Ubuntu下WebLogic的安全设置有哪些

Ubuntu下WebLogic安全设置清单

一 系统与运行环境加固

• 以非 root用户运行WebLogic：创建专用系统账号（如weblogic:weblogic），将域目录属主设为该用户，使用其启动服务，避免特权进程被滥用。
• 更改默认监听端口：将7001/7002改为不易猜测的高位端口（如8001/8443），降低自动化扫描命中率。
• 启用生产模式并关闭自动部署，减少因热部署带来的风险。
• 限制资源与协议：在“服务器→配置→优化”中设置最大打开套接字数（如254或依据压测结果设定）；禁用不必要的协议与扩展（如目录列表、WebDAV 等）。

二 传输与访问控制

• 启用并正确配置SSL/TLS：为服务器配置身份密钥库与信任密钥库，在“服务器→配置→SSL”设置私钥别名与密码；生产环境优先使用单向SSL，对管理或敏感接口可启用双向SSL；保留并启用主机名验证以防中间人攻击；必要时配置FIPS 140-2合规模式（在启动脚本中设置jsafeFIPS.jar与**-Dweblogic.security.SSL.nojce=true**）。
• 强化网络边界与域内隔离：使用UFW/iptables限制管理口与业务口来源网段；在WebLogic启用连接筛选器（Connection Filters），仅放行必要协议与网段（如限制t3/t3s仅内网可达）。

三 身份鉴别与授权

• 强化控制台与后台账号安全：修改默认管理员口令，设置复杂度策略与账号锁定（失败次数、锁定时长）；避免共享账号与默认账户名。
• 启用安全审计：在“安全领域→提供程序→审计器”启用审计，留存关键操作与登录审计日志，便于合规与溯源。
• 应用层认证与授权：在应用中使用FORM认证，声明安全约束与角色，并在weblogic.xml完成角色-用户/组映射，实现最小权限访问控制。

四 会话 日志与信息泄露防护

• 会话与超时：设置HTTP会话超时、SSL登录超时与控制台会话超时（如控制台不超过300秒），降低会话劫持与未注销风险。
• 日志与监控：启用HTTP访问日志与服务器运行日志，记录源IP、账号、时间、结果等关键字段；必要时提升日志级别并集中采集与告警。
• 隐藏服务指纹：在“服务器→协议→HTTP”中取消勾选发送服务器标头，并禁用X-Powered-By，减少信息泄露面。

五 补丁 合规与验证

• 及时应用Oracle CPU与安全补丁，修复已知漏洞；对历史高危漏洞（如反序列化类）优先通过补丁或官方缓解方案处置。
• 变更与演练：任何加固操作先在测试环境验证，变更后核对监听端口、SSL握手、访问日志与审计记录是否正常；保留回滚方案与应急联系人。