Debian系统中Tomcat如何安全设置

Debian系统下Tomcat安全设置清单

一 系统与运行账户安全

• 保持系统与软件包为最新：执行sudo apt update && sudo apt upgrade，及时修补漏洞。
• 创建专用系统账户运行Tomcat，禁止登录：
  • 创建用户组与用户：sudo groupadd tomcat && sudo useradd -s /bin/false -g tomcat -d /var/lib/tomcat9 tomcat
  • 修正关键目录属主：sudo chown -R tomcat:tomcat /var/lib/tomcat9 /var/log/tomcat9 /etc/tomcat9
• 配置服务以最小权限运行：在systemd服务中将User=tomcat、Group=tomcat，并设置UMask=0007以收紧目录默认权限；如使用包管理器的服务文件，确保以tomcat用户启动。
• 变更后重启生效：sudo systemctl restart tomcat9 并校验进程属主：ps -ef | grep tomcat。

二 最小化攻击面与默认组件清理

• 删除或禁用示例与文档应用：
  • 路径通常为**/var/lib/tomcat9/webapps/docs与/var/lib/tomcat9/webapps/examples**，执行：sudo rm -rf /var/lib/tomcat9/webapps/{docs,examples}
• 管理控制台最小化暴露：
  • 生产环境建议直接移除管理应用：sudo rm -rf /var/lib/tomcat9/webapps/{manager,host-manager}；如确需保留，务必仅在内网开放并加强认证。
• 修改默认端口，降低自动化扫描命中率：编辑**/etc/tomcat9/server.xml**，将HTTP Connector的port改为非默认端口（如1234），并保留redirectPort=“8443”。
• 隐藏版本信息：在Connector上设置server=“YourSecureServer”，减少信息泄露。
• 禁用不必要的协议与端口：如业务不使用AJP，在server.xml中注释或删除AJP/1.3 Connector（默认端口8009）。

三 加密通信与访问控制

• 启用HTTPS/TLS：在server.xml配置SSL Connector，使用有效证书（生产建议Let’s Encrypt），示例关键参数：
  • SSLEnabled=“true”、scheme=“https”、secure=“true”、clientAuth=“false”、sslProtocol=“TLS”、keystoreFile、keystorePass
• 防火墙仅放行业务所需端口：
  • 使用UFW：sudo ufw allow 1234/tcp、sudo ufw allow 8443/tcp、sudo ufw enable；如需仅本地访问管理，可将HTTP Connector的address设为127.0.0.1并在本地反向代理。
• 强化认证与账户安全：
  • 若保留管理应用，在**/etc/tomcat9/tomcat-users.xml仅分配必要角色（如manager-gui、admin-gui**），并使用高强度随机密码；可结合LockOutRealm实现账户锁定防暴力。
• 启用访问日志：在server.xml取消注释AccessLogValve，便于审计与溯源。

四 日志监控与持续维护

• 实时查看与审计：
  • 访问日志：/var/log/tomcat9/localhost_access_log.*；
  • 运行日志：/var/log/tomcat9/catalina.out；
  • 可使用logwatch进行定期汇总报告：sudo apt install logwatch && sudo logwatch --output mail。
• 变更与重启：每次修改server.xml、tomcat-users.xml等配置后执行sudo systemctl restart tomcat9使配置生效。
• 持续更新与巡检：定期执行apt update/upgrade，关注Tomcat与相关组件的安全公告，例行检查异常日志与访问行为。