weblogic-web服务器安全配置基线

《weblogic-web服务器安全配置基线》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WebLogicWeb服务器安全配置基线WebLogicWeb服务器安全配置基线中国移动通信有限公司管理信息系统部2012年04月中国移动集团公司第12页共12页WebLogicWeb服务器安全配置基线版本版本控制信息更新日期更新人审批人V1.0创建2009年4月V2.0更新2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。中国移动集团公司第12页共12页WebLogicWeb服务器安全配置基线目录第1章概述41.1目的41.2适用范围41.3适用版本41.4实施41.5例外条款4第2章帐号管

2、理、认证授权52.1帐号52.1.1系统启动帐号52.1.2帐号锁定策略52.2口令62.2.1密码复杂度6第3章日志配置操作73.1日志配置73.1.1审核登录7第4章IP协议安全配置84.1IP协议84.1.1支持加密协议84.1.2限制应用服务器Socket数量84.1.3禁用SendServerHeader9第5章设备其他配置操作105.1安全管理105.1.1定时登出105.1.2更改默认端口*105.1.3错误页面处理115.1.4目录列表访问限制11第6章评审与修订12中国移动集团公司第12页共12页WebLogicWeb

3、服务器安全配置基线第1章概述1.1目的本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的WebLogicWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebLogicWeb服务器的安全配置。1.2适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。本配置标准适用的范围包括：支持中国移动集团公司管理信息系统部运行的WebLogicWeb服务器系统。1.3适用版本8.x9.x10.x版本的WebLogicWeb服务器。1.4实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在

4、本标准的执行过程中若有任何疑问或建议，应及时反馈。本标准发布之日起生效。1.5例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。中国移动集团公司第12页共12页WebLogicWeb服务器安全配置基线第1章帐号管理、认证授权1.1帐号1.1.1系统启动帐号安全基线项目名称WebLogic启动帐号安全基线要求项安全基线编号SBL-WebLogic-02-01-01安全基线项说明要求限制帐号检测操作步骤1、参考配置操作查看以管理员身份登录控制台执行#ps–ef

5、

6、grep–iweblogic基线符合性判定依据1、判定条件执行帐号不可以是root和nobody。备注1.1.2帐号锁定策略安全基线项目名称WebLogic帐号锁定安全基线要求项安全基线编号SBL-WebLogic-02-01-02安全基线项说明要求设定帐号锁定次数和时间，错误输入密码10次，系统自动锁定，锁定时间5分钟。检测操作步骤1、参考配置操作查看以管理员身份登录控制台1.点击左侧面板”Security”文件夹，展开”REALM”2.点击右侧面板中的”UserLock”标签，查看LockoutEnabled，LockoutThr

7、eshold，LockoutDuration等基线符合性判定依据1、判定条件要求LockoutEnabled=true;LockoutThreshold=10;LockoutDuration=5中国移动集团公司第12页共12页WebLogicWeb服务器安全配置基线备注1.1口令1.1.1密码复杂度安全基线项目名称WebLogic密码复杂度安全基线要求项安全基线编号SBL-WebLogic-02-02-01安全基线项说明对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不

8、得设置相同的口令。密码应至少每90天进行更换。检测操作步骤1、参考配置操作查看WebLogic安装目录下的weblogic.properties配置文件2、补充操作说明口令要求：口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。基线符合性判定依据1、判定条件weblogic.system.minPasswordLen=8等备注中国移动集团公司第12页共12页WebLogicWeb服务器安全配置基线第1章日志配置操作1.1日志配置1.1.1审核登录安全基线项

9、目名称WebLogic审核登录安全基线要求项安全基线编号SBL-WebLogic-03-01-01安全基线项说明设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的帐号，登录是否成功，登录时间