Linux版WebLogic安全设置指南

Linux版 WebLogic 安全设置指南

一 运行账户与文件权限

• 创建专用的系统账户与组，遵循最小权限原则：使用非 root账户运行 WebLogic，避免以 root 启动导致权限提升与配置被篡改。示例：groupadd weblogic、useradd -g weblogic weblogic。
• 调整目录属主与权限，限制仅属主读写执行：对 WebLogic 安装目录与域目录执行 chown -R weblogic:weblogic <目录> 与 chmod -R 750 <目录>，确保日志、配置、密钥库等关键文件不被其他用户访问。
• 启动方式整改：将启动脚本（如 startWebLogic.sh 或 systemd service）的执行用户改为 weblogic，禁止 root 直接启动 WebLogic 进程。
• 变更核查：通过 ps -ef | grep -i weblogic 确认进程运行身份，确保整改生效。

二 网络与端口加固

• 更改默认管理端口：将 7001/7002 等默认端口改为不易猜测的高位端口，并同步调整反向代理、负载均衡与防火墙策略。
• 最小化暴露面：仅开放必要端口（如 HTTP/HTTPS/管理端口），对管理口设置来源 IP 白名单，避免对公网直接暴露控制台。
• 启用防火墙并收紧规则：使用 firewalld/iptables 仅放行业务与监控所需端口，定期审计开放端口与监听地址。
• 停用无用服务与高危端口：清理未使用的服务与端口，减少攻击面。

三 加密通信与证书管理

• 强制启用 HTTPS/SSL：为管理通道与业务通道配置 TLS，WebLogic 的 SSL 监听端口默认为 7002，生产环境应始终使用加密传输。
• 配置身份与信任：在控制台为服务器指定 Identity Keystore（私钥与服务器证书）与 Trust Keystore（受信 CA 证书），设置私钥别名与密码。
• 选择单向或双向 SSL：对外服务常用单向 SSL；对高安全场景启用双向 SSL（客户端证书认证）。
• 启用主机名验证：保持默认的主机名验证开启，防止 中间人攻击；如确需关闭或自定义，应充分评估风险。
• 高级选项与兼容性：按需配置入站/出站证书校验、启用 JSSE 设置（如使用 SHA-2 证书）、必要时配置 FIPS 140-2 模式（在启动脚本中设置 PRE_CLASSPATH 包含 jsafeFIPS.jar 并添加 -Dweblogic.security.SSL.nojce=true）。
• 变更生效：在控制台“锁定并编辑”后保存，部分配置需重启服务器。

四 认证授权与会话安全

• 强化控制台安全：重命名或限制对 /console 的访问，避免默认路径暴露；仅允许受控来源访问管理口。
• 用户与角色治理：删除默认/示例账户，按“最小权限”分配角色；避免多人共享高权限账号，结合 WLST 或控制台进行用户生命周期管理。
• 口令与账号策略：实施复杂度与周期策略，配置失败锁定与锁定持续时间，降低暴力破解风险。
• 会话与超时：设置 HTTP/HTTPS 超时与控制台会话超时，对敏感操作启用重新认证，减少会话劫持风险。
• 示例与诊断：删除 sample 示例应用，统一错误页面，避免信息泄露。

五 日志审计与补丁运维

• 日志与审计：启用并集中采集 WebLogic Server 日志与访问日志，记录登录与关键操作；定期分析异常登录、权限变更与配置修改。
• 变更留痕：通过控制台“锁定并编辑/激活更改”机制确保配置变更可追溯，对生产变更执行审批与回滚预案。
• 漏洞与补丁：及时应用 WebLogic 与操作系统的安全补丁；定期执行漏洞扫描（如 OpenVAS/Nessus）与基线核查。
• 运行监控：部署 IDS/IPS 与主机加固基线，监控异常连接与进程行为，结合性能与健康检查实现持续运营。