JBOSS服务器安全配置基线.doc

JBOSS服务器安全配置基线  版本 版本控制信息 更新日期 更新人 审批人 V2.0 创建 2012年4月 备注： 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 目 录 第1章 概述 1 1.1 目的 1 1.2 适用范围 1 1.3 适用版本 1 1.4 实施 1 1.5 例外条款 1 第2章 帐号管理、认证授权 2 2.1 帐号 2 2.1.1 jmx-console 登录的用户名和密码管理 2 2.1.2 web-console 登录的用户名和密码管理 3 2.2 口令 4 2.2.1 密码复杂度 4 2.2.2 密码生存期* 5 2.3 授权 5 2.3.1 用户权利指派* 5 第3章 日志配置操作 7 3.1 日志配置 7 3.1.1 审核登录 7 第4章 IP协议安全配置 8 4.1 IP协议 8 4.1.1 支持加密协议 8 第5章 设备其他配置操作 10 5.1 安全管理 10 5.1.1 定时登出 10 5.1.2 更改默认端口* 10 5.1.3 错误页面处理 11 5.1.4 目录列表访问限制 12 第6章 评审与修订 13 概述 目的 本文档旨在指导系统管理人员进行安全配置。本的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。实施例外条款默认情况访问 http://ip:port/jmx-console 需要输入用户名和密码/server/${server}/deploy/jmx-console.war/WEB-INF/jboss-web.xml，去掉 security-domain节点的注释 修改jboss-web.xml同级目录下的web.xml文件security-constraint节点的注释，在这里可以看到为登录配置了角色JBossAdmin （2）jmx-console的安全域和运行角色JBossAdmin都是在login-config.xml中配置，在Jboss的安装目录${jboss}/server/${server}/config下找到。在login-config.xml中查找jmx-console的application-policy可以看到登录的角色、用户等信息分别在${jboss}/server/${server}/config/props的 perties和perties文件perties文件中定义了一个用户名为admin，的用户perties文件中默认为admin用户定义了JBossAdmin和HttpInvoker这两个角色。http://ip:port/jmx-console 不能正常访问输入perties文件中定义的用户名和密码 web-console 登录的用户名和密码web-console 登录的用户名和密码不需要输入用户名和密码安全隐患/server/${server}/deploy/management/console-mgr.sar/web-console.war/WEB-INF下jboss-web.xml文件，去掉security-domain中jboss-web.xml同目录下的web.xml文件，去掉security-constraint部分注释server/default/conf下的login-config.xml文件-perties文件中默认定义了一个用户名为admin，密码也为admin的用户-perties文件中默认为admin用户定义了JBossAdmin和HttpInvoker这两个角色。 http://ip:port/web-console/ 不能访问页面输入-perties文件中定义的用户名和密码 口令 密码复杂度 安全基线项目名称 Jboss密码复杂度安全基线要求项 安全基线编号 SBL-Jboss-02-02-01 安全基线项说明 对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号。5次以内不得设置相同的口令。密码应至少每90天进行更换。 检测操作步骤 1、参考配置操作 1. 在${jboss}/server/${server}/deploy/oracle-ds.xml配置文件中设置oracle密码机密 security-domainEncryptDBPassword/security-domain 2. 在${jboss}/server/${server}/conf/login-config.xml配置文件中设置JNDI加密 application-policy name=testDataSource?? --testDataSource 是连接池的名称???? authen