關(guān)于tomcat的14條安全建議：
1.檢查項(xiàng): tomcat進(jìn)程運(yùn)行權(quán)限檢測(cè)
路徑: /usr/local/tomcat/
當(dāng)前值: 0
加固建議: 請(qǐng)創(chuàng)建低權(quán)限的賬號(hào)運(yùn)行tomcat
2.檢查項(xiàng): 開啟用戶登錄失敗鎖定
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值:
加固建議: <Realm className="org.apache.catalina.realm.LockOutRealm" failureCount="3" lockOutTime="600" cacheSize="1000" cacheRemovalWarningTime="3600">
3.檢查項(xiàng): 限制遠(yuǎn)程管理IP
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值:
加固建議: 增加<Valve className="org.apache.catalina.valves.RemoteAddrValve" allow="允許遠(yuǎn)程管理IP"/>
4.檢查項(xiàng): 禁止顯示異常調(diào)試信息
路徑: /usr/local/tomcat/conf/web.xml
當(dāng)前值:
加固建議: 在當(dāng)前web.xml里面的web-app添加子節(jié)點(diǎn)：
<error-page><exception-type>java.lang.Throwable</exception-type><location>/error.jsp</location></error-page>塞耕，在webapps目錄下創(chuàng)建error.jsp，定義自定義錯(cuò)誤信息
5.檢查項(xiàng): 開啟傳輸層安全屬性
路徑: /usr/local/tomcat/webapps/manager/WEB-INF/web.xml
當(dāng)前值:
加固建議: 在當(dāng)前路徑的web.xml里面的web-app添加子節(jié)點(diǎn)：
<security-constraint> <user-data-constraint> <transport-guarantee>CONFIDENTIAL</transport-guarantee></user-data-constraint> </security-constraint>
6.檢查項(xiàng): 開啟安全周期生命監(jiān)聽器
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值:
加固建議: 取消 <Listener className="org.apache.catalina.security.SecurityListener" /> 注釋
7.檢查項(xiàng): 示例文件檢測(cè)
路徑: /usr/local/tomcat/
當(dāng)前值: /usr/local/tomcat/webapps/examples
加固建議: 請(qǐng)刪除檢測(cè)出的示例文件或目錄
8.檢查項(xiàng): tomcat目錄權(quán)限檢測(cè)
路徑: /usr/local/tomcat/
當(dāng)前值: root
加固建議: 使用chown -R tomcat:tomcat "根目錄"修改tomcat根目錄文件所有者
9.檢查項(xiàng): 關(guān)閉shutdown端口
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值: port=8005
加固建議: 將port值置為-1
10.檢查項(xiàng): 禁止自動(dòng)部署
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值: Host:autoDeploy=true
加固建議: 將autoDeploy="false"
11.檢查項(xiàng): 禁止應(yīng)用運(yùn)行在提權(quán)模式
路徑: /usr/local/tomcat/webapps/manager/META-INF/context.xml
當(dāng)前值: Context:privileged=true
加固建議: 將privileged="false"
12.檢查項(xiàng): 設(shè)置http大小
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值: maxHttpHeaderSize
加固建議: 對(duì)檢測(cè)出的Connector-8009增加屬性：maxHttpHeaderSize="8192"
13.檢查項(xiàng): 監(jiān)聽端口業(yè)務(wù)協(xié)議配置檢測(cè)
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值: 8080
加固建議: 為該監(jiān)聽端口配置scheme="http"或"https"屬性
14.檢查項(xiàng): 使用UserDatabaseRealm檢測(cè)
路徑: /usr/local/tomcat/conf/server.xml
當(dāng)前值: org.apache.catalina.realm.UserDatabaseRealm
加固建議: 建議關(guān)閉UserDatabaseRealm使用
