2. 程式人生 > >WebLogic 安全配置要求及操作指南

WebLogic 安全配置要求及操作指南

阿新 • • 發佈：2018-05-30
安全基線第一章

範圍
適用於使用的 Weblogic 服務器。本規範提出了 Weblogic 服務器安全配置
要求，適用於所有的安全等級，可作為編制設備入網測試、安全驗收、安全檢查規範等
文檔的參考。
由於版本不同，配置操作有所不同，本規範以 unix 平臺上 Weblogic9.x 為例，給出
參考配置操作。
2 規範性引用文件
GB/T22239-2008《信息安全技術 信息系統安全等級保護基本要求》
YD/T 1736-2008《互聯網安全防護要求》
YD/T 1738-2008《增值業務網—消息網安全防護要求》
YD/T 1740-2008《增值業務網—智能網安全防護要求》
YD/T 1758-2008《非核心生產單元安全防護要求》
YD/T 1752-2008《支撐網安全防護要求》
3 縮略語

SSL Secure Sockets Layer 安全套接層
HTTP HyperText Transfer Protocol 超文本傳輸協議

4 安全配置要求
4.1 賬號
編號：1
要求內容 為不同的管理用戶分配不同的角色
參考操作

以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊 ”Users” 文件夾，修改非特權用戶為角色
    Administrators、Deployers、Monitors、Operators 之一

2 檢測方法
1、判定條件
2、檢測操作
以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊”Users”文件夾，查看用戶所屬組及組、全局角色配置

編號：2
要求內容 應刪除與設備運行、維護等工作無關的賬號
參考操作

以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊”Users”文件夾，刪除與設備運行、維護等工作無關的
    賬號
    檢測方法 1、判定條件
    沒有與設備運行、維護等工作無關的賬號

編號：3
要求內容 禁止以特權用戶身份運行 WebLogic
操作指南 1、參考配置操作
以WebLogic管理員身份登錄管理控制臺,執行：

  1. 在左面板，點擊”Machine”文件夾
  2. 在右面板，選擇“Configure a New Unix Machine link”
  3. 輸入 unix 機器名,勾選” Enable Post-bind UID field”並輸入用戶名,
    該用戶名必須對 BEA_HOME 及子目錄有完全控制權限，輸入對應組(用
    戶名和組名須事先在 OS中單獨創建),點擊”Apply”按鈕. 註意：不要使用
    默認的 nobody用戶。
  1. 選擇”Servers”標簽. 從”Available list” 移動 每個想要的服務器實例到
    “Chosen list”. 然後擊”Apply”按鈕

檢測方法 1、判定條件
以特權用戶身份啟動應用服務器， 綁定端口之後改變 UID和 GID到非特
權用戶和組
2、檢測操作
以root身份執行：

ps –ef| grep –i weblogic

以WebLogic管理員身份登錄管理控制臺,執行：

  1. 在左面板，點擊”Machine”文件夾
  2. 在右面板，查看是否配置”Unix Machine link”

編號 4：
要求內容 開啟主機名認證，設置 Hostname Verification 值為”Bea Hostname
Verifier”
參考操作
設置Hostname Verification值為”Bea Hostname Verifier”
以管理員身份登錄管理控制臺：

  1. 點擊左面板域名文件夾，然後點擊“servers”文件夾，點擊要管理的

4
服務器名

  1. 在右側面板的”configuration”面板下的”Keystore &SSL”標簽中， 點擊
    Advanced option中 “Show”項，查看Client attribute下的Hostname
    Verification值,設置為”Bea Hostname Verifier”
    檢測方法 1、判定條件
    2、檢測操作
    以管理員身份登錄管理控制臺：
  2. 點擊左面板域名文件夾，然後點擊“servers”文件夾，點擊要管理的
    服務器名
  3. 在右側面板的”configuration”面板下的”Keystore &SSL”標簽中， 點擊
    Advanced option中 “Show”項，查看Client attribute下的Hostname
    Verification值

4.2 口令
編號：1
要求內容 對於采用靜態口令認證技術的設備，口令長度至少 8 位，並包括數
字、小寫字母、大寫字母和特殊符號 4 類中至少 3 類
操作指南 以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊”Users”文件夾，設置口令長度至少 8 位，並包括數字、小寫字
    母、大寫字母和特殊符號 4 類中至少 3 類
    檢查 WebLogic 安裝目錄下的 weblogic.properties 配置文件中參數
    weblogic.system.minPasswordLen=8
    檢測方法 1、判定條件
    2、檢測操作

編號：2
要求內容 對於采用靜態口令認證技術的設備， 應配置當用戶連續認證失敗次數超
過6次（不含6次） ，鎖定該用戶使用的賬號
操作指南 1、參考配置操作
設定帳號鎖定次數和時間
以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊右側面板中的”User Lock”標簽，設定 Lockout Enabled，Lockout
    5
    Threshold 值為 5，Lockout Duration 為30（分鐘）

檢測方法 1、判定條件
2、檢測操作
以管理員身份登錄控制臺

  1. 點擊左側面板”Security”文件夾，展開”REALM”
  2. 點擊右側面板中的”User Lock”標簽，查看鎖定閾值，鎖定持續時間，
    鎖定重置持續時間
    4.3 日誌
    編號 1：
    要求內
    容
    開啟日誌功能
    參考操
    作

以管理員身份登錄管理控制臺

  1. 點擊域名，在右側面板選擇“Configuration”標簽
  2. 選擇logging標簽，設置域級日誌，勾選如下圖紅色標記部分

6

  1. 點擊域名下 servers 下的服務器名，在右側面板選擇“Logging”標簽，選擇
    Domain，勾選”Log to Domain Log file”

  2. 同上，點擊 Server標簽，配置服務器級日誌，勾選”Log to stdout”等，如
    下紅色標記項
    7

  3. 同上，點擊“HTTP”標簽，按如下紅色標記部分進行配置

8
檢測方法 1、判定條件
開啟日誌功能

編號 2：
要求內
容
配置日誌審計
參考
操作

以管理員身份登錄控制臺

  1. 點擊左側面板Security文件夾,展開provider,然後點擊Auditing文件夾

  2. 查看是否配置Auditor，如無則選擇”Configure a new Default Auditor”並設置
    審計級另為FAILURE.

  3. 點擊左側面板中域名下的服務器，在右側面板“General”標簽中設置
    Configuration Auditing為logAudit

檢測方
法
1、判定條件
配置了審計，設置審計級另為 FAILURE，Configuration Auditing 為
logAudit
2、檢測操作
以管理員身份登錄控制臺

  1. 點擊左側面板 Security文件夾,展開 provider,然後點擊 Auditing文件夾

  2. 查看是否配置 Auditor，對照如下圖的紅色標記部分配置

    9

  3. 點擊左側面板中域名下的服務器，對照如下圖的紅色標記部分配置
    4.4 Keystore 和SSL設置
    編號 1：
    要求內容 合理設置 WebLogic Keystore 和 SSL
    操作指南 創建用戶自已的私有密鑰和數字證書
    以管理員身份登錄管理控制臺：
  4. 點擊左面板域名文件夾，然後點擊“servers”文件夾，點擊要管理的
    服務器名
  5. 在右側面板的”configuration”面板下的”Keystore &SSL”標簽中，點
    擊Keystore configuration中 “Change”項，改變默認私有密鑰設置
  6. 同上點擊SSL configuration中 “Change”項，改變默認私有密鑰設置
  7. 同上點擊”Advanced option”中”Show”項，勾選” SSLRejection
    Logging Enabled”
    檢測方法 以管理員身份登錄管理控制臺：
  8. 點擊左面板域名文件夾，然後點擊“servers”文件夾，點擊要管理的
    服務器名

10

  1. 在右側面板的”configuration”面板下的”Keystore &SSL”標簽中查看
    如下圖相應紅色標記部分和藍色標記部分

4.5 Sockets最大打開數量
編號 1：
要求內容 合理設置應用服務器 Sockets 最大打開數量
操作指南 1、 參考配置操作：
11
以管理員身份登錄管理控制臺

  1. 點擊左側面板的域名文件夾，然後點擊Servers文件夾，雙
    擊要管理的服務器
  2. 在右側面板的“Configuration”面板下選擇“Tuning”標簽
  3. 設置” Maximum Open Sockets”為254 或其它用戶設定值
    備註：此項操作需開發人員在測試機修改後測試，應用正常然後
    再在生產機器上修改
    檢測方法 以管理員身份登錄管理控制臺
  4. 點擊左側面板的域名文件夾，然後點擊Servers文件夾，雙擊
    要管理的服務器
  5. 在右側面板的“Configuration”面板下選擇“Tuning”標簽，查看
    Maximum Open Sockets 值

4.6 文件和目錄權限
編號：1
要求內容 合理設置文件與目錄權限，沒有不必要的權限，也不存在不必要
的文件
參考操作

對啟動和環境腳本限制權限為710，確認BEA_HOME屬主為
weblogic用戶，對不必要的工具文件設置權限為700並改後綴名
為.predeleted
以root 身份執行以下操作：

chown –R “weblogicuser” $BEA_HOME

find $BEA_HOME/ -name *.sh |xargs chmod 710

#檢查不必要工具文件，並將限制權限為 700

tar cvf beahome.date ‘+%y%m%d‘.tar $BEA_HOME

find $WL_HOME/ -name config_builder.sh |xargs chmod 700

find $WL_HOME/ -name startWLBuilder.sh |xargs chmod 700

find $WL_HOME/ -name jcommon-0.7.0.jar |xargs chmod 700

find $WL_HOME/ -name PointBase |xargs chmod 700

find $WL_HOME/ -name medrec |xargs chmod 700

#檢查不必要工具文件，並改名為.predeleted
#mv config_builder.sh config_builder.sh.predeleted
#mv startWLBuilder.sh startWLBuilder.sh.predeleted
#mv jcommon-0.7.0.jar jcommon-0.7.0.jar.predeleted
#mv PointBase PointBase.predeleted
#mv medrec medrec .predeleted
檢測方法
以root 身份執行以下操作：

ls –alR $BEA_HOME

find $BEA_HOME/ -name *.sh |xargs ls –al

12
#查找不必要的工具文件

find $BEA_HOME/ -name config_builder.sh |xargs ls –al

find $BEA_HOME/ -name startWLBuilder.sh |xargs ls –al

find $BEA_HOME/ -name jcommon-0.7.0.jar |xargs ls –al

find $WL_HOME/ -name PointBase |xargs ls –al

find $WL_HOME/ -name medrec |xargs ls –al

4.7 WebLogic運行模式
編號：1
要求內容 更改運行模式為”Production Mode”
參考操作

以管理員身份登錄管理控制臺

  1. 點擊域名，在右側面板選中”Genaral”標簽
  2. 勾選” Production Mode”，更改運行模式為” Production
    Mode”
    檢測方法
    以root身份執行：

  3. find $BEA_HOME/ -name myserver.log | grep –i

    “Production Mode”

    find $BEA_HOME/ -name setEnv.sh | grep –i “Production

    Mode”

  4. 以管理員身份登錄管理控制臺,點擊域名，在右側面板選
    中”Genaral”標簽,查看是否勾選” Production Mode”

4.8 Sender Server Header
編號：1
要求內容 禁用 Send Server header
參考操作

以管理員身份登錄管理控制臺

  1. 點擊域名下的Servers文件夾，選擇要管理的服務器
  2. 在右側面板“Protocols”面板下，點擊HTTP標簽
  3. 去掉 Send Server header 項前面的勾,禁止 Send Server
    header
    檢測方法
    以管理員身份登錄管理控制臺
  4. 點擊域名下的Servers文件夾，選擇要管理的服務器
  5. 在右側面板“Protocols”面板下，點擊HTTP標簽
  6. 檢查是否勾選 Send Server header

4.9 刪除Sample程序
13
編號：1
要求
內容
刪除sample程序
參考
操作

以管理員身份登錄管理控制臺
1．點擊”Deployment”文件夾，查看是否有如下形式應用存在：
2．# find $BEA_HOME/ -name sample | xargs rm –rf
檢測
方法

  1. 以root權限執行

    find $BEA_HOME/ -name sample –print

  2. 以管理員身份登錄管理控制臺
    a) 點擊”Deployment”文件夾，查看是否有如下形式應用存在：

    b) 展開”Deployment”子文件夾，查看是否存在以上形式內容，其path中包
    含“samples“目錄, 如下圖

14

4.10 設定默認出錯頁面
編號：1
要求內容 重新在應用程序 web.xml 中定義默認出錯頁面
參考操作

編輯<Application HOME>/WEB-INF/web.xml ， 加入 error-page
定義
檢測方法
1、判斷依據：

2、檢查操作：
以root身份執行：

cat <Application HOME>/WEB-INF/web.xml

4.11 session超時時間
編號：1
要求內容 根據具體應用，合理設置 session 超時時間
參考操作

在應用程序的 web.xml 中定義 session超時時間，例如，以下設
置表示 session超時時間為 15分鐘
15
<session-config>
<session-timeout>15</session-timeout>
</session-config>

檢測方法 檢查是否在應用程序的 web.xml 中定義了 session 超時時間

4.12 補丁
編號：1
要求內容 在不影響業務的情況下，升級到最新補丁，而且該補丁要通過實
驗測試
參考操作
安裝最新安全相關補丁包，安全補丁下載需要 BEA 公司授權，
WebLogic 安全公告 URL：
http://dev2dev.bea.com/advisoriesnotifications/

檢測方法

  1. 以管理員身份登錄管理控制臺, 右鍵點擊左側面板ConWLe圖
    標，選擇“View Server & Browser Info”,查看版本號
    2．以 root 身份執行：

    cat $BEA_HOME/logs/log.txt

4.13 HTTP加密協議
要求內容 對於通過 HTTP 協議進行遠程維護的設備，設備應支持使用
HTTPS等加密協議。
操作指南 1、參考配置操作
以管理員身份登錄管理控制臺：

  1. 點擊左面板域名文件夾，然後點擊“servers”文件夾，點擊要管
    理的服務器名
  2. 在右側面板的”configuration”面板下的”Keystore &SSL”標簽
    中，啟用 ssl configure
    檢測方法 1、判定條件
    2、檢測操作

4.14 連接數設置
要求內容 根據機器性能和業務需求，設置最大最小連接數。
操作指南 1、 參考配置操作

16
以管理員身份登錄管理控制臺

  1. 點擊左側面板的域名文件夾，然後點擊Servers文件夾，雙擊要管理
    的服務器
  2. 在右側面板的“Configuration”面板下選擇“Tuning”標簽
  3. 設置” Maximum Open Sockets”為254 或其它用戶設定值
    2、 補充操作說明
    檢測方法 1、判定條件
    2、檢測操作
    檢查當前的連接數

WebLogic 安全配置要求及操作指南

相關推薦

WebLogic 安全配置要求及操作指南

安全基線第一章範圍 適用於使用的 Weblogic 服務器。本規範提出了 Weblogic 服務器安全配置要求，適用於所有的安全等級，可作為編制設備入網測試、安全驗收、安全檢查規範等文檔的參考。 由於版本不同，配置操作有所不同，本規範以 unix 平臺上 Weblogic9.x 為例，給出參考配置操作。 2

weblogic下配置https及匯入證書

在tomcat下及weblogic低版本配置https都需要產生金鑰庫檔案、產生證書請求檔案。。。匯入伺服器證書等一些步驟 因為我用的是weblogic 12c 自帶了演示標識金鑰庫DemoIdentity.jks和演示信任金鑰庫DemoTrust.jks，所以沒必要去生成

Apache中open_basedir的安全配置（檔案操作許可權）

open_basedir = .:/tmp/ 這個設定表示允許訪問當前目錄(即PHP指令碼檔案所在之目錄)和/tmp/目錄，有效防止php木馬跨站執行。 在Apache伺服器中，切忌一定要在虛擬主機配置檔案中新增以下程式碼，否則PHP木馬指令碼可以瀏覽你伺服

安全牛：“新一代SOC研究報告”之市場指南及技術指南點評

安全管理平臺 soc 安管平臺 isoc 安全牛 在2017年8月9日，國內知名的企業級信息安全市場的專業新媒體——安全牛——發布了“新一代SOC研究報告”之市場指南及技術指南。在指南正式發布之前，7月份的阿裏安全峰會（以後改成“網絡安全生態峰會”）上，安全牛背後的谷安天下負責人李華在論壇

SAP Parallel Accounting（平行分類賬）業務配置及操作手冊

line flex otto overview 雙擊 spl 就是 idt cell 目錄 SAP Parallel Accounting（平行分類賬業務）配置及操作手冊... 1 SAP Parallel Accounting（平行分類賬業務）配置及操作

RHEL 6.4 安裝配置Nessus 7.0.0及操作手冊

升級 ref user 過程 des 錯誤 tar 離線更新 define 安裝環境：RHEL 6.4 1.下載Nessus安裝包 下載地址：http://www.tenable.com/products/nessus/select-your-operating-syste

Windows服務器安全配置指南

cmd 利用 屬性 -s 操作系統 nmp ase redirect sql 1)、系統安全基本設置 2)、關閉不需要的服務 Computer Browser:維護網絡計算機更新，禁用　　 Distributed File System: 局域網管理共享文件，不需要禁用　　

Hibernate_day03---表與表關係建立、一對多配置及操作、多對多配置及操作

一、表與表關係建立思路 一對多關係 關係舉例： （1）分類和商品關係。 一個分類裡面有多個商品，一個商品只能屬於一個分類 （2）公司和員工關係 一個公司有多個員工，每個員工屬於一個公司 一對多建表：通過外來鍵建立關係 圖示： 多對多關係 關係舉例

redis安全設置及主從配置

毫秒 pri tcp sha inf 自己 ise error_log form redis安全設置 編輯/etc/redisc.conf配置文件 #設置監聽ip bind 127.0.0.1 2.2.2.2 ? #可以是多個ip，使用空格分隔 #設置監聽端口 prot 6

Spring註解配置Mongo及基本CRUD操作簡介

Mongo安裝配置參考基本操作等可參考http://www.runoob.com/mongodb/mongodb-tutorial.html，其中help()方法十分實用，可以不用讓使用者不用記太多方法，如help.collection.help()會顯示集合（相當於傳統資料庫中的的表）的所有方

3. Hibernate基本配置及操作

3. Hibernate基本配置及操作 Hibernate核心配置檔案 hibernate.cfg.xml Hibernate中最核心的配置檔案 資料庫方言的配置 資料庫連線引數的配置 資料庫連線池的

kingbaseES安裝及初始操作指南

轉載地址http://ask.supermap.com http://blog.csdn.net/supermapsupport/article/details/51752272 作者：皇皇         以KingbaseES資料庫7.1.2.0646版本（以下簡

Hibernate中一對多配置及操作

表的一對多對映配置 以客戶和聯絡人表為例子：客戶是一，聯絡人是多 1、建立實體類，客戶和聯絡人 2、讓兩個實體類之間互相表示 (1)在客戶實體類中要表示多個聯絡人 - 一個客戶有多個聯絡人 //在客戶實體類裡面表示多個聯絡人，一個客戶有多個聯絡人 //hibern

cmake安裝配置及入門指南

　　前言　　 　　　　今天，從github下載程式碼學習，讓我用cmake編譯，納尼？make我知道，cmake是啥鬼？天啊，無知很可怕！趕緊mark一波，雖然很耽誤學習進度，但感覺還是要get一波！ 　　一、安裝準備 　　感覺大部分找cmake的，應該都想自己安裝一下，所以我就先把安裝流程說明一下。

非同步下拉樹使用要求及實際操作

問題：    引數模板中當資料量大時會出現下拉樹載入慢的情況，對此潤乾 5.0 提出了非同步下拉樹編輯風格針對這個情況進行優化。 優化原理：         使用非同步下拉樹，初始時只加載首層節點

Tomcat安裝配置及操作

Tomcat是Servlet容器，本身完全JAVA語言編寫，所以tomcat的執行需要JAVA的支援，要先安裝JDK，才能執行。 一、Tomcat的目錄層次結構 1、Tomcat的目錄層次結構   2、JavaWeb應用的組成結構  |--

Jenkins環境搭建——安裝外掛及全域性安全配置（二）

一、安裝外掛 上篇安裝jenkins時，我們已經安裝了推薦的外掛，這裡我們再安裝兩個子認為不錯的外掛。 1、在jenkins頁面上點選“系統管理” 2、再點選“外掛管理” 3、選擇“可選外掛”，在搜尋框中輸入rebuilder。此外掛用於重新構建。 4、第二個需要安

IDEA 配置及操作總結(新手必看)

Jetbrains官網下載IDEA15我們在瀏覽器輸入網址https://www.jetbrains.com/。選擇相應的系統版本，下載最新版本的IDEA15，Windows系統雙擊安裝檔案，根據介面提示進行IDEA安裝。 Jetbrains擁有眾多，有基礎版本和旗艦版本。期

Hibernate中多對多配置及操作

在兩張表的多對多操作時，要建立第三張表，至少有兩個欄位作為外來鍵，指向另外兩個表的主鍵。 表的多對多對映配置 以使用者和角色為例子 1、建立實體類，使用者和角色實體類 2、讓兩個實體類互相進行表示 - 一個使用者有多個角色，使用set集合 - 一個角色有多個使用者，也使用se

Araxis Merge 基本配置及操作

$129 / TRY FREE FOR 30 DAYS Advanced 2 and 3-way file comparison (diff), merging and folder synchr