中国移动Tomcat Web服务器安全配置规范V10.docx
《中国移动Tomcat Web服务器安全配置规范V10.docx》由会员分享，可在线阅读，更多相关《中国移动Tomcat Web服务器安全配置规范V10.docx（15页珍藏版）》请在冰豆网上搜索。
中国移动TomcatWeb服务器安全配置规范V10
中国移动公司--设备
TomcatWeb服务器安全配置规范
SpecificationforTomcatWebServerConfigurationinChinaMobile
版本号：
1.0.0
╳╳╳╳-╳╳-╳╳实施
╳╳╳╳-╳╳-╳╳发布
中国移动通信有限公司网络部
目录
1.范围1
2.规范性引用文件1
2.1.内部引用1
2.2.外部引用2
3.术语、定义和缩略语2
4.TomcatWeb服务器安全配置要求2
4.1.账号管理及认证授权要求3
4.1.1.账号安全要求3
4.1.2.口令安全要求4
4.1.3.授权安全要求5
4.2.日志安全要求5
4.3.IP协议安全要求6
4.4.设备其他安全要求7
5.编制历史9
前言
为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。
有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。
本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。
本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。
本标准起草单位：
中国移动通信有限公司网络部、中国移动通信浙江有限公司。
本标准解释单位：
同提出单位。
本标准主要起草人：
胡鸥、朱国萃、周智、陈敏时、曹一生。
范围
本规范适用于中国移动通信网、业务系统和支撑系统的TomcatWeb服务器。
本规范明确了TomcatWeb服务器安全配置方面的基本要求。
规范性引用文件
1.1.内部引用
本规范是在《中国移动设备通用设备安全功能和配置规范》（以下简称《通用规范》）各项设备配置要求的基础上，提出的TomcatWeb服务器安全配置规范。
以下分项列出本规范对《通用规范》设备配置要求的修订情况。
设备通用安全配置要求编号
采纳意见
补充说明
安全要求-设备-通用-配置-1
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-1”
安全要求-设备-通用-配置-2
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-2”
安全要求-设备-通用-配置-3
不采纳
Tomcat不支持在远程登陆时通过切换用户提升权限
安全要求-设备-通用-配置-4
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-3”
安全要求-设备-通用-配置-5
完全采纳
Tomcat不支持
安全要求-设备-通用-配置-29-可选
不采纳
Tomcat无设备间通信使用的账户
安全要求-设备-通用-配置-6-可选
不采纳
Tomcat不支持
安全要求-设备-通用-配置-7-可选
不采纳
Tomcat不支持
安全要求-设备-通用-配置-9
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-4”
安全要求-设备-通用-配置-12
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-5”
安全要求-设备-通用-配置-13-可选
部分采纳
参见“安全要求-设备-通用-TOMCAT-配置-6-可选”
安全要求-设备-通用-配置-24-可选
不采纳
Tomcat不支持
安全要求-设备-通用-配置-14
不采纳
Tomcat不支持
安全要求-设备-通用-配置-28
不采纳
Tomcat不支持
安全要求-设备-通用-配置-16
不采纳
Tomcat不支持
安全要求-设备-通用-配置-17-可选
部分采纳
Tomcat不支持
安全要求-设备-通用-配置-19
完全采纳
参见“安全要求-设备-通用-TOMCAT-配置-7”
安全要求-设备-通用-配置-20-可选
不采纳
Tomcat不支持
安全要求-设备-通用-配置-27
不采纳
Tomcat不支持
本规范新增的安全配置要求，如下：
安全要求-设备-通用-TOMCAT-配置-8-可选
安全要求-设备-通用-TOMCAT-配置-9-可选
安全要求-设备-通用-TOMCAT-配置-10-可选
本规范还针对《通用规范》中所列的配置要求，给出了在TomcatWeb服务器上的具体配置方法和检测方法。
1.2.外部引用
《中国移动设备通用安全功能和配置规范》
术语、定义和缩略语
TomcatWeb服务器安全配置要求
本规范提出的安全功能要求和安全配置要求，在未特别说明的情况下，均适用于设备上运行的TomcatWeb服务器。
本规范从账号管理及认证授权、日志以及IP协议和其他四个方面提出安全功能和配置要求。
本规范所指的设备为TomcatWeb服务器设备。
本规范提出的安全配置要求，在未特别说明的情况下，均适用于4.x、5.x、6.x版本的TomcatWeb服务器。
1.3.账号管理及认证授权要求
认证功能用于确认登录系统的用户真实身份。
认证功能的具体实现方式包括静态口令、动态口令、指纹等生物鉴别技术等。
授权功能赋予系统账号的操作权限，并限制用户进行超越其账号权限的操作。
账号口令管理功能是实现正确认证和授权的基础。
对于存在字符或图形界面（WEB界面）的人机交互的设备，应提供账号管理及认证授权功能，并应满足以下各项要求。
账号安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-1
要求内容
应按照用户分配账号。
避免不同用户间共享账号。
避免用户账号和设备间通信使用的账号共享。
操作指南
1、参考配置操作
修改tomcat/conf/tomcat-users.xml配置文件，修改或添加帐号。
234”roles=”admin”>
2、补充操作说明
1、根据不同用户，取不同的名称。
2、Tomcat4.1.37、5.5.27和6.0.18这三个版本及以后发行的版本默认都不存在admin.xml配置文件。
检测方法
1、判定条件
各账号都可以登录TomcatWeb服务器为正常
2、检测操作
访问http:
//ip:
8080/manager/html管理页面，进行Tomcat服务器管理
编号：
安全要求-设备-通用-TOMCAT-配置-2
要求内容
应删除或锁定与设备运行、维护等工作无关的账号。
操作指南
1、参考配置操作
修改tomcat/conf/tomcat-users.xml配置文件，删除与工作无关的帐号。
例如tomcat1与运行、维护等工作无关，删除帐号：
检测方法
1、判定条件
被删除的与工作无关的账号tomcat1不能正常登陆。
2、检测操作
访问http:
//ip:
8080/manager/html管理页面，使用删除帐号进行登陆尝试。
口令安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-3
要求内容
对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
操作指南
1、参考配置操作
在tomcat/conf/tomcat-user.xml配置文件中设置密码
234”roles=”admin”>
2、补充操作说明
口令要求：
长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
检测方法
1、判定条件
检查tomcat/conf/tomcat-user.xml配置文件中的帐号口令是否符合移动通过配置口令复杂度要求。
2、检测操作
（1）人工检查配置文件中帐号口令是否符合；
（2）使用tomcat弱口令扫描工具定期对TomcatWeb服务器进行远程扫描，检查是否存在弱口令帐号。
3、补充说明
对于使用弱口令扫描工具进行检查时应注意扫描的线程数等方面，避免对服务器造成不必要的资源消耗；选择在服务器负荷较低的时间段进行扫描检查。
授权安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-4
要求内容
在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
操作指南
1、参考配置操作
编辑tomcat/conf/tomcat-user.xml配置文件，修改用户角色权限
授权tomcat具有远程管理权限：
roles=”admin,manager”>
2、补充操作说明
1、Tomcat4.x和5.x版本用户角色分为：
role1，tomcat，admin，manager四种。
role1：
具有读权限；
tomcat：
具有读和运行权限；
admin：
具有读、运行和写权限；
manager：
具有远程管理权限。
Tomcat6.0.18版本只有admin和manager两种用户角色，且admin用户具有manager管理权限。
2、Tomcat4.1.37和5.5.27版本及以后发行的版本默认除admin用户外其他用户都不具有manager管理权限。
检测方法
1、判定条件
登陆远程管理页面，使用tomcat账号进行登陆，登陆成功。
2、检测操作
登陆http:
//ip:
8080/manager/html页面，使用tomcat账号登陆，进行远程管理。
1.4.日志安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-5
要求内容
设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
操作指南
1、参考配置操作
编辑server.xml配置文件，在标签中增加记录日志功能
将以下内容的注释标记
---->取消
Directory=”logs”prefix=”localhost_access_log.”Suffix=”.txt”
Pattern=”common”resloveHosts=”false”/>
2、补充操作说明
classname:
ThisMUSTbesetto
org.apache.catalina.valves.AccessLogValvetousethedefaultaccesslogvalve.&<60
Directory:
日志文件放置的目录，在tomcat下面有个logs文件夹，那里面是专门放置日志文件的，也可以修改为其他路径；
Prefix:
这个是日志文件的名称前缀，日志名称为localhost_access_log.2008-10-22.txt，前面的前缀就是这个localhost_access_log
Suffix:
文件后缀名
Pattern:
common方式时，将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中
resolveHosts:
值为true时，tomcat会将这个服务器IP地址通过DNS转换为主机名，如果是false，就直接写服务器IP地址
检测方法
1、判定条件
查看logs目录中相关日志文件内容，记录完整
2、检测操作
查看localhost_access_log.2008-10-22.log中相关日志记录
3、补充说明
1.5.IP协议安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-6-可选
要求内容
对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。
操作指南
1、参考配置操作
（1）使用JDK自带的keytool工具生成一个证书
JAVA_HOME/bin/keytool-genkey–aliastomcat–keyalgRSA
-keystore/path/to/my/keystore
（2）修改tomcat/conf/server.xml配置文件，更改为使用https方式，增加如下行：
Connectorclassname=”org.apache.catalina.http.HttpConnector”
port=”8443”minProcessors=”5”maxprocessors=”100”
enableLookups=”true”acceptCount=”10”debug=”0”
scheme=”https”secure=”true”>
Factoryclassname=”org.apache.catalina.SSLServerSocketFactory”
clientAuth=”false”
keystoreFile=”/path/to/my/keystore”keystorePass=”runway”
protocol=”TLS”/>
/Connector>
其中keystorePass的值为生成keystore时输入的密码
（3）重新启动tomcat服务
检测方法
1、判定条件
使用https方式登陆tomcat服务器页面，登陆成功
2、检测操作
使用https方式登陆tomcat服务器管理页面
1.6.设备其他安全要求
编号：
安全要求-设备-通用-TOMCAT-配置-7
要求内容
对于具备字符交互界面的设备，应支持定时账户自动登出。
登出后用户需再次登录才能进入系统。
操作指南
1、参考配置操作
编辑tomcat/conf/server.xml配置文件，修改为30秒
port="8080"maxHttpHeaderSize="8192"maxThreads="150"
minSpareThreads="25"maxSpareThreads="75"、
enableLookups="false"redirectPort="8443"acceptCount="100"
connectionTimeout="300"disableUploadTimeout="true"/>
2、补充操作说明
检测方法
1、判定条件
30秒自动登出。
2、检测操作
登陆tomcat默认页面http:
//ip:
8080/manager/html，使用管理账号登陆
3、补充说明
编号：
安全要求-设备-通用-TOMCAT-配置-8-可选
要求内容
更改tomcat服务器默认端口
操作指南
1、参考配置操作
（1）修改tomcat/conf/server.xml配置文件，更改默认管理端口到8800
port="8800"maxHttpHeaderSize="8192"maxThreads="150"
minSpareThreads="25"maxSpareThreads="75"、
enableLookups="false"redirectPort="8443"acceptCount="100"
connectionTimeout="300"disableUploadTimeout="true"/>
（2）重启tomcat服务
2、补充操作说明
检测方法
1、判定条件
使用8800端口登陆页面成功
2、检测操作
登陆http:
//ip:
8800
3、补充说明
编号：
安全要求-设备-通用-TOMCAT-配置-9-可选
要求内容
Tomcat错误页面重定向
操作指南
1、参考配置操作
（1）配置tomcat/conf/web.xml文件:
在最后一行之前加入以下内容：
404
/noFile.htm
……………
java.lang.NullPointerException
/error.jsp
第一个之间的配置实现了将404未找到jsp网页的错误导向noFile.htm页面，也可以用类似方法添加其多的错误代码导向页面，如403,500等。
第二个之间的配置实现了当jsp网页出现java.lang.NullPointerException导常时，转向error.jsp错误页面，还需要在第个jsp网页中加入以下内容:
<%@pageerrorPage="/error.jsp"%>
典型的error.jsp错误页面的程序写法如下:
<%@pagecontentType="text/html;charset=GB2312"%>
<%@pageisErrorPage="true"%>
错误页面
出错了：
错误信息:
<%=exception.getMessage（）%>
StackTraceis:
<%
java.io.CharArrayWritercw=newjava.io.CharArrayWriter（）;
java.io.PrintWriterpw=newjava.io.PrintWriter（cw,true）;
exception.printStackTrace（pw）;
out.println（cw.toString（））;
%>
当出现NullPointerException异常时tomcat会把网页导入到error.jsp，且会打印出出错信息。
（2）重新启动tomcat服务
检测方法
1、判定条件
指向指定错误页面
2、检测操作
URL地址栏中输入http:
//ip:
8800/manager~~~
编号：
安全要求-设备-通用-TOMCAT-配置-10-可选
要求内容
禁止tomcat列表显示文件
操作指南
1、参考配置操作
（1）编辑tomcat/conf/web.xml配置文件，
listings
true
把true改成false
（2）重新启动tomcat服务
检测方法
1、判定条件
当WEB目录中没有默认首页如index.html,index.jsp等文件时，不会列出目录内容
2、检测操作
直接访问http:
//ip:
8800/webadd
编制历史
版本号
更新时间
主要内容或重大修改
1.0.0
2008-10
1.0.1
2009-10
因Tomcat无“帐号口令的生存期不长于90天”的配置项，删除了该配置要求。
更新配置要求编号。
升级会员 