tomcat系统安全配置基线.pdfVIP

Tomcat系统平安配置基线

目录

第1章概述1

1.1目的1

1.2适用围1

1.3适用版1

第2章账号管理、认证授权1

2.1账号1

用户设置1

删除或锁定无效账号2

2.2认证2

密码复杂度2

权限最小化3

第3章日志审计4

3.1日志审核4

第4章其他配置操作5

登陆超时退出5

自定义错误信息6

限制访问IP7

制止目录遍历7

第5章持续改良8

第1章概述

1.1目的

本文规定了Tomcat系统应当遵循的操作平安性设置标准，本文档旨在指导Tomcat系统管理

人员或平安检查人员进展Tomcat系统的平安合规性检查和配置。

1.2适用围

本配置标准的使用者包括：效劳器系统管理员、平安管理员和相关使用人员。

本配置标准适用的围包括：Tomcat系统。

1.3适用版

适用于Tomcat。

第2章账号管理、认证授权

2.1账号

2.1.1用户设置

平安基线工为不同的管理员分配不同的号

程名称

平安基线项应按照用户分配账号，防止不同用户间共享账号,提高平安性。

说明

检测操作步1、参考配置操作

骤修改tomcat/conf/tomcat-users.*ml配置文件，修改或添加。

userusername=〞tomcat〞password=〞Tomcat!234〞roles=〞

admin〞

2、补充操作说明

1、根据不同用户，取不同的名称。

2、Tomcat4.1.37、5.5.27和6.0.18这三个版本及以后发行的版本默认都不

存在admin.*ml配置文件。

基线符合性询问管理员是否安装需求分配用户号

判定依据

备注

2.1.2删除或锁定无效账号

平安基线工删除或锁定无效账号

程名称

平安基线项删除或锁定无效的账号，减少系统平安隐患。

说明

检测操作步参考配置操作

骤修改tomcat/conf/tomcat-users.*ml配置文件，删除与工作无关的。

例如tomcat1与运行、维护等工作无关，删除：

userusername=〞tomcat1〞password=〞tomcat〞roles=〞admin〞

基线符合性查看配置文件

判定依据

备注

2.2认证

2.2.1密码复杂度

平安基线工密码复杂度

程名称

平安基线项对于采用静态口令认证技术的设备，口令长度至少12位，包括数字、小写字

说明母、大写字母和特殊符号4类中至少2类。

检测操作步1、参考配置操作

骤在tomcat/conf/tomcat-user.*ml配置文件中设置密码

userusername=〞tomcat〞password=〞Tomcat!234〞roles=〞

admin〞

2、补充操作说明

口令要求：长度至少12位，并包括数字、小写字母、大写字母和特殊符号4

类中至少2类。

基线符合性检查配置文件

判定依据查看tomcat/conf/tomcat-users.*ml