WebLogic-Web服务器安全配置风险评估检查表.doc

《WebLogic-Web服务器安全配置风险评估检查表.doc》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、WebLogicWeb服务器安全配置基线目录第1章概述11.1目的11.2适用范围11.3适用版本1第2章账号管理、认证授权22.1账号22.1.1账号锁定策略22.2口令22.2.1密码复杂度2第3章日志配置操作43.1日志配置43.1.1审核登录4第4章IP协议安全配置54.1IP协议54.1.1支持加密协议54.1.2限制应用服务器Socket数量54.1.3禁用SendServerHeader6第5章设备其他配置操作75.1安全管理75.1.1定时登出75.1.2更改默认端口75.1.3错误页面处理85.1.4目录列表

2、访问限制8I第1章概述1.1目的本文档规定了WebLogicWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebLogicWeb服务器的安全配置。1.2适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。1.3适用版本6.x、7.x、8.x版本的WebLogicWeb服务器。现在最新的weblogic服务器时9.1，此文件不适用与最新的服务器第1章账号管理、认证授权1.1账号1.1.1账号锁定策略安全基线项目名称WebLogic账号锁定安全基线要求项安全基线编号SBL-WebLo

3、gic-02-01-01安全基线项说明要求设定帐号锁定次数和时间检测操作步骤1、参考配置操作查看以管理员身份登录控制台1.点击左侧面板”Security”文件夹，展开”REALM”2.点击右侧面板中的”UserLock”标签，查看LockoutEnabled，LockoutThreshold，LockoutDuration等基线符合性判定依据1、判定条件要求LockoutEnabled=true;LockoutThreshold=5;LockoutDuration=30备注1.2口令1.2.1密码复杂度安全基线项目名称WebL

4、ogic密码复杂度安全基线要求项安全基线编号SBL-WebLogic-02-01-01安全基线项说明对于采用静态口令认证技术的设备，口令长度至少8位。检测操作步骤1、参考配置操作查看WebLogic安装目录下的weblogic.properties配置文件2、补充操作说明口令要求：长度至少8位。基线符合性判定依据1、判定条件weblogic.system.minPasswordLen=8备注第1章日志配置操作1.1日志配置1.1.1审核登录安全基线项目名称WebLogic审核登录安全基线要求项安全基线编号SBL-WebLogi

5、c-03-01-01安全基线项说明设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。检测操作步骤1、参考配置操作查看WebLogic安装目录下的weblogic.properties配置文件基线符合性判定依据1、判定条件weblogic.system.enableReverseDNSLookups=true备注第1章IP协议安全配置1.1IP协议1.1.1支持加密协议安全基线项目名称WebLogic支持加密协议安全基线要求项安全基线编号SBL-W

6、ebLogic-04-01-01安全基线项说明对于通过HTTP协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。检测操作步骤1、参考配置操作查看WebLogic安装目录下的weblogic.properties配置文件基线符合性判定依据1、判定条件weblogic.system.SSLListenPort=portNumberweblogic.security.certificate.server=mycert.derweblogic.security.key.server=mykey.derweblogic.sec

7、urity.certificate.authority=CA.derweblogic.security.certificateCacheSize=5weblogic.security.clientRootCA=anyValidCertificateweblogic.httpd.register.authenticated=  weblogic.t3.srvr.ClientAuthenticationServletweblogic.httpd.register.T3AdminCaptureRootCA=admin.T3Admi

8、nCaptureRootCA备注1.1.2限制应用服务器Socket数量安全基线项目名称WebLogic限制应用服务器Socket数量安全基线要求项安全基线编号SBL-WebLogic-04-01-02安全基线项说明Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击