如何配置CentOS Tomcat安全策略 - 问答

CentOS 上 Tomcat 安全策略配置

一运行账户与最小权限

创建专用的系统账户运行 Tomcat（禁止登录、无 sudo 权限），并将安装目录属主设为该账户，遵循最小权限原则。示例：
- 创建用户与组：sudo groupadd tomcat；sudo useradd -s /sbin/nologin -g tomcat -M tomcat
- 调整目录权限：sudo chown -R tomcat:tomcat /opt/tomcat
配置 systemd 服务以 tomcat 身份运行（示例片段）：
- [Service] 中设置：User=tomcat；Group=tomcat；ExecStart=/opt/tomcat/bin/startup.sh；ExecStop=/opt/tomcat/bin/shutdown.sh；Restart=on-failure
- 使配置生效：sudo systemctl daemon-reload && sudo systemctl enable --now tomcat
如启用 SELinux，需为 Tomcat 设置正确的文件上下文并视情况调整布尔值（示例）：
- 目录上下文：sudo chcon -R -t httpd_sys_content_t /opt/tomcat/webapps；sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs
- 必要时：sudo setsebool -P tomcat_execmem 1（仅在确有需要时开启）

二网络与访问控制

防火墙限制访问
- 仅开放必要端口（示例为 8080）：sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp && sudo firewall-cmd --reload
- 仅允许指定来源 IP 访问管理端口（示例 192.168.1.100）：sudo firewall-cmd --permanent --zone=public --add-rich-rule=‘rule family=“ipv4” source address=“192.168.1.100” port protocol=“tcp” port=“8080” accept’ && sudo firewall-cmd --reload
反向代理前置（Nginx 示例）
- 安装 Nginx 后配置：listen 80；server_name yourdomain.com；location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; }；重启 Nginx
- 防火墙仅放行 80/443：sudo firewall-cmd --permanent --zone=public --add-service=http；sudo firewall-cmd --permanent --zone=public --add-service=https；sudo firewall-cmd --reload
SELinux 网络限制
- 如 Tomcat 需要对外发起连接（例如连接后端数据库），可按需开启：sudo setsebool -P httpd_can_network_connect 1（默认应为关闭以降低攻击面）

三服务与连接器加固

隐藏版本与 Banner
- 在 server.xml 的中添加：server=“MyAppServer/1.0”，减少信息泄露
关闭管理应用与示例
- 删除或移走 webapps 下的 docs、examples、host-manager、manager、ROOT 等目录，降低攻击面
禁用目录列表
- 在 conf/web.xml 的中设置 listings 为 false，防止目录遍历
关闭热部署与自动解包
- 在 server.xml 的中设置 unpackWARs=“false”、autoDeploy=“false”，避免被恶意 WAR 自动部署
禁用 AJP 协议
- 在 server.xml 中将 AJP Connector 端口设为 -1（如未使用 AJP 则直接注释/移除），减少暴露面
限制 HTTP 方法
- 在应用的 WEB-INF/web.xml 中使用仅允许 GET/POST 等必要方法，禁用 PUT/DELETE/HEAD/OPTIONS/TRACE
启用 HTTPS
- 使用有效证书配置 8443 端口（示例）：
- 或采用方式配置证书与协议

四认证授权与日志审计

管理界面访问控制
- 若保留 manager/host-manager，务必在对应应用的 META-INF/context.xml 中使用 RemoteAddrValve 限制来源 IP，例如仅允许 127.0.0.1 与内网网段：
用户与角色最小化
- 在 conf/tomcat-users.xml 中仅创建业务所需角色与账户，避免使用弱口令；生产环境建议删除或注释默认示例用户
应用级安全约束
- 在 WEB-INF/web.xml 中定义、（如 BASIC 或 FORM）、，对管理路径实施强认证与授权
外部认证集成
- 对接 LDAP/AD：在 conf/context.xml 或 server.xml 中配置 JNDI Realm，集中账号与权限管理
日志与监控
- 定期检查 catalina.out、localhost_access_log 等日志，关注异常访问、频繁失败登录与可疑请求路径；必要时接入集中日志审计平台

五快速检查清单

0 赞

0 踩