Tomcat中间件安全基线配置与操作指南

冷不防 2023-10-06 19:52 135阅读 0赞

## 1、账号管理 ##

### 1.1、共享账号管理 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 共享帐号管理安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-001 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 应按照用户分配帐号，避免不同用户间共享帐号。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 修改 tomcat/conf/tomcat-users.xml 配置文件，修改或添加 帐号。如: &lt;user username=”tomcat”password=”tomcat@1234” roles=”admin”&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 查看用户帐号登录情况 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 1.2、无关账号管理 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 无关帐号管理安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-002 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 应删除或锁定与系统运行、维护等工作无关的帐号 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 修改 tomcat/conf/tomcat-users.xml 配置文件，删除与工作无关的帐号。 例如 tomcat1 与运行、维护等工作无关，删除帐号： &lt;user username=”tomcat1” password=”tomcat” roles=”admin”&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 访问 http://ip:8080/manager/html 管理页面，使用删除帐号进行登录尝试。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 2、口令管理 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 口令管理安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-003 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 对于采用静态口令认证技术的设备，口令长度至少 8 位，并包括数字、小写字母、大写字母和特殊符号四类中至少三类。且 5 次以内不得设置相同的口令。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 在 tomcat/conf/tomcat-user.xml 配置文件中设置密码为复杂密码， &lt;user username=”tomcat”password=”Tomcat!234”roles=”admin”&gt; 在tomcat/conf/server.xml配置文件中为shutdown设置复杂密码 &lt;Server port="8005" shutdown="复杂密码"&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 检查 tomcat-user.xml 配置文件中的帐号口令设置，用弱口令扫描工具检测。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 3、日志配置 ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 日志配置-审核记录策略安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-004 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的 IP 地址等内容 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 编辑 server.xml 配置文件，在&lt;HOST&gt; 标签中增加记录日志功 能 将以下内容的注释标记&lt; ! -- -- &gt; 取消 &lt;Valve className="org.apache.catalina.valves.AccessLogValve" directory="logs" &nbsp;&nbsp;prefix="localhost_access_log" suffix=".txt" &nbsp;&nbsp;pattern="%h %l %u %t "%r" %s %b" /&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 查看 logs 目录中相关日志文件内容，应记录完整。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 4、访问控制 ##

### 4.1、定时登出 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 定时登出安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-005 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 应设置用户定时自动登出,登出后需再次登录才能进入系统。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 编辑 tomcat/conf/server.xml 配置文件，连接超时修改为 300 秒 &lt;Connector port="8080" protocol="HTTP/1.1" &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;connectionTimeout="300" &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;redirectPort="8443" /&gt; </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 用户登录后到时间是否自动登出。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.2、目录列表访问控制 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 目录列表安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-006 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 禁止 Tomcat 列表显示文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> (1)编辑 tomcat/conf/web.xml 配置文件， &lt;init-param&gt; &lt;param-name&gt;listings&lt;/param-name&gt; &lt;param-value&gt;true&lt;/param-value&gt; &lt;/init-param&gt; 把 true 改成 false &nbsp; (2)重新启动 Tomcat 服务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 当 WEB 目录中没有默认首页如index.html,index.jsp 等文件 时，不会列出目录内容 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.3、禁用危险http方法 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:295.55pt;"> Tomcat 禁用危险 HTTP 安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:295.55pt;"> tomcat-007 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 禁用 PUT、DELETE 等危险的 HTTP 方法 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:295.55pt;"> （1）修改文件$TOMCAT_HOME/conf/web.xml，配置 org.apache.catalina.servlets.DefaultServlet 的值，内容如 下： &lt;init-param&gt; &lt;param-name&gt;readonly&lt;/param-name&gt; &lt;param-value&gt;false&lt;/param-value&gt; &lt;/init-param&gt; readonly 参数默认是 true，即允许 delete 和 put 操作，修改 为 false。 (2)重新启动 Tomcat 服务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:295.55pt;"> 检查配置文件 web.xml 是否设置正确。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:104.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:295.55pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.4、禁止显示异常调试信息 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:333.7pt;"> Tomcat禁止显示异常调试信息安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:333.7pt;"> tomcat-008 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 当请求处理期间发生运行时错误时，ApacheTomcat将向请求者显示调试信息，存在安全隐患 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:333.7pt;"> （1）修改文件$TOMCAT_HOME/conf/web.xml在web-app下添加子节点，配置 &lt;error-page&gt; &lt;exception-type&gt;java.lang.Throwable&lt;/exception-type&gt; &lt;location&gt;/error.jsp&lt;/location&gt; &lt;/error-page&gt;&nbsp; 在webapps目录下创建error.jsp，定义自定义错误信息 (2)重新启动 Tomcat 服务。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 检查配置文件 web.xml 是否设置正确。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:333.7pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.5、禁止自动部署 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Tomcat禁止自动部署安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> tomcat-009 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 配置自动部署，容易被部署恶意或未经测试的应用程序，应将其禁用 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 修改Tomcat 根目录下的配置文件conf/server.xml，将host节点的autoDeploy属性设置为“false”， &lt;Host name="localhost" &nbsp;appBase="webapps" &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;unpackWARs="true" autoDeploy="false"&gt; 如果host的deployOnStartup属性(如没有deployOnStartup配置可以忽略)为“true”，则也将其更改为“false” </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 检查配置文件 web.xml 是否设置正确。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.6、**Tomcat 目录权限检测** ###

### 4.7、Tomcat运行进程权限检测 ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Tomcat运行进程权限检测安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> tomcat-011 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 在运行Internet服务时，最好尽可能避免使用root用户运行，降低攻击者拿到服务器控制权限的机会 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 新增tomcat用户 useradd tomcat --将tomcat目录owner改为tomcat chown -R tomcat:tomcat /opt/tomcat -- 停止原来的tomcat服务 --切换到tomcat用户 su - tomcat --重新启动tomcat /opt/tomcat/bin/startup.sh </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> ps -ef | grep tomcat查看运行tomcat的用户 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

### 4.8、**错误页面处理** ###

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Tomcat错误页面安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:324.95pt;"> tomcat-012 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:324.95pt;"> Tomcat 访问错误页面重定向，防止泄露敏感信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:324.95pt;"> (1)查看 tomcat/conf/web.xml 文件，新增或修改如下配置: &lt;error-page&gt; &lt;error-code&gt;404&lt;/error-code&gt; &lt;location&gt;/错误页面&lt;/location&gt; &lt;/error-page&gt; ...... &lt;error-page&gt; &lt;exception-type&gt;java.lang.NullPointerException&lt;/except ion-type&gt; &lt;location&gt;/error.jsp&lt;/location&gt; &lt;/error-page&gt; (2)重新启动 Tomcat 服务 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:324.95pt;"> 在地址栏输入一个不存在的页面，验证是否已指向错误页面 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:101.15pt;"> 备注 </td> 
 <td style="vertical-align:top;width:324.95pt;"> </td> 
 </tr> 
 </tbody> 
</table>

## 5、删除无关文件和目录 ##

## 6、**设置连接数** ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项目名称 </td> 
 <td style="vertical-align:top;width:333.7pt;"> Tomcat连接数设置安全基线要求项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线编号 </td> 
 <td style="vertical-align:top;width:333.7pt;"> tomcat-014 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 安全基线项说明 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 设置连接数，防止恶意攻击 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 设置操作步骤 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 编辑/tomcat/conf/server.xml文件，样例如下： &lt;Connector &nbsp; port="8080" &nbsp;minSpareThreads="25" ……/&gt; minSpareThreads="25" //表示即使没有人使用也开这么多空线程等待 根据实际情况设置连接数 编辑server.xml文件，样例如下： &lt;Connector &nbsp; port="8080" maxThreads="150"……/&gt; maxThreads="150" &nbsp;//表示最多同时处理150个连接 根据实际情况配置连接数 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 基线符合性判定依据 </td> 
 <td style="vertical-align:top;width:333.7pt;"> 检查配置文件 server.xml 是否设置正确。 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:92.4pt;"> 备注 </td> 
 <td style="vertical-align:top;width:333.7pt;"> </td> 
 </tr> 
 </tbody> 
</table>