Linux系统安全-解决方案
linux操作系统安全评估作业指导书-V1.0
1.5
检查主机系统上是否存在可疑账户、 克隆账户、多余的账户、过期的账 户，共享账户；
1.6
检查所分配的账号权限配置是否符合 安全基准要求；
1.7
检查linux主机的管理方式； 当远程方式登录主机设备，是否取必 要措施，防止鉴别信息在网络传输过 程中被窃听； 检查主机系统是否修改了远程桌面默 认端口； 检查主机系统上开启的默认共享或文 件共享；
a.建议重要或外网的主机系统安装主机级别的入侵检测软件（NIDS）； b.建议每周对主机入侵检测软件告警日志进行分析； a.建议重要或外网的主机系统部署操作系统和应用系统日志远程备份措 施，防止日志受到清除； b.建议远程备份的日志记录保存6个月以上； a.主机系统应部署补丁统一管理分发措施，如yum源或第三方工具； b.软件补丁更新措施，软件升级或修改配置等； a.操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序；
1、查看系统审计文件more /etc/audit/auditd.conf或auditd -l log_file = /var/log/audit/audit.log #日志存放路径 log_format = RAW #日志记录格式 priority_boost = 3 #设置auditd的优先启动级，0的话是正常顺序启动 flush = INCREMENTAL #表示多少条记录一组写到磁盘 freq = 20 #审计守护进程在写到日志文件中之前从，内核中接收的记录数 num_logs = 4 #指定log的数目 dispatcher = /sbin/audispd #当启动这个守护进程时，由审计守护进程自动 启动程序 disp_qos = lossy #控制调度程序与审计守护进程之间的通信类型 max_log_file = 5 #最大日志个数 max_log_file_action = ROTATE #当达到max_log_file的日志文件大小时采取的 1、以root身份登陆进入linux 2、查看linux密码文件内容 #cat/etc/shadow 记录没有被禁用的系统默认用户名 采用查看方式，在root权限下，使用命令more、cat或vi查看/etc/passwd和 /etc/shadow文件中各用户名状态，查看是否存在以下可能无用的帐户： adm、lp、sync、shutdown、halt、news、uucp、operator、games、ftp、 postfix usermod -L <user> 锁定用户； a.在root权限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中 各用户名状态，查看是否存在以下可能无用的帐户： adm、lp、sync、shutdown、halt、news、uucp、operator、games、ftp、 postfix等 b.根据检查到的账户列表，访谈主机管理员是否有多余、过期和共享的账户； usermod -L <user> 锁定用户； userdel <user> 删除用户；
linux系统中ca-certificates 详解
linux系统中ca-certificates 详解在Linux操作系统中，CACertificates（Certificate Authority Certificates）是指用于验证数字证书真实性和有效性的根证书和中间证书集合。
CA证书是专门由可信任的权威机构（Certificate Authority）签发的数字证书，被广泛应用在安全通信领域，如SSL/TLS协议的实施和数字签名验证等。
本文将详细介绍CACertificates在Linux系统中的作用、安装、配置和使用方法，以及常见问题的解决方案。
一、CACertificates的作用和意义CACertificates在Linux系统中扮演着重要的角色，主要有以下几个作用和意义：1. 身份验证：CACertificates通过验证数字证书的签发机构（CA）的可信度，确保通信双方的身份真实且有效。
这在互联网上进行网站访问、电子邮件发送和接收以及在线交易等安全通信场景中至关重要。
2. 数据传输安全：CACertificates可确保传输信道的安全性，通过SSL/TLS协议对数据进行加密和解密，防止敏感信息在网络传输过程中被黑客窃取、篡改或劫持。
3. 数字签名验证：CACertificates可以验证数字签名的真实性，确保接收方得到的数据在传输过程中没有被篡改，同时也能确定数据的签署者身份。
4. CA信任链建立：CACertificates通过建立可信的链式结构，将根证书和中间证书与服务器证书进行关联，形成信任链，确保证书的完整性和可信度。
二、CACertificates的安装和配置方法1. 安装CACertificates软件包：在大多数的Linux发行版中，CACertificates是作为一个独立的软件包进行发布的，可以使用包管理器进行安装。
例如，在Debian/Ubuntu系统中，可以通过以下命令安装CACertificates：sudo apt-get updatesudo apt-get install ca-certificates2. 更新CACertificates：由于CA证书往往有一定的有效期限制，为了及时获取最新的CA证书，我们需要定期更新CACertificates。
LINUX操作系统安全测评指导书三级
操作系统安全测评指引书
LINUX
1概述
1.1 合用范畴
本测评指引书合用于信息系统级别为三级旳主机Linux操作系统测评。
1.2 阐明
本测评指引书基于《信息系统安全级别保护基本规定》旳基本上进行设计。
本测评指引书是主机安全对于Linux操作系统身份鉴别、访问控制、安全审计、剩余信息保护、备份与恢复安全配备规定，对Linux操作系统主机旳安全配备审计作起到指引性作用。
1.4 保障条件
1)需要有关技术人员（系统管理员）旳积极配合
2)需要测评主机旳管理员帐户和口令
3)提前备份系统及配备文献。
红帽系统实现主体和客体安全标记
红帽系统实现主体和客体安全标记红帽系统是一个基于Linux操作系统的开源软件解决方案提供商，其目标是为企业用户提供稳定、可靠和安全的计算平台。
在红帽系统中，实现主体和客体的安全标记被认为是一个关键的安全措施。
本文将探讨红帽系统如何实现主体和客体安全标记，并提供深入的分析和理解。
首先，我们需要了解主体和客体在计算机安全中的概念。
主体指的是系统中执行操作的实体，可以是用户、进程或服务等。
客体则是主体操作的目标，可以是文件、目录、网络连接等。
在红帽系统中，为了保护客体免受未经授权的访问和恶意操作，需要为主体和客体进行安全标记。
红帽系统通过使用SELinux（Security-Enhanced Linux）实现主体和客体的安全标记。
SELinux是一个基于Mandatory Access Control （强制访问控制）的安全子系统，可以对系统资源和进程进行细粒度的访问控制。
在SELinux中，每个主体和客体都被赋予一个安全上下文。
安全上下文是一个包含了安全策略信息的标签，用于表示主体和客体所属的安全域。
安全上下文由三部分组成：用户标识、角色和类型。
用户标识用于标识主体或客体所属的用户，类似于Linux系统中的用户ID。
角色用于定义主体或客体的角色，不同的角色可以有不同的权限和访问控制规则。
类型则用于标识主体或客体的类型，如文件类型、进程类型等。
通过将安全上下文与主体和客体相关联，SELinux可以对其进行细粒度的访问控制。
例如，可以定义策略规则，只允许具有特定角色和类型的主体对特定类型的客体执行特定操作。
红帽系统还提供了一个管理工具，称为semanage，用于管理SELinux的安全策略。
通过semanage，管理员可以创建和修改安全上下文、定义策略规则以及分配角色和类型等。
除了SELinux之外，红帽系统还提供了其他安全措施来加强主体和客体的安全标记。
例如，系统管理员可以使用访问控制列表（ACL）为文件和目录设置更细粒度的权限控制；另外，红帽系统还提供了加密文件系统和防火墙等功能来增加系统的安全性。
linux日常巡检方法
linux日常巡检方法Linux日常巡检是确保Linux服务器正常运行的重要工作之一、巡检可以帮助我们发现潜在问题，提前解决，从而避免系统故障和安全问题的发生。
下面我将介绍一些常用的Linux日常巡检方法。
1.CPU使用率检查：通过命令“top”或“htop”可以查看CPU的使用率，通过观察CPU 的使用情况，可以判断系统是否存在过载问题，及时采取措施处理。
2.内存使用情况检查：使用命令“free -h”可以查看内存使用情况，包括已用内存、可用内存、缓存和交换空间等。
如果内存使用率过高，可能会导致系统变慢或者崩溃，需要进一步检查哪些进程占用了过多的内存。
3.磁盘空间检查：通过命令“df -h”可以查看各个分区的磁盘空间使用情况，及时发现磁盘空间不足的问题，避免系统因为磁盘满了而停止工作。
4.磁盘I/O检查：使用命令“iostat -x 1”可以实时监控磁盘的读写情况，可以检查磁盘是否存在过高的I/O负载，以及是否有磁盘读写速度异常的问题。
5.网络连接检查：使用命令“netstat -tun lp”可以查看当前的网络连接情况，包括TCP和UDP连接。
可以检查是否存在异常连接，及时发现并处理网络安全问题。
6.日志文件检查：通过检查系统日志文件，如/var/log/messages和/var/log/syslog，可以了解系统的运行状态，包括系统启动，服务启动和关闭等。
如果发现异常或者错误信息，可以及时采取措施解决。
7.进程监控：使用命令“ps aux”可以查看当前运行的进程列表，如果发现有异常或者未知的进程，可能存在安全风险。
应该及时调查并进行处理。
8.定时任务检查：通过命令“cron tab -l”可以查看系统的定时任务列表，确保定时任务正常运行，并检查是否存在异常的定时任务，避免系统遭受攻击。
9.网络服务检查：通过命令“systemctl list-units --type=service”可以查看系统中运行的服务列表，确保关键服务正常运行，并检查是否存在异常的服务进程。
linux 系统迁移方案
linux 系统迁移方案摘要：一、引言1.迁移背景2.迁移目的二、迁移准备工作1.了解目标系统架构2.数据备份与恢复3.软件兼容性检查三、迁移实施步骤1.系统镜像制作与部署2.网络配置与资源共享3.用户与权限设置4.系统配置与优化5.应用软件安装与测试四、迁移过程中可能遇到的问题及解决方案1.硬件兼容性问题2.驱动程序缺失3.系统稳定性问题4.性能优化五、迁移后的维护与监控1.系统安全防护2.数据备份策略3.性能监控与调整4.用户反馈与支持六、总结与展望1.迁移成果评估2.迁移经验的总结3.未来系统迁移规划正文：一、引言随着科技的不断发展，Linux系统在各个领域得到了广泛的应用。
在这个背景下，越来越多的企业开始考虑将原有的系统迁移至Linux平台，以提高系统稳定性、安全性和降低运维成本。
本文将详细介绍一套完整的Linux系统迁移方案，帮助企业和开发者顺利实现迁移目标。
1.迁移背景在企业级应用中，Linux系统凭借其高度可定制性、开源优势和良好的性能，逐渐成为替代传统封闭式操作系统的主流选择。
迁移背景主要包括：（1）原有系统存在安全隐患，需要提高安全性；（2）降低操作系统授权成本；（3）统一系统架构，提高运维效率；（4）满足业务发展需求，提高系统性能。
2.迁移目的本次迁移的主要目的包括：（1）提高系统安全性，降低安全风险；（2）优化系统性能，提高资源利用率；（3）降低运维成本，提高运维效率；（4）实现软硬件平台的统一，便于管理。
二、迁移准备工作在进行Linux系统迁移之前，需要做好以下准备工作：1.了解目标系统架构充分了解目标系统的硬件架构、网络拓扑、软件环境等，以便为后续迁移提供依据。
2.数据备份与恢复在迁移过程中，为确保数据安全，需要对原有系统进行数据备份。
备份完成后，对新系统进行数据恢复，验证数据完整性和准确性。
3.软件兼容性检查检查目标系统中的软件是否与原有系统相同，如有差异，需提前准备相应的替代品或升级方案。
Linux系统的网络安全与电子商务方案
摘 要 ：ｉｕ Ｌｎ ｘ系统 是 一 种 应 用越 来越 广泛 的 网络 操 作 系统 ， 确 保 系统 安 全 稳 定 的运 转 ， 实 际运 用 时应 该 采 用适 当的 安 全 机 制 。 为 在 本
文 首 先 提 出切 实可 行 的 基 于 Ｌ ｎ ｘ 系统 的 网络 安 全 策略 和 保 护 措 施 ， 而提 出基 于 Ｌｎ ｘ系统 的 电子 商 务 组 成 与 选择 。 ｉｕ 进 ｉｕ 关 键 词 ： ｉｕ ； Ｌｎ ｘ 网络 协 议 ； 网络 安 全 ； 电子 商 务（ Ｃ） Ｅ
ＸＩ Ｓ ｏ ｎ Ｅ ｈａ ’ｑｕ
（．ｏ ｔ ｉａＵｎｖ ｒｔ ｆＴｅｈ ｏｏ ｙ Ｇｕ ｎ ｚ ｏ １ ３ ０Ｃｈｎ ；、 ａ ｇ ｎ ｉｅｓ ｆ ｓ ｅｓＳｕ ｉｓ ｙＬ ｂ ｏ Ｃ ｒｅ ｎ １Ｓ ｕｈＣｈｎ ｉｅｓｙｏ ｉ ｃ ｎ ｌｇ ， ａ ｇｈ ｕ５ ０ ２ ， ｉａ Ｇｕ ｎ Ｄｏ ｇＵｎｖ ｒｉ ｏ Ｂｕｉ ｓ ｔｄｅ， ａ ｆＥ ｍａｋ ｔａ ｄ ２ ｙ ｔ ｎ Ｋｅ
ａ ｐ ｃｔ ｎ ｔ ｈ ｌ ａ ｏ ｃ ｎ ｌｇ Ｇｕｎ ｚ ｏ １ ３ ０Ｃ ｉａ ｉ ｉ ｅ ｙ
Ａｂ ｔ ｃ ： ｅｓ ｓ ｍ ｆＬ ｎ ｘ ｉ ａ ｋ ｎ ｆｎ ｔ ｒ ｐ ｒ ｔ ｇ ｓ ｓ ｍ ａ ｓ ｐ ｌ ｄ ｍｏ ｅａ ｄ ｍｏ ｅ ｅ ｔｎ ｉ ｅｙ Ｉ ｒ ｅ ｏ ｉ ｓ ｒ ｈ ｙ — ｓ ｒ ｔＴｈ ｙ ｔ ｏ ｉ ｕ ｓ ｉ ｄ ｏ ｅｗｏ ｋ ｏ ｅ ａｉ ｙ ｔ ｔ ｔ ｐｉ ｒ ｎ ｒ ｘ ｅ ｓ ｌ ． ｎ ｏ ｄ ｒｔ ｎ ｕ ｅ ｔ ｅ ｓ ｓ ａ ｅ ｎ ｅ ｈ ｉａ ｅ ｖ
改。
发 现 有 不 安 全 的 用 户 口令 ． 强 制 用 户 立 即修 改 。 要
第8章 Linux网络安全
本章学习目标 通过对本章的学习，读者应该掌 握以下主要内容： Ø 计算机网络安全的基本概念及 Linux系统安全 Ø 防火墙技术基本知识 Ø 用iptales实现包过滤型防火墙
8.1 计算机网络安全基础知识 8.1.1 网络安全的含义
网络安全从其本质上来讲就是网络上的信息安全，其所涉及的领域相 当广泛。这是因为在目前的公用通信网络中存在着各种各样的安全漏 洞和威胁。从广义来说，凡是涉及到网络上信息的保密性、完整性、 可用性、真实性和可控性的相关技术和理论，都是网络安全所要研究 的领域。下面给出网络安全的一个通用定义： 网络安全是指网络系统的硬件、软件及其系统中的数据受到保护， 不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠 正常地运行，网络服务不中断。 因此，网络安全在不同的环境和应用中会得到不同的解释。
sudoers这个文件是由一个选择性的主机别名(host alias)节区，一 个选择性的指令别名(command alias)节区以及使用者说明 (user specification)节区所组成的。所有的指令别名或主机别名必须 需以自己的关键字作为开始(Host_Alias/Cmnd_Alias)。
/nmap/index.html
8.2 防火墙技术 8.2.1 什么是防火墙
防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公 共网）或网络安全域之间的一系列部件的组合，是不同网络或网络 安全域之间信息的唯一出入口，能根据企业的安全政策控制（允许、 拒绝、监测）出入网络的信息流，且本身具有较强的抗攻击能力。 防火墙是提供信息安全服务，实现网络和信息安全的基础设施。 在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器， 有效地监控了内部网和Internet之间的任何活动，保证了内部网络 的安全，如图8-1。
专用商业零售终端解决方案——新华Linux系统专用版
开
专 用 商 业 零 售 终 端解 决 方案
新 华 Ｌｎｘ ｉ 系统 专 用版 ｕ
随着 科 技 的 进 步 ， 零售 终 端 （ 下 简 ｆ￣ ＯＳ ） 逐 步 在 零 售 以 Ｊ Ｐ 机 正 领 域 得 到 普 遍 的 应 用 ， 到 目前 为
设 备 型 号 ，从 而 在 一 定 程 度 上 提
高 了 应 用软 件 的通 用 性 。
制 出 一 套 更 适 合 自 己 的 系 统 ，使
系统 更 轻 便 简洁 、灵 活易 用 。 ２ 更好 的 安 全性 ．
５ ．更 低 的 硬 件 成 本
新 华 Ｌ ｎ ｘ系 （ 转 第 ４ ｉｕ 下 ５页 ）
Ｌｉ Ｘ 系 统 专 用 ｎｕ 版 集 成 了 终 端 设 备 所 需 的软 件 模
块 ，包括 轻量级
统 大 部 分 仍 采 用 的 是 非 专 业 系统 ，
如 ＤＯＳ系 统 、Ｗ ｉ ｄ ｗｓ ｎ ｏ ，这 些 操
作 系统 的参 差 不齐 ，导致 功 能有
的过 于 有 限 ，有的 又过 于臃 肿 。
用 软 件 的 开 发 者 不 用 关 心 具 体 的
系 统 和 设 备 驱 动 几 部 分 组 成 ，通 过这 几 个部 分 的 密切 配 合 ，实现 终 端 业务 处 理 功 能 。
１ ．零 售 应 用 软 件 ，负 责 处 理
零 售 业 务 ，提 供 收 银 人 员 的 操 作 界 面 和 商 品 数 据 的 处 理 ，实 现 收 银 过 程 的整 个 流程 。 ２ 新华 Ｌｎ ｘ系统 专 用版 ， ． ｉｕ
商 品 数 据 的 扫 描 、 输 入 与
优 势 与特 点
在 终 端 软 件 中 ， 专 用 操 作 系
linux nas方案
linux nas方案本文将介绍Linux下的NAS（网络存储）方案。
NAS作为一种网络存储解决方案，通过网络连接多个设备，提供高效的文件共享和存储管理功能。
在Linux系统中，我们可以使用不同的软件和工具来实现NAS功能。
一、介绍NASNAS是一种基于网络连接的存储设备，可用于存储和共享文件。
它可以通过以太网或其他网络协议提供存储服务。
NAS设备通常基于硬件或软件来实现。
在Linux下，我们可以使用软件来构建自己的NAS 系统。
二、选择合适的Linux发行版在搭建Linux NAS方案之前，我们需要选择一个合适的Linux发行版作为基础操作系统。
常见的选择包括Ubuntu、Debian、CentOS等。
这些发行版具有稳定性、安全性和良好的社区支持，非常适合用于构建NAS系统。
三、安装和配置NAS软件1. SambaSamba是Linux中最常用的NAS软件之一。
它基于Windows共享协议（SMB/CIFS），可以实现Linux和Windows之间的文件共享。
我们可以使用下面的命令来安装Samba：```sudo apt install samba```安装完成后，通过编辑Samba配置文件来配置共享文件夹、用户权限等。
2. NFSNFS（Network File System）是Linux中另一个常用的NAS方案。
它提供了一种通过网络将文件系统映射到远程服务器的方法，实现文件的共享和访问。
我们可以使用下面的命令安装NFS：```sudo apt install nfs-kernel-server```安装完成后，需要编辑exports文件来指定共享的目录和访问权限。
3. FTPFTP（File Transfer Protocol）是一个用于文件传输的标准协议。
在Linux中，我们可以使用vsftpd等软件来搭建FTP服务器，实现文件的上传和下载。
通过以下命令安装vsftpd：```sudo apt install vsftpd```安装完成后，需要编辑vsftpd配置文件来配置FTP服务器。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.1.1 Linux系统安全基线技术要求
1.1.1.1 设备管理
应配置系统安全管理工具，预防远程访问服务攻击或非授权访问，提高主机系统远程管
理安全。
基线技术要求 基线标准点（参数） 说明
管理远程工具 安装SSH OpenSSH为远程管理高安全性工具，可保护管理过程中传输数据的安全,linux当前版本都已默认安
装
访问控制 配置/etc/hosts.allow、/etc/hosts.deny 配置本机访问控制列表，提高主机系统安全访问
1.1.1.2 用户账号与口令安全
应配置用户账号与口令安全策略，提高主机系统账户与口令安全。
基线技术要求 基线标准点（参数） 说明
限制系统无用的默认
帐号登录
a) Daemon
b) Bin
c) Sys d) Adm e) Uucp f) Lp g) nobody 清理多余用户帐号，限制系统默认帐号登录，同
时，针对需要使用的用户，制订用户列表进行妥
善保存
root远程登录 禁止 禁止root远程登录
口令策略 a) PASS_MAX_DAYS 180（可选） b) PASS_MIN_DAYS 1
c) PASS_WARN_AGE 28
d) PASS_MIN_LEN 8
a) 密码使用最长期限为180天
b) 密码1天之内不能更改
c) 密码过期之前28天提示修改
d) 密码长度最小8位字符
控制用户登录会话 设置为600秒 设置超时时间，控制用户登录会话
FTP用户帐号控制 /etc/ftpusers 禁止root用户使用FTP
1.1.1.3 日志与审计
应对系统的日志进行安全控制与管理，保护日志的安全与有效性。
基线技术要求 基线标准点（参数） 说明
捕获authpriv消息 authpriv日志
记录有关安全方面日志消息(如网络设备启动、
usermod、change等)
基线技术要求 基线标准点（参数） 说明
日志存储（可选） 指定日志服务器 使用日志服务器接受与存储主机日志
日志保存要求 2个月 日志必须保存2个月
日志系统配置文件保护 文件属性400（管理员账号只读） 修改日志配置文件（syslog.conf）权限为400
1.1.1.4 服务优化
应提高系统服务安全，优化系统资源。
基线技术要求 基线标准点（参数） 说明
telnet 服务 禁止 远程访问服务
ftp 服务（可选） 禁止 文件上传服务（需要经过批准才启用）
sendmail 服务（可选） 禁止 邮件服务
klogin 服务
禁止
Kerberos 登录，如果您的站点使用 Kerberos 认
证则启用（需要经过批准才启用）
kshell 服务
禁止
Kerberos shell，如果您的站点使用 Kerberos 认
证则启用（需要经过批准才启用）
ntalk 服务 禁止 new talk
tftp 服务 禁止 以 root 用户身份运行并且可能危及安全
imap 服务（可选） 禁止 邮件服务
pop3服务（可选） 禁止 邮件服务
GUI服务（可选） 禁止 图形管理服务
X windows服务（可选） 禁止 通用的windows界面
xinetd启动服务（可选） 禁止 系统自动启动服务：
nfs、nfslock、autofs、ypbind
ypserv、yppasswdd、portmap
smb、netfs、lpd、apache
httpd、tux、snmpd、named
postgresql、mysqld、webmin、
kudzu、squid、cups、ip6tables
iptables、pcmcia、bluetooth
NSResponder、apmd、avahi-daemon
canna、cups-config-daemon
FreeWnn、gpm、hidd等
1.1.1.5 安全防护
应对Linux系统配置参数调整，提高系统安全。
基线技术要求 基线标准点（参数） 说明
Umask权限 022 修改默认文件权限
敏感文件安全保护 a) /etc/passwd b) /etc/group c) /etc/shadow 保护口令文件
1.1.2 MS SQL 数据库系统安全基线技术要求
1.1.2.1 用户账号与口令安全
应配置用户账号与口令安全策略，提高数据库系统账户与口令安全。
基线技术要求 基线标准点（参数） 说明
administrator（可
选）
禁止登录 禁止通过操作系统直接登录
sa帐号控制（可选） 重命名 防止利用SA攻击
用户账号权限 最小化 限制guest帐户对数据库的访问
口令策略（2005、
2008版本）
8位字符
须有大小写 须有字母与数字 加强数据库口令安全
1.1.2.2 日志与审计
应对系统的日志进行安全控制与管理，保护日志的安全与有效性。
基线技术要求 基线标准点（参数） 说明
登录日志 全部 记录登录日志
日志保存要求 2个月 日志必须保存2个月
1.1.3 Tomcat中间件安全基线技术要求
1.1.3.1 用户账号与口令安全
应配置用户账号与口令安全策略，提高系统账户与口令安全。
基线技术要求 基线标准点（参数） 说明
修改默认口令 修改默认口令或禁用默认账号 提高账号口令安全
优化WEB服务账号 以Tomcat用户运行服务
为WEB服务提供唯一、最小权限的用户与
组，增强安全性
设置SHUTDOWN字符串 设置shutdown为复杂的字符串
防止恶意用户telnet到8005端口后，发
送SHUTDOWN命令停止Tomcat服务
1.1.3.2 日志与审计
应对系统的日志进行安全控制与管理，保护日志的安全与有效性。
基线技术要求 基线标准点（参数） 说明
访问日志审计 增加访问日志审计 记录错误信息和访问信息
日志保存要求 2个月 日志必须保存2个月
1.1.3.3 安全防护
应对系统的配置进行调整，提高系统安全。
基线技术要求 基线标准点（参数） 说明
隐藏版本信息 去掉版本信息文件中的版本信息 防止软件版本信息泄漏
禁止目录遍历 修改参数文件，禁止目录遍历 禁止遍历操作系统目录
错误信息自定义 自定义400 403 404 500错误文件 修改错误文件信息内容,防止信息泄漏