WebLogicWeb服务器安全配置基线
目 录
1
章 ......................................................................................................................................... 概述第1 1 ......................................................................................................................................... 目的1.1 11.2 ................................................................................................................................. 适用范围 1 ................................................................................................................................. 1.3适用版本
2 ............................................................................................................. 账号管理、认证授权第2章
2 ......................................................................................................................................... 账号2.1 账号锁定策略2.1.12 .................................................................................................................
2口令2.2 ......................................................................................................................................... 密码复杂度2 ..................................................................................................................... 2.2.1 4日志配置操
作 ......................................................................................................................... 第3章 4日志配
置 ................................................................................................................................. 3.1 审核登录4......................................................................................................................... 3.1.1
5 ................................................................................................................ IP协议安全配置4第章
5.................................................................................................................................... .4.1IP协议 支持加密协议5
4.1.1.................................................................................................................
数量限制应用服务器5.Socket4.1.2...............................................................
.........................
禁用6............................................................................................... Send Server Header 4.1.3.
7 ................................................................................................................. 设备其他配置操作5第章 7安全管理 ................................................................................................................................. 5.1 定时登出75.1.1.........................................................................................................................
更改默认端口7
5.1.2.................................................................................................................
错误页面处理85.1.3 .................................................................................................................
目录列表访问限制85.1.4 .........................................................................................................
第1章 概述
1.1 目的
本文档规定了WebLogic Web服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行WebLogic Web服务器的安全配置。
1.2 适用范围
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
1.3 适用版本
6.x、7.x、8.x版本的WebLogic Web服务器。
现在最新的weblogic服务器时9.1，此文件不适用与最新的服务器
第2章 账号管理、认证授权
2.1 账号
2.1.1 账号锁定策略
安全基线WebLogi账号锁定安全基线要求目名安全基线SBL-WebLogic-02-01-01 要求设定帐号锁定次数和时安全基线说、参考配置操检测操作查看以管理员身份登录控制 1.点击左侧面Securit文件夹，展REAL
2.点击右侧面板中UserLoc标签，查LockoutEnableLockout Threshold，Lockout Duration等 基线符合性1、判定条件
要求判定依据 Lockout Enabled=true; Lockout Threshold=5; Lockout Duration=30 备注
2.2 口令
2.2.1 密码复杂度
安全基线项WebLogic密码复杂度安全基线要求项 目名称安全基线编SBL-WebLogic-02-01-01 号对于采用静态口令认证技术的设备，口令长度至少8位。 安全基线项 说明1检测操作步、参考配置操作
骤查看WebLogic安装目录下的weblogic.properties配置文件 2、补充操作说明
位。8口令要求：长度至少． 基线符合性1、判定条件 weblogic.system.minPasswordLen=8 判定依据 备注．
第3章 日志配置操作
3.1 日志配置 3.1.1 审核登录
安全基线项 目名称 安全基线编 号 安全基线项 说明 检测操作步 骤基线符合性 判定依据备注 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。 1、参考配置操作 查看WebLogic安装目录下的weblogic.properties配置文件 1、判定条件 trueweblogic.system.enableReverseDNSLookups= SBL-WebLogic-03-01-01 WebLogic审核登录安全基线要求项
第4章 IP协议安全配置
4.1 IP协议
4.1.1 支持加密协议
安全基线项 目名称 安全基线编 号 SBL-WebLogic-04-01-01 WebLogic支持加密协议安全基线要求项 对于通过HTTP安全基线项协议进行远程维护的设备，设备应支持使用HTTPS等加密协议。 说明 1检测操作步、参考配置操作 查看WebLogic安装目录下的weblogic.properties骤 配置文件 1基线符合性、判定条件 portNumberweblogic.system.SSLListenPort= 判定依据 mycert.derweblogic.security.certificate.server= mykey.derweblogic.security.key.server= CA.derweblogic.security.certificate.authority= 5weblogic.security.certificateCacheSize= anyValidCertificateweblogic.security.clientRootCA=weblogic.httpd.register.authenticated=\\ weblogic.t3.srvr.ClientAuthenticationServletweblogic.httpd.register.T3AdminCaptureRootCA=admin.T3Admi nCaptureRootCA备注
4.1.2 限制应用服务器Socket数量
安全基线项WebLogic限制应用服务器Socket数量安全基线要求项 目名称安全基线编SBL-WebLogic-04-01-02
号Sockets最大打开数目设置不当的话，容易受到拒绝服务攻击，安全基线项超出操作系统文件描述符限制说明 1、参考配置操作检测操作步 骤 以管理员身份登录管理控制台． 基线符合性判定依据 备注 1. 点击左侧面板的域名文件夹，然后点击Servers文件夹，双击要管理的服务器 2. 在右侧面板的“Configuration”面板下选择“Tuning”标签，查看Maximum Open Sockets值 1、判定条件 。254Maximum Open Sockets不大于要求
4.1.3 禁用Send Server Header
安全基线项 目名称 安全基线编 SBL-WebLogic-04-01-03 WebLogic禁用Send Server Header安全基线要求项
WebLogicWeb服务器安全配置风险评价检查表
