WebLogic-Web服务器安全配置基线

中国移动通信WebLogicWeb服务器安全配置基线WebLogicWeb服务器安全配置基线WebLogicWeb服务器

安全配置基线中国移动通信有限公司管理信息系统部第1页共12页第1页共12页中国移动集团公司中国移动通信CHIMAMOBILEWebLogicWeb服务器安全配置基线版本版本控制信息更新日期更新人审批人V1.0创建2009年4月V2.0更新2012年4月备注：第2页共第2页共12页中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线TOC\o"1-5"\h\z第1章概述 4目的 4适用范围 4适用版本 4实施 4例外条款 4第2章帐号管理、认证授权 5帐号 5系统启动帐号 5帐号锁定策略 5口令 6密码复杂度 6第3章日志配置操作 7日志配置 7审核登录 7第4章IP协议安全配置 8IP协议 8支持加密协议 8限制应用服务器Soc射/数量 8禁用SendServerHeader 9第5章 设备其他配置操作 10安全管理 10定时登出 10更改默认端口 10错误页面处理 11目录列表访问限制 11第3页共12页第第3页共12页中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线第1章概述1.1目的本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的WebLogicWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebLogicWeb服务器的安全配置。1.2适用范1.2适用范本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。本配置标准适用的范围包括：支持中国移动集团公司管理信息系统部运行的WebLogicWeb服务器系统。1.3适用版本8.x9.x10,x版本的WebLogicWeb服务器。实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。本标准发布之日起生效。例外条款第4第4页共12页中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线第2章帐号管理、认证授权2.1帐号2.1.1系统启动帐号安全基线项目名称WebLogic启动帐号安全基线要求项安全基线编号SBL-WebLogic-02-01-01安全基线项说明要求限制帐号检测操作步骤1、参考配置操作查看以管理员身份登录控制台执行#ps-eflgrep-iweblogic基线符合性判定依据1、判定条件执行帐号不可以是root和nobody。备注2.1.2帐号锁定策略安全基线项目名称WebLogic帐号锁定安全基线要求项安全基线编号SBL-WebLogic-02-01-02安全基线项说明要求设定帐号锁定次数和时间，错误输入密码10次，系统自动锁定，锁定时间5分钟。检测操作步骤1、参考配置操作查看以管理员身份登录控制台.点击左侧面板"Security”文件夹，展开"REALM”.点击右侧面板中的"UserLock”标签，查看LockoutEnabled，LockoutThreshold，LockoutDuration等基线符合性判定依据1、判定条件要求LockoutEnabled=true;LockoutThreshold=10;LockoutDuration=5中国移动集团公司第5页共12页

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线备注2.2口令第6页共第6页共12页安全基线项目名称WebLogic密码复杂度安全基线要求项安全基线编号SBL-WebLogic-02-02-01安全基线项说明对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。检测操作步骤1、参考配置操作查看WebLogic安装目录下的perties配置文件2、补充操作说明口令要求：口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。基线符合性判定依据1、判定条件weblogic.system.minPasswordLen=8等备注中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线第3章日志配置操作3.1日志配置第7页共第7页共12页安全基线项目名称WebLogic审核登录安全基线要求项安全基线编号SBL-WebLogic-03-01-01安全基线项说明设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的帐号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。检测操作步骤1、参考配置操作查看WebLogic安装目录下的perties配置文件基线符合性判定依据1、判定条件开启日志，配置按日期rotateweblogic.system.enableReverseDNSLookups=true备注中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线第4章IP协议安全配置IP协议支持加密协议安全基线项目名称WebLogic支持加密协议安全基线要求项安全基线编号SBL-WebLogic-04-01-01安全基线项说明对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。检测操作步骤1、参考配置操作查看WebLogic安装目录下的perties配置文件基线符合性判定依据1、判定条件weblogic.system.SSLListenPort=portNumberweblogic.security.certificate.server=mycert.derweblogic.security.key.server=mykey.derweblogic.security.certificate.authority=C4.derweblogic.security.certificateCacheSize=5weblogic.security.clientRootCA=anyValidCertificateweblogic.httpd.register.authenticated=\weblogic.t3.srvr.ClientAuthenticationServletweblogic.httpd.register.T3AdminCaptureRootCA=admin.T3AdminCaptureRootCASSLEnabled="true"备注限制应用服务器Socket数量安全基线项目名称WebLogic限制应用服务器Socket数量安全基线要求项安全基线编号SBL-WebLogic-04-01-02安全基线项说明Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击，超出操作系统文件描述符限制检测操作步1、参考配置操作中国移动集团公司第8页共12页

中国移动通信WebLogicWeb服务器安全配置基线骤以管理员身份登录管理控制台.点击左侧面板的域名文件夹，然后点击Servers文件夹，双击要管理的服务器.在右侧面板的“Configuration”面板下选择“Tuning”标签，查看MaximumOpenSockets值基线符合性判定依据1、判定条件要求MaximumOpenSockets不大于1024。备注第9页共第9页共12页安全基线项目名称WebLogic禁用SendServerHeader安全基线要求项安全基线编号SBL-WebLogic-04-01-03安全基线项说明Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击，超出操作系统文件描述符限制检测操作步骤1、参考配置操作以管理员身份登录管理控制台.点击域名下的Servers文件夹，选择要管理的服务器.在右侧面板“Protocols”面板下，点击HTTP标签.检查是否勾选SendServerheader基线符合性判定依据1、判定条件要求禁止SendServerheader备注中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线第5章设备其他配置操作安全管理定时登出安全基线项目名称WebLogic定时登出安全基线要求项安全基线编号SBL-WebLogic-05-01-01安全基线项说明对于具备字符交互界面的设备，应支持定时帐户自动登出。登出后用户需再次登录才能进入系统。检测操作步骤1、参考配置操作查看WebLogic安装目录下的perties配置文件自动登出时间为5分钟。基线符合性判定依据1、判定条件weblogic.login.readTimeoutMillis=integerweblogic.login.readTimeoutMillisSSL=integer备注第10页共第10页共12页安全基线项目名称WebLogic运行端口安全基线要求项安全基线编号SBL-WebLogic-05-01-02安全基线项说明更改WebLogic服务器默认端口检测操作步骤1、参考配置操作查看WebLogic安装目录下的perties配置文件基线符合性判定依据1、判定条件weblogic.system.listenPort=integer备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。可能会影响系统。中国移动集团公司

中国移动通信CHINAMOBILEWebLogicWeb中国移动通信CHINAMOBILEWebLogicWeb服务器安全配置基线错误页面处理安全基线项目名称WebLogic错误页面处理安全基线要求项安全基线编号SBL-WebLogic-05-01-03安全基线项说明WebLogic错误页面重定向检测操作步骤1、参考配置操作查看<ApplicationHOME>/WEB-INF/web.xml:基线符合性判定依据1、判定条件要求包含如下片段：<etror>+J<exception-typ*</esception-typ<ocation>error. cati口口、一^error-pago+J备注第11第11页共12页安全基线项目名称WebLogic目录列表安全基线要求项安全基线编号SBL-