Ubuntu上WebLogic安全配置有哪些

Ubuntu上WebLogic安全配置清单

一 系统与进程安全

• 以非 root用户运行 WebLogic：创建专用系统账号（如weblogic:weblogic），使用 sudo 启动管理脚本，避免以 root 直接启动域。此举可降低被提权风险。
• 最小权限与文件保护：确保域目录与关键文件（如 SerializedSystemIni.dat）仅对 WebLogic 运行账号可读写；该文件保存密码哈希，不可跨域移动，务必做好离线备份并设置严格权限。

二 监听与传输安全

• 启用并正确配置 SSL/TLS：在管理控制台选择服务器 → 配置 → SSL，设置身份密钥库（证书与私钥）与信任密钥库（受信 CA）；按需配置私钥别名与密码。支持单向或双向 SSL；完成后在“高级”中配置主机名验证（默认验证器或自定义），保存并激活变更（部分项需重启）。
• 证书吊销检查（CRL/OCSP）：在域范围启用证书吊销检查（CertRevocMBean.CheckingEnabled=true），可自定义方法顺序（OCSP/CRL）、OCSP 响应缓存与超时、CRL 分发点与刷新频率；支持对特定 CA 覆盖（如指定 OCSP Responder URL、显式信任的响应证书等），以满足合规与可用性需求。
• 更改默认端口与隐藏版本信息：将 HTTP/HTTPS 监听端口由默认 7001/7002 调整为非默认端口；在服务器 → 协议 → HTTP 中取消勾选发送服务器标头，减少信息泄露面。

三 身份与访问控制

• 账户锁定与登录安全：在安全领域 → myrealm → 配置 → 用户封锁启用账号锁定策略，设置失败次数阈值、锁定持续时间与复位时间，缓解暴力破解；同时结合复杂度策略提升口令强度。
• 匿名 MBean 访问：在域 → 安全 → 常规中禁用Anonymous Admin Lookup Enabled，避免未授权读取 MBean 属性。
• 安全审计：在安全 → 领域 → RealmName → 提供程序 → 审计器启用审计提供者，记录关键安全事件，便于合规与溯源。

四 会话 日志与网络防护

• 会话与超时：在服务器 → 配置 → 优化设置登录超时（HTTP，建议不大于5000毫秒）、SSL 登录超时（建议不大于10000毫秒）；在域 → 配置 → 常规 → 高级设置控制台会话超时（建议不大于300秒），降低会话劫持与资源占用风险。
• 日志与访问记录：在服务器 → 日志记录 → HTTP 启用HTTP 访问日志；结合审计提供者形成完整审计链，日志默认位于域目录下的 servers//logs（如 access.log）。
• 网络与协议加固：使用 UFW/iptables 限制管理端口与管理源地址；在 WebLogic 启用**连接过滤器（Connection Filters）**限制域内外通信；如存在历史漏洞风险（如 CVE-2018-2628），优先通过官方 CPU 补丁修复，必要时临时限制 T3 协议暴露面。

五 运行模式与补丁管理

• 运行模式：将域设置为生产模式（关闭自动部署、启用更严格的安全策略），避免开发期特性进入生产。
• 补丁与更新：订阅 Oracle Critical Patch Update（CPU） 与安全通告，及时应用最新补丁，修复已知漏洞并提升整体安全基线。