等保2.0下的Apache Tomcat中间件安全问题调查报告

等保2.0下的Apache Tomcat中间件安全问题调查报告
Part5. 敏感信息泄露：字典攻击、信息爆破及设置权限
为了避免敏感信息泄露的问题，网站管理员应该正确设置用户权限，禁止使用弱密码，并对密码做好加密存储。同时建议使用带有防撞库和密码复杂度限制的自定义身份认证，搭配Apache Tomcat的AccessLogValve功能，监控登录访问是一个不错的选择。
Part6. 静态资源访问限制：针对容易泄漏的文件设置规则
在等保2.0中，静态资源访问限制非常关键。建议利用Apache Tomcat提供的SecurityConstraints功能，对经常被访问、容易泄露的文件设置访问控制规则，比如：禁止外部访问、检查文件类型、阻止文件上传等等。这样可以有效提升网站的安全性。
Part7. Host管理、CGI、Session等功能的安全性控制
Apache Tomcat中也存在像Host管理、CGI、Session等功能，这些也可能成为攻击者的突破口。所以在等保2.0下，使用这些功能时必须加强安全性控制。比如，可以提高Session的加密等级，设置CGI的限制规则，避免Host被强制修改等等。
Part8. Catalina管理界面和配置文件的安全性
除了普通用户，网站管理员也要对Apache Tomcat的Catalina管理界面和配置文件进行严格的安全性控制。严格限制访问这些功能的权限，避免敏感信息泄露、脚本注入等攻击。
Part9. 模块运行时安全性检查及监测做法
在等保2.0中，应该采取模块运行时安全性检查及监测做法，保证模块的安全可靠。利用Apache Tomcat提供的AccessLogValve、SSLValve和ErrorReportValve等功能，对模块运行进行全方位监测和安全检查，避免被黑客利用漏洞进行攻击。
Part10. 安全运维建议：持续关注StaryFly
作为一名网站管理员，要想做好安全运维工作，就需要密切关注Apache Tomcat的安全差异，积极更新版本；另外，持续关注WildFly和JBoss应用服务器的新特性，以便更好地抵抗未来攻击。在等保2.0的背景下，保障网站安全是网站运营者义不容辞的责任，我们应该与时俱进，不断提升安全意识和技能。