《JBOSS服务器安全配置基线》由会员分享，可在线阅读，更多相关《JBOSS服务器安全配置基线（16页珍藏版）》请在金锄头文库上搜索。
1、JBOSS 服务器安全配置基线 JBOSSJBOSS 服务器安全配置基线服务器安全配置基线 中国移动通信有限公司中国移动通信有限公司 管理信息系统部管理信息系统部 2012 年 04 月 JBOSS 服务器安全配置基线 版本版本版本控制信息版本控制信息更新日期更新日期更新人更新人审批人审批人 V2.0创建2012 年 4 月 备注：备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 JBOSS 服务器安全配置基线 I 目目 录录 第第 1 章章概述概述.1 1.1目的.1 1.2适用范围.1 1.3适用版本.1 1.4实施.1 1.5例外条款.1 第第 2 章章
2、帐号管理、认证授权帐号管理、认证授权.2 2.1帐号.2 2.1.1jmx-console 登录的用户名和密码管理.2 2.1.2web-console 登录的用户名和密码管理3 2.2口令.4 2.2.1密码复杂度4 2.2.2密码生存期*5 2.3授权.5 2.3.1用户权利指派*5 第第 3 章章日志配置操作日志配置操作.7 3.1日志配置.7 3.1.1审核登录7 第第 4 章章IP 协议安全配置协议安全配置 .8 4.1IP 协议8 4.1.1支持加密协议8 第第 5 章章设备其他配置操作设备其他配置操作.10 5.1安全管理.10 5.1.1定时登出10 5.1.2更改默认端口*1
3、0 5.1.3错误页面处理11 5.1.4目录列表访问限制12 第第 6 章章评审与修订评审与修订.13 JBOSS 服务器安全配置基线 中国移动通信有限公司第 1 页 共 16 页 第第 1 章章概述概述 1.1目的目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的 Jboss 服务器应 当遵循的安全性设置标准，本文档旨在指导系统管理人员进行 Jboss 服务器的安全配置。 1.2适用范围适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：支持中国移动集团公司管理信息系统部运行的 Jboss 服 务器系统。 1.3适用版
4、本适用版本 4.x 版本的 Jboss 服务器。 1.4实施实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中 若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5例外条款例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送 交中国移动通信有限公司管理信息系统部进行审批备案。 JBOSS 服务器安全配置基线 中国移动通信有限公司第 2 页 共 16 页 第第 2 章章帐号管理、认证授权帐号管理、认证授权 2.1帐号帐号 2.1.1 jmx-console 登录的用户名和密码管理登录的用户名和密码管理 安全基线项安全基线项
5、 目名称目名称 jmx-console 登录的用户名和密码管理 安全基线编安全基线编 号号 SBL-Jboss-02-01-01 安全基线项安全基线项 说明说明 默认情况访问 http:/ip:port/jmx-console 需要输入用户名和密码。设置用户名 密码限制帐号,提高安全性。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作 （1）修改 Jboss 目录下 $jboss/server/$server/deploy/jmx-console.war/WEB-INF/jboss-web.xml，去 掉 节点的注释 修改 jboss-web.xml 同级目录下的 web.xml
6、文件，去掉节 点的注释，在这里可以看到为登录配置了角色 JBossAdmin （2）jmx-console 的安全域和运行角色 JBossAdmin 都是在 login-config.xml 中配置，在 Jboss 的安装目录$jboss/server/$server/config 下找到。在 login-config.xml 中查找 jmx-console 的 application-policy 可以看到登录的角 色、用户等信息分别在$jboss/server/$server/config/props 的 jmx-console-roles.properties 和 jmx-console
7、-users.properties 文件中配置 2、补充操作说明、补充操作说明 （1） jmx-console-users.properties 文件中定义了一个用户名为 admin，的 用户。 （2）jmx-console-roles.properties 文件中默认为 admin 用户，定义了 JBossAdmin 和 HttpInvoker 这两个角色。 基线符合性基线符合性 判定依据判定依据 1、检测操作、检测操作 登陆 http:/ip:port/jmx-console 不能正常访问 JBOSS 服务器安全配置基线 中国移动通信有限公司第 3 页 共 16 页 2、补充操作判定条件、
8、补充操作判定条件 输入 jmx-console-users.properties 文件中定义的用户名和密码登陆正常 备注备注 2.1.2 web-console 登录的用户名和密码管理登录的用户名和密码管理 安全基线项安全基线项 目名称目名称 web-console 登录的用户名和密码管理安全基线要求项 安全基线编安全基线编 号号 SBL-Jboss-02-01-02 安全基线项安全基线项 说明说明 不需要输入用户名和密码存在安全隐患。设置用户名密码限制帐号。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作 修改 Jboss 目录下 $jboss/server/$server/de
9、ploy/management/console-mgr.sar/web- console.war/WEB-INF 下 jboss-web.xml 文件，去掉节点的 注释。 修改中 jboss-web.xml 同目录下的 web.xml 文件，去掉节 点的部分注释进行修改，修改的内容如下： 修改 server/default/conf 下的 login-config.xml 文件 2、补充操作说明、补充操作说明 1、web-console-users.properties 文件中默认定义了一个用户名为 admin，密 码也为 admin 的用户。 2、web-console-roles.prop
10、erties 文件中默认为 admin 用户定义了 JBossAdmin 和 HttpInvoker 这两个角色。 基线符合性基线符合性 判定依据判定依据 1、检测操作、检测操作 登陆 http:/ip:port/web-console/ 不能访问页面 2、补充操作判定条件、补充操作判定条件 输入 web-console-users.properties 文件中定义的用户名和密码登陆正常 备注备注 JBOSS 服务器安全配置基线 中国移动通信有限公司第 4 页 共 16 页 2.2口令口令 2.2.1 密码复杂度密码复杂度 安全基线项安全基线项 目名称目名称 Jboss 密码复杂度安全基线要求
11、项 安全基线编安全基线编 号号 SBL-Jboss-02-02-01 安全基线项安全基线项 说明说明 对于采用静态口令认证技术的设备，口令长度至少 8 位，并包括数字、小 写字母、大写字母和特殊符号四类中至少两类。且 5 次次以内不得设置相同的 口令。密码应至少每 90 天天进行更换。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作 1. 在$jboss/server/$server/deploy/oracle-ds.xml 配置文件中设置 oracle 密 码机密 EncryptDBPassword 2. 在$jboss/server/$server/conf/login-con
12、fig.xml 配置文件中设置 JNDI 加 密 -testDataSource 是连接池的名 称 apps - 用户名 3fb2b2b29f74131a -加密后的密码 jboss.jca:service=LocalTxCM,name=testDataSource JBOSS 服务器安全配置基线 中国移动通信有限公司第 5 页 共 16 页 2、补充操作说明、补充操作说明 口令要求：长度至少 8 位，并包括数字、小写字母、大写字母和特殊符号 4 类中至少 2 类。 基线符合性基线符合性 判定依据判定依据 1、判定条件、判定条件 检查$jboss/server/$server/conf/log
13、in-config.xml 配置文件中的帐号口令是 否符合移动通过配置口令复杂度要求。 2、检测操作、检测操作 （1）人工检查配置文件中帐号口令是否符合； 备注备注 2.2.2 密码生存期密码生存期* 安全基线项安全基线项 目名称目名称 Jboss 密码生存期安全基线要求项 安全基线编安全基线编 号号 SBL-Jboss-02-02-02 安全基线项安全基线项 说明说明 对于采用静态口令认证技术的设备，应支持按天配置口令生存期功能，帐号 口令的生存期不长于 90 天。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作 定期对管理 Jbosss Web、JMX 服务器的帐号口令进行修改
14、，间隔不长于 90 天。 基线符合性基线符合性 判定依据判定依据 1、判定条件、判定条件 90 天后使用原帐号口令进行登陆尝试，登录不成功； 2、检测操作、检测操作 使用超过 90 天的帐号口令进行登录尝试； 备注备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。适用于 4.x、5.x、6.x 所有版本。 2.3授权授权 2.3.1 用户权利指派用户权利指派* 安全基线项安全基线项 目名称目名称 Jboss 用户权利指派安全基线要求项 安全基线编安全基线编 号号 SBL-Jboss-02-03-01 JBOSS 服务器安全配置基线 中国移动通信有限公司第 6 页 共 16 页 安
15、全基线项安全基线项 说明说明 在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作 编辑/server/default/config/login-config.xml配置文件，修改用户角色权限 props/jmx-console- users.properties props/jmx-console- roles.properties 2、补充操作说明、补充操作说明 jmx-console 角色浏览 jboss 的部署管理信息。 Web-console 角色进行监控 基线符合性基线符合性 判定依据判定依据 1、判定条件、判
16、定条件 输入 web-console-users.properties 文件中定义的用户名和密码登陆正常 输入 jmx-console-users.properties 文件中定义的用户名和密码登陆正常 2、检测操作、检测操作 登陆 http:/ip:port/web-console/ 访问页面正常 登陆 http:/ip:port/jmx-console/ 访问页面正常 备注备注 JBOSS 服务器安全配置基线 中国移动通信有限公司第 7 页 共 16 页 第第 3 章章日志日志配置操作配置操作 3.1日志配置日志配置 3.1.1 审核登录审核登录 安全基线项安全基线项 目名称目名称 Jboss 审核登录安全基线要求项 安全基线编安全基线编 号号 SBL-Jboss-03-01-01 安全基线项安全基线项 说明说明 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的 帐号，登录是否成功，登录时间，使用的 IP 地址。 检测操作步检测操作步 骤骤 1、参考配置操作、参考配置操作
