安装tomcat的17条安全建议

2019独角兽企业重金招聘Python工程师标准>>>

关于tomcat的17条安全建议：

1.检查项: tomcat进程运行权限检测
路径: /usr/local/tomcat/
当前值: 0
加固建议: 请创建低权限的账号运行tomcat

2.检查项: 开启用户登录失败锁定
路径: /usr/local/tomcat//conf/server.xml
当前值:
加固建议: <Realm className="org.apache.catalina.realm.LockOutRealm" failureCount="3" lockOutTime="600" cacheSize="1000" cacheRemovalWarningTime="3600">

3.检查项: 限制远程管理IP
路径: /usr/local/tomcat//conf/server.xml
当前值:
加固建议: 增加<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="允许远程管理IP"/>

4.检查项: 禁止显示异常调试信息
路径: /usr/local/tomcat//conf/web.xml
当前值:
加固建议: 在当前web.xml里面的web-app添加子节点：<error-page><exception-type>java.lang.Throwable</exception-type><location>/error.jsp</location></error-page>，在webapps目录下创建error.jsp，定义自定义错误信息

5.检查项: 开启传输层安全属性
路径: /usr/local/tomcat//webapps/manager/WEB-INF/web.xml
当前值:
加固建议: 在当前路径的web.xml里面的web-app添加子节点：<security-constraint> <user-data-constraint> <transport-guarantee>CONFIDENTIAL</transport-guarantee></user-data-constraint> </security-constraint>

6.检查项: 开启安全周期生命监听器
路径: /usr/local/tomcat//conf/server.xml
当前值:
加固建议: 取消 <Listener className="org.apache.catalina.security.SecurityListener" /> 注释

7.检查项: 示例文件检测
路径: /usr/local/tomcat//
当前值: /usr/local/tomcat//webapps/examples
加固建议: 请删除检测出的示例文件或目录

8.检查项: tomcat目录权限检测
路径: /usr/local/tomcat//
当前值: root
加固建议: 使用chown -R tomcat:tomcat "根目录"修改tomcat根目录文件所有者

9.检查项: 关闭shutdown端口
路径: /usr/local/tomcat//conf/server.xml
当前值: port=8005
加固建议: 将port值置为-1

10.检查项: 禁止自动部署
路径: /usr/local/tomcat//conf/server.xml
当前值: Host:autoDeploy=true
加固建议: 将autoDeploy="false"

11.检查项: 禁止应用运行在提权模式
路径: /usr/local/tomcat//webapps/manager/META-INF/context.xml
当前值: Context:privileged=true
加固建议: 将privileged="false"

12.检查项: 禁止应用运行在提权模式
路径: /usr/local/tomcat//webapps/host-manager/META-INF/context.xml
当前值: Context:privileged=true
加固建议: 将privileged="false"

13.检查项: 设置http大小
路径: /usr/local/tomcat//conf/server.xml
当前值: maxHttpHeaderSize
加固建议: 对检测出的Connector-8009增加属性：maxHttpHeaderSize="8192"

14.检查项: 设置http大小
路径: /usr/local/tomcat//conf/server.xml
当前值: maxHttpHeaderSize
加固建议: 对检测出的Connector-8080增加属性：maxHttpHeaderSize="8192"

15.检查项: 监听端口业务协议配置检测
路径: /usr/local/tomcat//conf/server.xml
当前值: 8080
加固建议: 为该监听端口配置scheme="http"或"https"属性

16.检查项: 监听端口业务协议配置检测
路径: /usr/local/tomcat//conf/server.xml
当前值: 8009
加固建议: 为该监听端口配置scheme="http"或"https"属性

17.检查项: 使用UserDatabaseRealm检测
路径: /usr/local/tomcat//conf/server.xml
当前值: org.apache.catalina.realm.UserDatabaseRealm
加固建议: 建议关闭UserDatabaseRealm使用

转载于:https://my.oschina.net/WYU3CHEN/blog/1586721