WebLogic系统加固规范V0.2

WebLogic系统加固规范2022年4月目录1账号管理、认证授权 (1)1.1.1SHG-WebLogic-01-01-01 (1)1.1.2SHG-WebLogic-01-01-02 (3)1.1.3SHG-WebLogic-01-01-03 (4)1.1.4SHG-WebLogic-01-01-04 (6)2日志配置 (7)2.1.1SHG-WebLogic-02-01-01 (7)2.1.2SHG-WebLogic-02-01-02 (10)3通信协议 (15)3.1.1SHG-WebLogic-03-01-01 (15)3.1.2SHG-WebLogic-03-01-02 (20)4设备其他安全要求 (22)4.1安装部署 (22)4.1.1SHG-WebLogic-04-01-01 (22)4.1.2SHG-WebLogic-04-01-02 (23)4.1.3SHG-WebLogic-04-01-03 (25)4.1.4SHG-WebLogic-04-01-04 (26)4.1.5SHG-WebLogic-04-01-05 (28)4.1.6SHG-WebLogic-04-01-06 (30)4.1.7SHG-WebLogic-04-01-07 (31)4.1.8SHG-WebLogic-04-01-08 (31)4.2运行维护 (32)4.2.1SHG-WebLogic-04-02-01 (32)4.2.2SHG-WebLogic-04-02-02 (33)4.2.3SHG-WebLogic-04-02-03 (34)4.3备份容错 (35)4.3.1SHG-WebLogic-04-03-01 (35)1账号管理、认证授权1.1.1S H G-W e b L o g i c-01-01-014. 选择”Servers”标签. 从”Available li st”移动每个想要的服务器实例到“Chosen list”. 然后击”Apply”按钮回退方案恢复设置到加固前状态判断依据以特权用户身份启动应用服务器，绑定端口之后改变UID和GID 到非特权用户和组实施风险高重要等级★★备注1.1.2S H G-W e b L o g i c-01-01-02实施风险低重要等级★★备注1.1.3S H G-W e b L o g i c-01-01-03编号SHG-WebLogic-01-01-03名称帐号锁定设置实施目的设定帐号锁定次数和时间问题影响不设定帐号锁定难以抵抗帐号字典攻击系统当前状态以管理员身份登录控制台1. 点击左侧面板”Security”文件夹，展开”REALM”2. 点击右侧面板中的”User Lock”标签，查看如下图红色标记部分实施步骤设定帐号锁定次数和时间以管理员身份登录控制台1. 点击左侧面板”Security”文件夹，展开”REALM”2. 点击右侧面板中的”User Lock”标签，设定Lockout Enabled，LockoutThreshold值为5，Lockout Duration为30（分钟）回退方案修改设置到加固前状态判断依据实施风险中重要等级★★★备注1.1.4S H G-W e b L o g i c-01-01-04编号SHG-WebLogic-01-01-04 名称管理ID控制实施目的为不同的管理用户分配不同的角色，避免共享口令和减少特权ID使用问题影响可能存在共用帐号和没有分配不同角色到不同管理用户的情况，存在安全隐患系统当前状态以管理员身份登录控制台1. 点击左侧面板”Security”文件夹，展开”REALM”2. 点击”Users”文件夹，查看用户所属组及组、全局角色配2 日志配置2.1.1 S H G -W e b L o g i c -02-01-012. 查看是否配置Auditor，对照如下图的红色标记部分配置1.点击左侧面板中域名下的服务器，对照如下图的红色标记部分配置实施步骤以管理员身份登录控制台1. 点击左侧面板Security文件夹,展开provider,然后点击Auditing文件夹2. 查看是否配置Auditor，如无选择”Configure a new Default Auditor”并设置审计级另为FAILURE.3. 点击左侧面板中域名下的服务器，在右侧面板“General”标签中设置Configuration Auditing为logAudit回退方案关闭审计功能判断依据配置了审计，设置审计级另为FAILURE，Configuration Auditing为logAudit实施风险中重要等级★★★备注2.1.2S H G-W e b L o g i c-02-01-02编号SHG-WebLogic-02-01-02名称启用日志记录实施目的启用日志记录，配置按日期rotate问题影响不启用日志或配置不当，就无法回溯追踪需要的历史记录系统当前状态以管理员身份登录管理控制台1. 点击域名，在右侧面板选择“Configuration”标签2. 选择logging标签，设置域级日志，查看如下图红色标记部分3. 点击域名下servers下的服务器名，在右侧面板选择“Logging”标签，点击Domain标签，查看”Log to Domain Log file”4. 点击域名下servers下的服务器名，在右侧面板选择“Logging”标签，点击Server标签，配置服务器级日志，查看”Log to stdout”等，如下红色标记项5. 点击域名下servers下的服务器名，在右侧面板选择“Logging”标签，点击“HTTP”标签，查看如下红色标记部分实施步骤以管理员身份登录管理控制台1. 点击域名，在右侧面板选择“Configuration”标签2. 选择logging标签，设置域级日志，勾选如下图红色标记部分3. 点击域名下servers下的服务器名，在右侧面板选择“Logging”标签，选择Domain，勾选”Log to Domain Log file”4. 同上，点击Server标签，配置服务器级日志，勾选”Log to stdout”等，如下红色标记项5. 同上，点击“HTTP”标签，按如下红色标记部分进行配置回退方案关闭日志功能判断依据开启日志，并配置按日期rotate实施风险低重要等级★★★备注3通信协议3.1.1S H G-W e b L o g i c-03-01-01编号SHG-WebLogic-03-01-01名称Keystore 和SSL设置实施目的设置WebLogic Keystore 和SSL最底部蓝色标记部分应勾选”SSL Rejection Logging Enabled”，记3.1.2S H G-W e b L o g i c-03-01-02判断依据实施风险中重要等级★★★备注此项操作需开发人员在测试机修改后测试，应用正常然后再在生产机器上修改4设备其他安全要求4.1安装部署4.1.1S H G-W e b L o g i c-04-01-014.1.2S H G-W e b L o g i c-04-01-02系统当前状态以root身份执行：1. # find $BEA_HOME/ -name myserver.log | grep –i “Production Mode”# find $BEA_HOME/ -name setEnv.sh | grep –i “Production Mode”2. 以管理员身份登录管理控制台,点击域名，在右侧面板选中”Genaral”标签,查看是否勾选” Production Mode”实施步骤以管理员身份登录管理控制台1. 点击域名，在右侧面板选中”Genaral”标签2. 勾选” Production Mode”，更改运行模式为” Production Mode”回退方案恢复成开发模式判断依据以Production Mode运行实施风险中重要等级★★★备注4.1.3S H G-W e b L o g i c-04-01-034.1.4S H G-W e b L o g i c-04-01-04判断依据实施风险低重要等级★★★备注4.1.5S H G-W e b L o g i c-04-01-05编号SHG-WebLogic-04-01-05名称删除sample程序实施目的删除sample程序问题影响sample例子程序会泄露系统敏感信息，存在较大的安全隐患系统当前状态1. 以root权限执行# find $BEA_HOME/ -name sample –print2. 以管理员身份登录管理控制台a)点击”Deployment”文件夹，查看是否有如下形式应用存在：b)展开”Deployment”子文件夹，查看是否存在以上形式内容，其path中包含“samples“目录,如下图实施步骤以管理员身份登录管理控制台1．点击”Deployment”文件夹，查看是否有如下形式应用存在：2．# find $BEA_HOME/ -name sample | xargs `rm –rf`回退方案重新安装SAMPLE 判断依据没有安装实施风险低重要等级★★★备注4.1.6S H G-W e b L o g i c-04-01-06编号SHG-WebLogic-04-01-06名称设定默认出错页面实施目的重新在应用程序web.xml中定义默认出错页面问题影响如果没有定义默认错误网页，则当应用程序出错时会显示内部出错信息,暴露系统和应用的敏感信息系统当前状态以root身份执行：# cat <Application HOME>/WEB-INF/web.xml实施步骤编辑<Application HOME>/WEB-INF/web.xml ，加入error-page定义回退方案回复定义错误页面到加固前状态判断依据存在如下定义形式：实施风险低重要等级★★★备注APPLICATION_HOME需要询问用户或自行查找确定4.1.7S H G-W e b L o g i c-04-01-074.1.8S H G-W e b L o g i c-04-01-084.2运行维护4.2.1S H G-W e b L o g i c-04-02-014.2.2S H G-W e b L o g i c-04-02-024.2.3S H G-W e b L o g i c-04-02-034.3备份容错4.3.1S H G-W e b L o g i c-04-03-01。