TongWeb 服务器安全配置基线
TongWeb5.0快速使用手册
TongWeb 服务器安全配置基线
TongWeb服务器安全配置基线页脚内容1备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
页脚内容2目录第1章...................................................................................................... 概述01.1 .............................................................................................................. 目的1.2 ..................................................................................................... 适用范围1.3 ..................................................................................................... 适用版本1.4 ............................................................................................................. 实施1.5 ..................................................................................................... 例外条款第2章 ........................................................................... 账号管理、认证授权02.1 ............................................................................................................. 帐号2.1.1 ....................................................................................... 应用帐号分配2.1.2 ....................................................................................... 用户口令设置页脚内容22.1.3 ....................................................................................... 用户帐号删除42.2 ..................................................................................................... 认证授权52.2.1 ........................................................................................... 控制台安全5第3章 ...................................................................................... 日志配置操作83.1 ..................................................................................................... 日志配置83.1.1 ........................................................................................... 日志与记录8第4章 ............................................................................................. 备份容错114.1 ..................................................................................................... 备份容错11第5章 .................................................................................. IP协议安全配置135.1 ......................................................................................... IP通信安全协议页脚内容I13第6章 ............................................................................... 设备其他配置操作166.1 ..................................................................................................... 安全管理166.1.1 ................................................................................ 禁止应用程序可显166.1.2 ............................................................................................. 端口设置*186.1.3 ....................................................................................... 错误页面处理19第7章 .......................................................................................... 评审与修订22页脚内容II第1章概述1.1目的本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。
Tomcat Web服务器安全配置风险评估检查表
Tomcat Web服务器安全配置基线目录第1章概述 (1)1.1目的 (1)1.2适用范围 (1)1.3适用版本 (1)第2章账号管理、认证授权 (2)2.1账号 (2)2.1.1共享帐号管理 (2)2.1.2无关帐号管理 (2)2.2口令 (3)2.2.1密码复杂度 (3)2.2.2密码历史 (4)2.3授权 (4)2.3.1用户权利指派 (4)第3章日志配置操作 (6)3.1日志配置 (6)3.1.1审核登录 (6)第4章IP协议安全配置 (7)4.1IP协议 (7)4.1.1支持加密协议 (7)第5章设备其他配置操作 (8)5.1安全管理 (8)5.1.1定时登出 (8)5.1.2更改默认端口 (8)5.1.3错误页面处理 (9)5.1.4目录列表访问限制 (10)第1章概述1.1 目的本文档规定了Tomcat WEB服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行Tomcat WEB服务器的安全配置。
1.2 适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
1.3 适用版本4.x、5.x、6.x版本的Tomcat Web服务器。
第2章账号管理、认证授权2.1 账号2.1.1共享帐号管理2.1.2无关帐号管理2.2 口令2.2.1密码复杂度2.2.2密码历史2.3 授权2.3.1用户权利指派第3章日志配置操作3.1 日志配置3.1.1审核登录第4章IP协议安全配置4.1 IP协议4.1.1支持加密协议第5章设备其他配置操作5.1 安全管理5.1.1定时登出5.1.2更改默认端口5.1.3错误页面处理备注5.1.4目录列表访问限制安全基线项目名称Tomcat目录列表安全基线要求项安全基线编号SBL-Tomcat-05-01-04安全基线项说明禁止tomcat列表显示文件检测操作步骤1、参考配置操作(1) 编辑tomcat/conf/web.xml配置文件，<init-param><param-name>listings</param-name> <param-value>true</param-value></init-param>把true改成false(2)重新启动tomcat服务基线符合性判定依据1、判定条件当WEB目录中没有默认首页如index.html,index.jsp等文件时，不会列出目录内容2、检测操作直接访问http://ip:8800/webadd备注。
安全基线配置检查
安全基线配置检查随着互联网的普及和网络攻击的日益频繁，确保系统和网络的安全性成为了企业和个人必须要关注和重视的问题。
而安全基线配置检查则是一种有效的手段，可以帮助我们评估系统和网络的安全性，并采取相应的措施来提高安全性。
安全基线配置检查是指对系统和网络的各项配置进行检查和评估，以确定是否符合安全基线的要求。
安全基线是指根据安全标准和最佳实践所制定的一系列安全配置要求。
通过对系统和网络的配置进行检查，可以发现潜在的安全风险和漏洞，并及时采取措施进行修复，以保护系统和网络的安全。
安全基线配置检查主要包括以下几个方面：1. 操作系统配置检查：检查操作系统的配置是否符合安全要求，包括密码策略、访问控制、日志记录等方面。
例如，密码策略要求密码的复杂度较高，用户锁定策略设置合理，日志记录开启并定期审计等。
2. 网络设备配置检查：检查网络设备的配置是否符合安全要求，包括防火墙、路由器、交换机等设备。
例如，防火墙的配置是否严格，路由器的访问控制列表是否设置合理等。
3. 应用程序配置检查：检查应用程序的配置是否符合安全要求，包括数据库、Web服务器、邮件服务器等应用程序。
例如，数据库的访问权限是否受限，Web服务器的安全设置是否完善等。
4. 安全补丁和更新检查：检查系统和应用程序是否安装了最新的安全补丁和更新，以修复已知的安全漏洞。
及时安装安全补丁和更新可以有效防止黑客利用已知漏洞进行攻击。
5. 安全策略和权限检查：检查系统和网络的安全策略和权限设置是否合理。
例如，用户的权限是否严格控制，敏感数据的访问权限是否受限等。
通过安全基线配置检查，可以及时发现系统和网络的安全隐患，并采取相应的措施来提高安全性。
但是，在进行安全基线配置检查时，也需要注意以下几个问题：1. 安全配置不是唯一的：安全配置并没有统一的标准，不同的安全标准和最佳实践可能会有所不同。
因此，在进行安全基线配置检查时，需要根据企业或个人的实际情况来确定安全配置的要求。
常用TongWeb主要参数调整
常用TongWeb主要参数调整本章主要介绍影响性能的主要参数，以200用户并发为基准，由于TongWeb5.0暂时缺少实际案例，此参数调整基本可保证系统正常运行，但并不能保证调整的参数为最优。
1 JVM堆内存设置修改bin目录下startserver.sh启动脚本，找到66行左右如下内容，根据需要设置JVM 堆内存大小，主要是增大堆内存，用户还可根据自己需要增加JVM参数。
JA V A_OPTS=" -Xms2048 -Xmx2048m"2 修改应用访问端口有两种方式可以修改应用访问端口。
(1).修改config目录下的twns.xml文件，查找到8080端口后修改为需要的端口。
(2).进入“管理控制台”－>“服务配置”－>“WEB容器”－>“HTTP通道”,点击“http-listener-1”修改8080端口,如图:(3).同时还可以为应用配多个访问端口，具体见TongWeb手册。
(4).在Unix/Linux下如果要使用80端口，则需要以root用户启、停TongWeb。
3 设置TongWeb日志TongWeb默认日志设置比较小，日志通过轮转方式生成，轮转日志时将新建一个名为server.log的空文件，并将旧文件重命名为server.log_date，其中date是轮转文件的日期和时间。
建议采用如下两种方式，进入“管理控制台”－>“服务配置”－>“日志服务”－>“日志服务配置”配置,如图：设置方式一：按日志文件大小生成日志，50M生成一个server.log。
参数：●日志轮转大小：50000000●日志轮转时间间隔：0设置方式二：按时间生成日志，24小时生成一个server.log。
参数：●日志轮转大小：0●日志轮转时间间隔：14404 关闭访问日志访问日志主要记录应用访问的IP和URL，日志生成在TongWeb的logs/access目录下。
安全基线的基本内容 -回复
安全基线的基本内容-回复什么是安全基线？安全基线（Security Baseline），也被称为最低安全配置（Minimum Security Configuration），是指在计算机系统或网络系统中所设定的最低安全要求或配置。
它是为了减少潜在漏洞和防止系统被攻击而采取的一系列预防措施的总称。
安全基线代表了一个系统或网络的安全性水平，并为系统管理员和安全专业人员提供了一个标准化的参考，以确保系统或网络的安全性得到最佳保障。
为什么需要安全基线？随着计算机系统和网络的普及和发展，信息安全面临着越来越多的挑战。
黑客攻击、漏洞利用、恶意软件等网络攻击手段日益复杂和隐蔽，给企业和个人的信息安全带来了极大的威胁。
为了防范和应对这些威胁，建立一个合理的安全基线成为了保障系统和网络安全的基础。
安全基线可以确保系统和网络的最低安全要求得到满足，最大程度地减少恶意攻击和数据泄露的风险。
安全基线的基本内容：1. 访问控制和身份验证：设置用户访问权限、身份验证要求和访问控制策略，以确保只有授权的用户能够访问系统或网络资源。
2. 密码策略：建立强密码要求和周期性更改密码的规定，加强对用户密码的保护和管理，防止密码猜测和撞库攻击。
3. 操作系统和应用程序的补丁管理：及时安装操作系统和应用程序的安全补丁，修复已知漏洞，减少攻击者利用漏洞的可能性。
4. 防病毒和恶意软件防护：安装并及时更新防病毒软件，对系统和网络进行常规扫描，及时发现和清除潜在的病毒和恶意软件。
5. 防火墙配置：配置和管理防火墙，限制对系统和网络的非法访问，有效阻止潜在攻击。
6. 安全审计和日志管理：开启事件日志、访问日志和安全审计功能，记录系统和网络的活动情况，及时发现异常行为和安全事件。
7. 数据备份和恢复：制定有效的数据备份策略，定期备份重要数据，确保在系统遭受攻击或故障时能够快速恢复。
8. 用户教育和安全意识培训：通过定期的安全培训和教育活动，提高用户对安全风险和防范措施的认识，增强安全意识。
iis 配置安全基线标准与操作指南
iis 配置安全基线标准与操作指南下载温馨提示:该文档是我店铺精心编制而成，希望大家下载以后，能够帮助大家解决实际的问题。
文档下载后可定制随意修改，请根据实际需要进行相应的调整和使用，谢谢!并且，本店铺为大家提供各种各样类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，如想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by theeditor.I hope that after you download them,they can help yousolve practical problems. The document can be customized andmodified after downloading,please adjust and use it according toactual needs, thank you!In addition, our shop provides you with various types ofpractical materials,such as educational essays, diaryappreciation,sentence excerpts,ancient poems,classic articles,topic composition,work summary,word parsing,copy excerpts,other materials and so on,want to know different data formats andwriting methods,please pay attention!IIS配置安全基线标准与操作指南一、引言Internet Information Services (IIS) 是微软公司提供的一个用于创建和运行网络应用程序的Web服务器。
安全基线配置检查
安全基线配置检查
随着信息技术的不断发展，网络空间的安全问题越来越受到人们的关注。
而安全基线配置检查是网络安全的一个重要方面。
安全基线配置检查是指根据安全策略、安全标准和安全最佳实践等要求，对系统的安全配置进行检查和评估，以确保系统的安全性和完整性。
安全基线配置检查主要包括以下方面：
1. 确认系统的安全配置是否符合安全策略、安全标准和安全最佳实践等要求。
2. 检查系统的用户账户、密码、权限等安全设置是否规范，是否存在弱口令、重复口令等安全隐患。
3. 检查系统的网络配置是否安全，是否存在未授权访问、端口开放等安全隐患。
4. 检查系统的应用程序配置是否安全，是否存在漏洞和安全隐患。
5. 检查系统的日志记录和监控设置是否完善，是否能够及时发现和应对安全事件。
通过安全基线配置检查，可以有效提高系统的安全性和完整性，减少系统被攻击的风险，保障企业和个人的安全。
因此，安全基线配置检查是企业和个人必须重视的安全工作之一。
- 1 -。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
TongWeb服务器安全配置基线
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录
第1章概述 (1)
1.1目的 (1)
1.2适用围 (1)
1.3适用版本 (1)
1.4实施 (1)
1.5例外条款 (1)
第2章账号管理、认证授权 (2)
2.1 (2)
2.1.1应用分配 (2)
2.1.2用户口令设置 (3)
2.1.3用户删除 (3)
2.2认证授权 (4)
2.2.1控制台安全 (4)
第3章日志配置操作 (7)
3.1日志配置 (7)
3.1.1日志与记录 (7)
第4章备份容错 (9)
4.1备份容错 (9)
第5章IP协议安全配置 (10)
5.1IP通信安全协议 (10)
第6章设备其他配置操作 (12)
6.1安全管理 (12)
6.1.1禁止应用程序可显 (12)
6.1.2端口设置* (13)
6.1.3错误页面处理 (14)
第7章评审与修订 (16)
第1章概述
1.1目的
本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。
1.2适用围
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
1.3适用版本
5.x版本的TongWeb服务器。
1.4实施
1.5例外条款
第2章账号管理、认证授权
2.1
2.1.1应用分配
说明信使用的账号共享。
检测操作步
骤
启动tongweb的控制台，选择列表中的安全域，点击管理用户,如图操作：
点击新建，建立用户账号，如图操作：
修改用户直接点击用户名，进行修改，如图：
基线符合性
判定依据
1、判定条件
各账号都可以登录TongWeb服务器为正常。
2、检测操作
访问ip:8080/twns管理页面，进行TongWeb服务器配置找安全服务下的安
全域即可。
备注
2.1.2用户口令设置
安全基线项TongWeb用户口令设置安全基线要求项
目名称
安全基线编
号
SBL-TongWeb-02-01-02
安全基线项
说明对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。
且5次以不得设置相同的口令。
密码应至少每90天进行更换。
检测操作步
骤
进行口令的修改或者添加，如图操作：
基线符合性判定依据1、判定条件
检查口令是否符合口令复杂度要求。
2、检测操作
人工检查登录页面测试口令是否符合；
备注
2.1.3用户删除
安全基线项
目名称
TongWeb用户删除安全基线要求项
安全基线编
号
SBL-TongWeb-02-01-03
安全基线项
说明
应用删除或锁定与设备运行、维护等工作无关的账号。
检测操作步
骤
删除无关用户，如图操作：
基线符合性
1、判定条件
判定依据
删除的用户tongwebuser不能通过控制台登录界面进入主页。
2、检测操作
访问ip:8080/twns管理页面，使用删除进行登陆尝试。
备注
2.2认证授权
2.2.1控制台安全
安全基线项
TongWeb控制台安全基线要求项
目名称
安全基线编
SBL-TongWeb-02-02-01
号
限制登陆管理控制台的服务器, 外网用户访问管理控制台，进行非法操作
安全基线项
说明
检测操作步
登陆管理控制台，“服务配置”→“WEB容器”→“虚拟主机”,如下图：骤
选择“admin”，如下图：
允许访问的远程地址：具体的IP或正则表达式。
本例中为正则表达式：10\.110\.111\.([1][9][3-9]|[2][0-5][0-9])，允许
10.110.111.193-255网段的IP访问管理控制台
基线符合性
该设置需要重启TongWeb才能生效
判定依据
备注
第3章日志配置操作
3.1日志配置
3.1.1日志与记录
安全基线项
目名称
TongWeb日志记录安全基线要求项安全基线编
号
SBL- TongWeb -03-01-01
安全基线项
说明设备应配置日志功能，对用户登录进行记录，记录容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
检测操作步
骤
TongWeb默认的访问日志是关闭了的，可以修改虚拟主机打开访问日志，访问日志中记录了客户端访问的本机IP、访问时间、访问的资源、请求使用的协议以及返回的状态码等容，若发现有攻击现象可以打开访问日志，通过分析访问日志可以知道哪些IP访问了系统资源，操作如图：
日志格式如图：
基线符合性判定依据1、判定条件
查看logs目录中相关日志文件容，记录完整
2、检测操作
查看localhost_access_log.2012-03-07.log中相关日志记录
备注
第4章备份容错4.1备份容错
第5章IP协议安全配置
5.1I P通信安全协议
安全基线项
目名称
TongWeb通信安全协议安全基线要求项安全基线编
号
SBL- TongWeb -05-01-01
安全基线项
说明对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。
检测操作步
骤1、启动tongweb，并创建https通道，端口为8445(根据实际情况创建)，如图：
2、修改tongweb的配置文件twn.xml，如图所示：
重新登录tongweb控制台，结果如图：
基线符合性判定依据1、判定条件
使用https方式登陆TongWeb服务器页面，登陆成功
2、检测操作
使用https方式登陆TongWeb服务器管理页面ip：https：//ip:8445/twns
备注
第6章设备其他配置操作
6.1安全管理
6.1.1禁止应用程序可显
安全基线项
目名称
TongWeb控制台超时设置安全基线要求项
安全基线编
号
SBL-TongWeb-06-01-01
安全基线项
说明
可以避免访问应用时，暴露应用目录下有哪些文件。
检测操作步
骤
为了防止如下图所示的显示应用目录的情况的发生，TongWeb默认为不显示目录结构：
如果希望显示，可进行如图操作：
说明:不需要重启tongweb。
基线符合性判定依据1、判定条件
勾选显示目录，有详细应用列表。
2、检测操作
按照操作指南显示操作。
备注
6.1.2端口设置*
安全基线项
目名称
TongWeb默认端口安全基线要求项
安全基线编
号
SBL-TongWeb-06-01-02
安全基线项
说明
更改TongWeb服务器默认管理控制台端口和访问端口
检测操作步
骤
选择列表中的虚拟机，进行如图操作：
定制部署到该虚拟主机上的所有web应用的错误页面，每个web应用都可以在自己的web.xml里覆盖这个配置，属性值分为3个部分：code指定错
误号，path指定错误页的绝对路径，reason指定错误原因。
如code=404
path=/存放error.jsp文件的目录/error.jsp reason=MY-404-REASON。
基线符合性判定依据1、判定条件
指向指定错误页面
2、检测操作
URL地址栏中输入ip:8080/manager~~~
备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。
6.1.3错误页面处理
安全基线项
目名称
TongWeb错误页面安全基线要求项
安全基线编
号
SBL-TongWeb-06-01-03
安全基线项
说明
TongWeb错误页面重定向
检测操作步
骤
选择列表中的虚拟机，进行如图操作：
定制部署到该虚拟主机上的所有web应用的错误页面，每个web应用都可以在自己的web.xml里覆盖这个配置，属性值分为3个部分：code指定错
误号，path指定错误页的绝对路径，reason指定错误原因。
如code=404
path=/存放error.jsp文件的目录/error.jsp reason=MY-404-REASON。
基线符合性1、判定条件
第7章评审与修订。