13、Confluence安全与定制指南

Confluence安全与定制指南

1. 内容安全保障

1.1 自定义认证机制问题

若Confluence实例采用自定义认证机制，额外的登录环节可能会引发问题，因为它会针对Confluence而非自定义认证服务器进行认证检查。此时，禁用密码确认是一种可行的解决方案。

1.2 手动结束安全会话

管理员可随时手动结束安全会话，只需点击屏幕顶部横幅中的“Drop access”即可。

1.3 安全漏洞处理

软件并非完美无缺，Confluence也会不时发现漏洞。当发现漏洞时，Atlassian会依据行业标准的通用漏洞评分系统（CVSS）计算其严重程度。CVSS评分范围与对应严重程度如下表所示：
| CVSS评分范围 | 安全公告中的严重程度 |
| ---- | ---- |
| 0 – 2.9 | 低 |
| 3 – 5.9 | 中 |
| 6 – 7.9 | 高 |
| 8 – 10 | 严重 |

不同严重程度漏洞的特点如下：
- 严重 ：攻击者获取利用该漏洞所需信息的途径广泛；利用过程通常较为直接，无需特殊凭证或对安装环境的深入了解；漏洞利用可能导致服务器或其他基础设施设备的根级权限被攻破。建议尽快进行修补或升级，除非有其他应对措施，例如Confluence未通过互联网访问。
- 高 ：利用该漏洞不会提升权限，也不会造成重大数据丢失或损坏，且利用难度较大。
- 中 ：拒绝服务漏洞难以设置，