP协议安全配置4.1 IP协议4.1.1支持加密协议安全基线项 目名称WebLogic支持加密协议安全基线要求项安全基线编 号SBL-WebLogic-04-01-01安全基线项 说明对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密 协议。检测操作步 骤1、参考配置操作查看 WebLogic安装目录下的perties配置文件基线符合性 判定依据1、判定条件w

8、eblogic.system.SSLListenPort=portNumber weblogic.security.certificate.server=mycert.der weblogic.security.key.server=mykey.der weblogic.security.certificate.authority= CA.der weblogic.security.certificateCacheSize= 5weblogic.security.clientRootCA= anyValidCertificate weblogic.httpd.register.authenti

9、cated=weblogic.t3.srvr.ClientAuthenticationServletweblogic.httpd.register.T3AdminCaptureRootCA=admin.T3Admi nCaptureRootCA备注4.1.2限制应用服务器Socket数量安全基线项 目名称WebLogic限制应用服务器Socket数量安全基线要求项安全基线编 号SBL-WebLogic-04-01-02安全基线项 说明Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击，超出操作系统 文件描述符限制检测操作步 骤1、参考配置操作以管理员身份登录管理控制台点击左侧面板的域

10、名文件夹，然后点击Servers文件夹，双击要管理的服 务器在右侧面板的“Configuration”面板下选择“Tuning”标签，查看Maximum Open Sockets 值基线符合性 判定依据1、判定条件要求 Maximum Open Sockets 不大于 254。备注4.1.3 禁用 Send Server Header安全基线项 目名称WebLogic禁用Send Server Header安全基线要求项安全基线编 号SBL-WebLogic-04-01-03安全基线项 说明Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击，超出操作系统 文件描述符限制检测操作步 骤

11、1、参考配置操作以管理员身份登录管理控制台点击域名下的Servers文件夹，选择要管理的服务器在右侧面板Protocols”面板下，点击HTTP标签检查是否勾选Send Server header基线符合性 判定依据1、判定条件要求禁止 Send Server header备注第5章设备其他配置操作5.1 安全管理5.1.1定时登出安全基线项 目名称WebLogic定时登出安全基线要求项安全基线编 号SBL-WebLogic-05-01-01安全基线项 说明对于具备字符交互界面的设备，应支持定时账户自动登出。登出后用户需再 次登录才能进入系统。检测操作步 骤1、参考配置操作查看 WebLogi

12、c安装目录下的perties配置文件基线符合性 判定依据1、判定条件weblogic.login.readTimeoutMillis = integerweblogic.login.readTimeoutMillisSSL= integer备注5.1.2更改默认端口安全基线项 目名称WebLogic运行端口安全基线要求项安全基线编 号SBL-WebLogic-05-01-02安全基线项 说明更改WebLogic服务器默认端口检测操作步 骤1、参考配置操作查看 WebLogic安装目录下的perties配置文件基线符合性 判定依据1、判定条件weblogic.system.listenPort=integer备注5.1.3错误页面处理安全基线项 目名称WebLogic错误页面处理安全基线要求项安全基线编 号SBL-WebLogic-05-01-03安全基线项 说明WebLogic错误页面重定向检测操作步 骤1、参考配置操作查看/WEB-INF/web.xml:基线符合性 判定依据1、判定条件要求包含如下片段：+J * +J error.catic