Java在CentOS上的安全设置有哪些

CentOS 上 Java 安全设置清单

一 运行环境与权限最小化

• 保持 JDK/JRE 为最新安全补丁版本，及时更新系统与应用依赖，降低已知漏洞风险。
• 以最小权限的专用系统用户运行 Java 进程（非 root），并对应用目录设置严格权限（如仅属主可读写执行，组只读，其他无权限）。
• 启用 SELinux（推荐 enforcing），为 Java 进程与目录设置合适的类型与布尔值，必要时使用自定义策略进行细粒度控制。
• 通过 firewalld/iptables 仅开放必要端口（如仅内网或白名单网段访问管理端口与应用端口），减少攻击面。

二 Java 安全策略与安全管理器

• 使用 Java Security Manager + 策略文件（.policy） 实施代码级权限控制：为应用创建最小权限策略，避免使用 AllPermission；在启动命令中指定策略文件（如：java -Djava.security.manager -Djava.security.policy=/path/app.policy -jar app.jar）。
• 策略示例（按需最小化授予）：
  • 只读应用目录：grant codeBase “file:/opt/myapp/-” { permission java.io.FilePermission “/opt/myapp/conf/*”, “read”; };
  • 仅本地回环访问某端口：grant { permission java.net.SocketPermission “localhost:8080”, “listen,accept”; };
• 如需对全局默认策略做基线调整，可在 $JAVA_HOME/jre/lib/security/java.security 或 /etc/java--openjdk/security/java.security 中配置（谨慎变更，优先使用应用级策略）。

三 容器与 Web 组件安全配置

• 如部署 Tomcat/JBoss 等：
  • 禁用目录列表，防止敏感文件泄露；
  • 修改默认管理端口与 AJP/HTTP/HTTPS 端口，仅开放必要协议与端口；
  • 为管理接口设置强口令与基于角色的访问控制（禁用默认账户/弱口令）；
  • 启用 SSL/TLS，并使用有效证书，禁用明文协议与弱加密套件。

四 JVM 启动参数与加密配置

• 常用安全增强参数示例：
  • 熵源优化：-Djava.security.egd=file:/dev/./urandom（加快启动并避免阻塞）；
  • 内存与编码：-server -Xms256m -Xmx512m -Dfile.encoding=UTF-8；
  • 安全管理器：-Djava.security.manager -Djava.security.policy=/path/app.policy；
• 加密与协议：
  • 使用 TLS 1.2+，禁用 SSLv3/TLS1.0/1.1；
  • 如需更强加密，部署 JCE Unlimited Strength Jurisdiction Policy（JDK 8u151+ 通常默认启用，无需额外安装）；
  • 谨慎暴露 JMX/RMI 等管理接口，若必须使用，限定监听地址与端口并加固认证。

五 应用层安全与持续运维

• 应用层必做：
  • 输入校验、输出编码，防 SQL 注入（使用预编译/参数化查询）、防 XSS（转义与 CSP）、防 CSRF（令牌）；
  • 配置安全响应头：X-Frame-Options、X-Content-Type-Options、X-XSS-Protection；
  • 安全日志与监控（登录失败、权限拒绝、越权访问等），并接入 SIEM 进行告警分析。
• 持续运维：
  • 定期更新 JDK/框架/依赖，并进行依赖漏洞扫描；
  • 定期审计策略与权限配置、备份与演练恢复流程。