3 Web服务器安全加固

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
简介:

3 Web服务器安全加固

3.1 启用日志记录功能

3.2 HTTPS协议

3.3 Tomcat错误页面重定向

3.4 禁止tomcat列表显示文件

2-1 Linux安装后文件路径

2-2 Linux下全局配置文件可能位置


3.1 启用日志记录功能

实施目的

Web服务器应配置日志功能,对用户登录进行记录,记录内容包括用户登录使用的账号、登录是否成功、登录时间以及远程登录时用户使用的IP地址。

问题影响

无法对用户的登陆进行日志记录。

系统当前状态

系统未配置日志记录。

实施步骤

编辑server.xml配置文件,在<HOST>标签中增加记录日志功能

将以下内容的注释标记< ! --    -- >取消

<valve classname="org.apache.catalina.valves.AccessLogValve" 
Directory="logs" prefix="localhost_access_log." Suffix=".txt" 
Pattern="common" resloveHosts="false"/>

classname:必须被设置为

“org.apache.catalina.valves.AccessLogValve to use the default access log valve. &<60”

Directory:日志文件放置的目录,在tomcat下面有个logs文件夹,那里面是专门放置日志文件的,也可以修改为其他路径;

Prefix: 日志文件的名称前缀,如日志名称为“localhost_access_log.2008-10-22.txt”,前缀就是本例中设置的“localhost_access_log”

Suffix: 文件后缀名;

Pattern: common方式时,将记录访问源IP、本地服务器IP、记录日志服务器IP、访问方式、发送字节数、本地接收端口、访问URL地址等相关信息在日志文件中;

resolveHosts:值为true时,tomcat会将这个服务器IP地址通过DNS转换为主机名,如果是false,就直接写服务器IP地址。

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.2 HTTPS协议

实施目的

对于通过HTTP协议进行远程维护的设备,设备应支持使用HTTPS等加密协议。

问题影响

增加Web数据传输安全隐患。

系统当前状态

系统未配置HTTPS加密协议。

实施步骤

1、使用JDK自带的keytool工具生成一个证书:

JAVA_HOME/bin/keytool  -genkey –alias tomcat –keyalg  RSA -keystore /path/to/my/keystore

2、修改tomcat/conf/server.xml配置文件,更改为使用https方式,增加如下行:

<Connector classname="org.apache.catalina.http.HttpConnector" port="443"  minProcessors="5"  maxprocessors="100" enableLookups="true"  acceptCount="10"  debug="0"scheme="https" secure="true" > 
< Factory classname="org.apache.catalina.SSLServerSocketFactory" clientAuth="false" keystoreFile="/path/to/my/keystore" keystorePass="runway" protocol="TLS"/> 
< /Connector>

回退方案

还原server.xml

判断依据

登录web服务器后,检查相关信息是否被日志记录。

实施风险

重要等级

3.3 Tomcat错误页面重定向

实施目的

更改Tomcat错误页面并重定向页面,增加系统安全性。

问题影响

出现错误时系统可能会将错误堆栈信息打印到页面,使得攻击人员可以根据错误信息进行有效的攻击。

系统当前状态

系统未配置错误重定向页面。

实施步骤

配置tomcat/conf/web.xml文件,在最后</web-app>之前加入以下内容:

<error-page>   
< error-code>404</error-code> 
< location>/noFile.htm</location>   
< /error-page>  
……………  
< error-page> 
< exception-type>java.lang.NullPointerException</exception-type> 
< location>/error.jsp</location>  </error-page>

第一个<error-page></error-page>之间的配置实现了将404未找到jsp网页的错误导向noFile.htm页面,也可以用类似方法添加其多的错误代码导向页面,如403,500等。

第二个<error-page></error-page>之间的配置实现了当jsp网页出现java.lang.NullPointerException导常时,转向error.jsp错误页面。

回退方案

还原server.xml

判断依据

URL地址栏中输入“http://ip:80/manager123”查看返回界面。

实施风险

重要等级

3.4 禁止tomcat列表显示文件

实施目的

禁止tomcat列表显示文件,增加系统安全性。

问题影响

不安全性增加。

系统当前状态

系统未配置禁止tomcat列表显示文件。

实施步骤

编辑tomcat/conf/web.xml配置文件,

<init-param> 
        <param-name>listings</param-name> 
        <param-value>true</param-value> 
< /init-param>

true改成false。重新启动tomcat服务。

回退方案

还原server.xml

判断依据

直接访问http://ip:8800/webadd

实施风险

重要等级



本文转自 Mr_sheng 51CTO博客,原文链接:http://blog.51cto.com/sf1314/2064736
相关实践学习
日志服务之使用Nginx模式采集日志
本文介绍如何通过日志服务控制台创建Nginx模式的Logtail配置快速采集Nginx日志并进行多维度分析。
相关文章
|
7月前
|
存储 监控 安全
服务器的安全包括哪些方面?服务器安全该如何去加固处理?
服务器的安全包括哪些方面?服务器安全该如何去加固处理?
|
SQL 安全 中间件
中间件常见漏洞之IIS 2
中间件常见漏洞之IIS
326 0
|
开发框架 安全 .NET
中间件常见漏洞之IIS 1
中间件常见漏洞之IIS
339 0
|
SQL 安全 Oracle
系统加固之Windows操作系统加固(上)
系统加固之Windows操作系统加固
139 0
系统加固之Windows操作系统加固(上)
|
SQL 安全 JavaScript
「安全工具」57个开源应用程序工具:免费应用程序安全软件指南
「安全工具」57个开源应用程序工具:免费应用程序安全软件指南
|
存储 缓存 安全
系统加固之Windows操作系统加固
系统加固之Windows操作系统加固
319 0
系统加固之Windows操作系统加固
|
存储 缓存 安全
系统加固之Windows操作系统加固(下)
系统加固之Windows操作系统加固(下)
293 0
系统加固之Windows操作系统加固(下)
|
开发框架 安全 中间件
Web服务器(中间件)漏洞
Web服务器又叫Web中间件,常见的Web中间件有 IIS Apache Nginx
210 4
|
缓存 安全 关系型数据库
Drupal 网站漏洞修复以及网站安全防护加固方法
drupal是目前网站系统使用较多一个开源PHP管理系统,架构使用的是php环境+mysql数据库的环境配置,drupal的代码开发较为严谨,安全性较高,但是再安全的网站系统,也会出现网站漏洞,drupal是网站运行访问必不可少的一个分支,为了网站的安全,不被攻击者攻击,我们要对网站以及服务器进行全面的安全加固与安全设置,包括我们服务器安全设置,web安全设置,php环境安全设置,msyql数据库安全设置,都要详细的安全加固好,才能保障整个网站的安全稳定运行。
223 0
Drupal 网站漏洞修复以及网站安全防护加固方法
|
JavaScript 安全 前端开发
提高NodeJS网站的安全性:Web服务器防黑客攻击技巧
毫无疑问,Node.js现在是越来越成熟。尽管这样,我们还没有形成很多的安全准则。 在这篇文章中,我会分享一些关于提高Node.js安全性方面的技巧。
664 0