Debian系统WebLogic安全设置指南

Debian系统WebLogic安全设置指南

一 系统与网络加固

• 保持系统与软件包为最新：执行apt update && apt upgrade，及时修补漏洞。
• 配置防火墙：使用ufw/iptables仅放行必要端口（如管理端口7001），可按需限制来源网段；示例（ufw）：ufw allow from 10.0.0.0/8 to any port 7001；ufw enable。
• 强化SSH：启用密钥登录、禁用root直登（设置PermitRootLogin no）、仅允许特定用户（AllowUsers），并更改默认端口以降低暴力扫描风险。
• 最小权限与服务最小化：以非root运行服务，关闭不必要的端口/进程/内核模块，减少攻击面。

二 WebLogic运行与权限

• 运行模式：将域设置为生产模式，关闭自动部署，降低被恶意上传与热部署的风险。
• 运行身份：创建专用系统用户（如weblogic:weblogic），使用其启动AdminServer/受管服务器，禁止以root运行。
• 文件与目录权限：域目录（如**/opt/weblogic/user_projects/domains**）属主设为weblogic，权限最小化（如750），仅管理员可写。
• 安全审计：在控制台启用Auditing Provider，审计关键安全事件，日志默认位于域目录下的DefaultAuditRecorder.log。
• 会话与超时：设置HTTP登录超时 ≤ 5000 ms、SSL登录超时 ≤ 10000 ms、控制台会话超时 ≤ 300 s，降低会话劫持风险。

三 传输加密与访问控制

• 启用SSL/TLS：在服务器配置中勾选启用SSL监听端口，并修改默认端口为非7002的自定义值；开启SSL拒绝日志记录以便排查握手失败原因。
• 主机名校验：在SSL高级选项中选择BEA主机名验证或配置自定义主机名验证器，防止中间人攻击。
• 网络访问控制：
  • 边界防火墙仅允许受控来源访问管理端口（如7001）与应用端口；
  • 在WebLogic内配置Connection Filters，限制域内外不必要的服务器到服务器连接。
• 信息泄露防护：在HTTP配置中取消勾选发送服务器标头，避免暴露WebLogic/版本号。

四 认证授权与监控日志

• 认证与授权：使用安全领域配置认证（如LDAP/OAuth）、授权与角色映射；为控制台与部署操作设置细粒度权限，仅授权必要人员。
• 应用安全：在应用的web.xml中配置安全约束（登录、角色、约束URL），确保敏感资源受控。
• 日志与监控：启用并集中采集WebLogic Server与操作系统日志，结合Nagios/Zabbix等监控工具设置告警，定期审计异常登录与访问模式。

五 补丁与备份恢复

• 安全更新：定期应用WebLogic与Java的安全补丁，关注官方安全通告，及时修复已知漏洞。
• 备份与恢复：制定定期备份（域目录、应用、密钥/证书、数据库）与灾难恢复预案，并进行恢复演练，确保RPO/RTO达标。