如何通过Debian配置Tomcat的安全策略

Debian 上 Tomcat 安全策略配置指南

一 系统与服务最小化

• 更新系统与软件包，保持最新安全修复：sudo apt update && sudo apt upgrade。
• 创建专用系统用户运行 Tomcat，避免使用 root：
  • 创建用户与组：sudo groupadd tomcats && sudo useradd -s /bin/false -g tomcats -d /var/lib/tomcat9 tomcats
  • 调整目录属主（Debian 常见路径）：sudo chown -R tomcats:tomcats /var/lib/tomcat9 /etc/tomcat9 /usr/share/tomcat9
  • 使用 systemd 以 tomcats 身份运行：编辑 /etc/default/tomcat9，设置 TOMCAT9_USER=tomcats 与 TOMCAT9_GROUP=tomcats，随后 sudo systemctl restart tomcat9。
• 删除或禁用示例与文档应用，减少攻击面：sudo rm -rf /var/lib/tomcat9/webapps/docs /var/lib/tomcat9/webapps/examples。
• 管理控制台访问控制：若非必须，直接删除管理应用 /var/lib/tomcat9/webapps/manager 与 /var/lib/tomcat9/webapps/host-manager；如确需保留，仅在内网开放并严格限制来源 IP。

二 网络与端口加固

• 修改默认 HTTP 端口，避免被脚本扫描：/etc/tomcat9/server.xml 中
  • <Connector port=“8080” … /> 改为非默认端口（如 8081 或 1234），并设置 redirectPort=“8443”。
• 禁用不必要的 AJP 连接器（如未使用 Apache httpd 的 mod_jk/mod_proxy_ajp）：在 server.xml 中注释或删除
  • <Connector port=“8009” protocol=“AJP/1.3” … />。
• 限制访问来源：仅允许内网或跳板机访问管理端口与应用端口，例如使用 ufw：
  • 开放业务端口：sudo ufw allow 8081/tcp
  • 开放 HTTPS：sudo ufw allow 8443/tcp
  • 如需远程管理，仅在内网网段放行：sudo ufw allow from 192.168.1.0/24 to any port 8081,8443 proto tcp
  • 启用防火墙：sudo ufw enable。
• 加固关闭端口：修改 server.xml 的 ，将端口改为非默认并设定强口令，或限制访问来源（如仅本地）。

三 身份与访问控制

• 强化 tomcat-users.xml：删除默认弱口令账户，仅保留必要角色；为保留的管理应用设置强密码并最小化授权：
  • 示例（如确需保留管理）：
    • - - - - -
• 启用账户锁定防暴力破解：在 server.xml 的 Engine/Host 下加入 LockOutRealm：
  • - -
• 如需更高强度，可启用基于证书的身份验证（clientAuth）并配合反向代理或内网专线。

四 加密传输与请求头防护

• 配置 SSL/TLS：在 server.xml 添加 HTTPS 连接器（证书可用 Let’s Encrypt 等）：
  • <Connector port=“8443” protocol=“org.apache.coyote.http11.Http11NioProtocol”
    • maxThreads=“150” SSLEnabled=“true” scheme=“https” secure=“true”
    • clientAuth=“false” sslProtocol=“TLS”
    • keystoreFile=“/etc/ssl/tomcat/keystore.jks” keystorePass=“密钥库密码”/>
  • 将 HTTP 连接器 redirectPort 指向 8443，实现自动跳转。
• 隐藏版本信息：在 server.xml 的 Connector 增加属性 server=“CustomServer”，减少信息泄露。
• 安全 Cookie：在 /etc/tomcat9/context.xml 的 上设置 useHttpOnly=“true”，降低 XSS 窃取会话风险。
• 安全响应头（推荐全局生效）：在 server.xml 的 Host 内添加 Valve，为所有应用统一添加：
  • <Valve className=“org.apache.catalina.valves.HttpHeaderSecurityValve”
    • secure=“true”
    • httpOnly=“true”
    • antiClickJackingEnabled=“true” antiClickJackingOption=“DENY”
    • XSSProtectionEnabled=“true” blockXSSAuditor=“false”
    • strictTransportSecurity=“max-age=63072000; includeSubDomains; preload”
    • referrerPolicy=“strict-origin-when-cross-origin”/>
• 可选：如需更细粒度策略，可在应用 web.xml 配置 SetHeaderFilter 设置 Content-Security-Policy 等头部。

五 运行监控与维护

• 日志审计与实时监控：
  • 实时查看：sudo tail -f /var/log/tomcat9/catalina.out
  • 邮件日报：sudo apt install logwatch && sudo logwatch --output mail。
• 变更生效与重启：sudo systemctl restart tomcat9；变更前备份 server.xml、tomcat-users.xml、context.xml。
• 持续更新与巡检：定期执行 sudo apt update && sudo apt upgrade tomcat9，并复核用户、端口、证书与防火墙策略。