WebSphere Web服务器安全配置基线Word格式文档下载.docx
《WebSphere Web服务器安全配置基线Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《WebSphere Web服务器安全配置基线Word格式文档下载.docx（12页珍藏版）》请在冰豆网上搜索。
第2章账号管理、认证授权2
2.1帐号2
2.1.1应用程序角色2
2.1.2控制台帐号安全2
2.1.3口令管理3
2.2认证授权3
2.2.1控制台安全3
2.2.2全局安全性与Java2安全4
第3章日志配置操作5
3.1日志配置5
3.1.1日志与记录5
第4章备份容错5
4.1备份容错5
第5章设备其他配置操作7
5.1安全管理7
5.1.1控制台超时设置7
5.1.2示例程序删除7
5.1.3错误页面处理8
5.1.4文件访问限制8
5.1.5目录列出访问限制8
5.1.6控制目录权限9
5.1.7补丁管理9
5.1.8变更管理10
第6章评审与修订10
概述
目的
本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的WebSphereWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebSphereWeb服务器的安全配置。
适用范围
本配置标准的使用者包括：
服务器系统管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括：
中国移动总部和各省公司信息化部门维护管理的WebSphereWeb服务器系统。
适用版本
6.x版本的WebSphereWeb服务器。
实施
本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
本标准发布之日起生效。
例外条款
欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
账号管理、认证授权
帐号
应用程序角色
安全基线项目名称
WebSphere应用程序角色安全基线要求项
安全基线编号
SBL-WebSphere-02-01-01
安全基线项说明
要求为应用用户定义合适的角色
检测操作步骤
以管理员身份打开管理控制台,执行：
1.点击“应用程序”-->
”企业应用程序”
2.双击要查看的应用程序
3.点击“其它属性”中的”映射安全性角色到用户/组”
基线符合性判定依据
要求安全角色映射到“每个用户“、“所有已认证用户”、“已映射的用户”、“已映射的组”
备注
控制台帐号安全
WebSphere控制台帐号安全安全基线要求项
SBL-WebSphere-02-01-02
特权管理帐号在多个用户间共享，会引发很多安全问题，企业无法控制配置上的安全，不易定位安全事件责任人,同时特权帐号非法使用者还可抹去审计信息
1.点击“系统管理”-->
”控制台设置”-->
“控制台用户”
2.点击要查看的用户名
3.查看用户所属组
要求不得出现共用特权管理帐号，管理帐号必须按角色分配用户角色为monitor（监控员）、Configurator（配置员）、Operator（操作员）Administrator（管理员）之一
口令管理
WebSphere口令安全基线要求项
SBL-WebSphere-02-01-03
不得在自动运行脚本、控制命令等地方出现Websphere明文口令，例如cron脚本
以root身份执行：
#ps–ef|grep–iWebSphere
#su–WebSphere_username–c“crontab–l”
#crontab-l
要求回显内容中不含口令字
认证授权
控制台安全
WebSphere控制台安全基线要求项
SBL-WebSphere-02-02-01
Cosnaming服务权限设置过大会引入安全隐患
1.点击“环境”-->
命名-->
CORBA命名服务用户
2.查看服务用户
3.点击“环境”-->
CORBA命名服务组
4.查看服务组授权
要求EVERYONE组已删除，并且ALL_AUTHENTICATED组角色仅设为”控制台命名读”
全局安全性与Java2安全
WebSphere全局安全性与Java2安全基线要求项
SBL-WebSphere-02-02-02
启用全局安全性，控制登录管理控制台，同时应用程序将可以使用WebSphere的安全特性,Java2安全性在J2EE基于角色的授权之上提供访问控制保护的额外级别。
它特别处理系统资源和API的保护，不启用Java2安全性会极大减弱应用的安全强度。
1.打开管理控制台
2.点击“安全性”-->
”全局安全性”
查看“启用全局安全性”和“强制Java2安全性”是否启用
要求“启用全局安全性”和“强制Java2安全性”启用
日志配置操作
日志配置
日志与记录
WebSphere日志记录安全基线要求项
SBL-WebSphere-03-01-01
启用日志可以回溯事件进行检查或审计，日志详细信息级别如果配置不当，会缺少必要的审计信息
1.查看设置日志的输出属性：
在导航窗格中，单击服务器>
应用程序服务器-->
单击您要使用的服务器的名称-->
在“故障诊断”下面，单击日志记录和跟踪-->
单击要配置的系统日志（诊断跟踪、静态更改，单击”配置”选项卡,动态更改点击”运行时”选项卡。
2.查看日志设置日志级别。
单击您要使用的服务器的名称。
-->
在“故障诊断”下面，单击日志记录和跟踪,查看日志详细信息级别
要求启用所有日志，并配置日志详细信息级别为*=info:
SecurityManager=all:
SystemOut=all
备份容错
WebSphere备份容错安全基线要求项
SBL-WebSphere-04-01-01
某非法操作或误操作可能导致服务器崩溃，需要对WebSphere的配置文件进行日常备份保护，保证应用系统的可用性.
访谈与实地了解针对Web应用的当前备份容错机制
要求备份容错机制中针对配置文件、主程序等的备份周期，介质及内容达到Web应用需求
设备其他配置操作
安全管理
控制台超时设置
WebSphere控制台超时设置安全基线要求项
SBL-WebSphere-05-01-01
控制台会话默认30分钟timeout,要求设置不大于10分钟
1.用文本编辑器打开文件
$WAS_HOME/systemApps/adminconsole.ear/deployment.xml
查看invalidationTimeout的值
invalidationTimeout的值不得大于30
示例程序删除
WebSphere示例程序删除安全基线要求项
SBL-WebSphere-05-01-02
sample例子程序会泄露系统敏感信息，存在较大的安全隐患
不得存在”DefaultApplication”、“PlantsByWebSphere“、“SamplesGallery”、“ivtApp”等例子程序
错误页面处理
WebSphere错误页面安全基线要求项
SBL-WebSphere-05-01-03
如果没有定义默认错误网页，则当应用程序出错时会显示内部出错信息,暴露系统和应用的敏感信息
以root身份执行:
grep-idefaultErrorPage
$WAS_HOME/<
profilepath>
/config/cells/<
hostname>
/applications/
<
yourapplication>
.ear/<
.war/WEB-INF/ibm-web-ext.xmi
要求defaultErrorPage=设置为定义错误页面
文件访问限制
WebSphere文件访问安全基线要求项
SBL-WebSphere-05-01-04
禁止WebSphere列表显示文件
grep–ifileServingEnabled
要求fileServingEnabled=”false”
目录列出访问限制
WebSphere目录列出安全基线要求项
SBL-WebSphere-05-01-05
禁止WebSphere浏览、列表显示目录
grep–idirectoryBrowsingEnabled
要求directoryBrowsingEnabled=”false”
控制目录权限
WebSphere控制目录权限安全基线要求项
SBL-WebSphere-05-01-06
config和properties等控制目录权限不当会导致严重后果
检查config与properties目录及子目录访问权限
要求该目录仅能root权限可写，一般目录设置权限750
补丁管理
WebSphere补丁管理安全基线要求项
SBL-WebSphere-05-01-07
要求Websphere更新了必要的补丁
以root权限执行查看命令（包含补丁安装信息）：
$WAS_HOME/bin/versioninfo.sh
$WAS_HOME/bin/historyinfo.sh
$WAS_HOME/bin/genHistoryReport.sh
$WAS_HOME/bin/genVersionReport.sh
要求补丁更新至最新
变更管理
WebSphere变更管理安全基线要求项
SBL-WebSphere-05-01-08
要求Websphere的配置变更，升级有必要的申请、审批、备案等流程
访谈管理员并检查过去的流程文件记录
要求有规范的配置变更流程并严格执行
评审与修订
本标准由中国移动通信有限公司管理信息系统部定期进行审查，根据审视结果修订标准，并颁发执行。
升级会员 