如何配置CentOS Tomcat安全策略

CentOS 上 Tomcat 安全策略配置

一 运行账户与最小权限

• 创建专用的系统账户运行 Tomcat（禁止登录、无 sudo 权限），并将安装目录属主设为该账户，遵循最小权限原则。示例：
  • 创建用户与组：sudo groupadd tomcat；sudo useradd -s /sbin/nologin -g tomcat -M tomcat
  • 调整目录权限：sudo chown -R tomcat:tomcat /opt/tomcat
• 配置 systemd 服务以 tomcat 身份运行（示例片段）：
  • [Service] 中设置：User=tomcat；Group=tomcat；ExecStart=/opt/tomcat/bin/startup.sh；ExecStop=/opt/tomcat/bin/shutdown.sh；Restart=on-failure
  • 使配置生效：sudo systemctl daemon-reload & & sudo systemctl enable --now tomcat
• 如启用 SELinux，需为 Tomcat 设置正确的文件上下文并视情况调整布尔值（示例）：
  • 目录上下文：sudo chcon -R -t httpd_sys_content_t /opt/tomcat/webapps；sudo chcon -R -t httpd_sys_rw_content_t /opt/tomcat/logs
  • 必要时：sudo setsebool -P tomcat_execmem 1（仅在确有需要时开启）

二 网络与访问控制

• 防火墙限制访问
  • 仅开放必要端口（示例为 8080）：sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp & & sudo firewall-cmd --reload
  • 仅允许指定来源 IP 访问管理端口（示例 192.168.1.100）：sudo firewall-cmd --permanent --zone=public --add-rich-rule=‘rule family=“ipv4” source address=“192.168.1.100” port protocol=“tcp” port=“8080” accept’ & & sudo firewall-cmd --reload
• 反向代理前置（Nginx 示例）
  • 安装 Nginx 后配置：listen 80；server_name yourdomain.com；location / { proxy_pass http://127.0.0.1:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } ；重启 Nginx
  • 防火墙仅放行 80/443：sudo firewall-cmd --permanent --zone=public --add-service=http；sudo firewall-cmd --permanent --zone=public --add-service=https；sudo firewall-cmd --reload
• SELinux 网络限制
  • 如 Tomcat 需要对外发起连接（例如连接后端数据库），可按需开启：sudo setsebool -P httpd_can_network_connect 1（默认应为关闭以降低攻击面）

三 服务与连接器加固

• 隐藏版本与 Banner
  • 在 server.xml 的 中添加：server=“MyAppServer/1.0”，减少信息泄露
• 关闭管理应用与示例
  • 删除或移走 webapps 下的 docs、examples、host-manager、manager、ROOT 等目录，降低攻击面
• 禁用目录列表
  • 在 conf/web.xml 的 中设置 listings 为 false，防止目录遍历
• 关闭热部署与自动解包
  • 在 server.xml 的 中设置 unpackWARs=“false”、autoDeploy=“false”，避免被恶意 WAR 自动部署
• 禁用 AJP 协议
  • 在 server.xml 中将 AJP Connector 端口设为 -1（如未使用 AJP 则直接注释/移除），减少暴露面
• 限制 HTTP 方法
  • 在应用的 WEB-INF/web.xml 中使用 仅允许 GET/POST 等必要方法，禁用 PUT/DELETE/HEAD/OPTIONS/TRACE
• 启用 HTTPS
  • 使用有效证书配置 8443 端口（示例）：
  • 或采用 方式配置证书与协议

四 认证授权与日志审计

• 管理界面访问控制
  • 若保留 manager/host-manager，务必在对应应用的 META-INF/context.xml 中使用 RemoteAddrValve 限制来源 IP，例如仅允许 127.0.0.1 与内网网段：
• 用户与角色最小化
  • 在 conf/tomcat-users.xml 中仅创建业务所需角色与账户，避免使用弱口令；生产环境建议删除或注释默认示例用户
• 应用级安全约束
  • 在 WEB-INF/web.xml 中定义 、（如 BASIC 或 FORM）、，对管理路径实施强认证与授权
• 外部认证集成
  • 对接 LDAP/AD：在 conf/context.xml 或 server.xml 中配置 JNDI Realm，集中账号与权限管理
• 日志与监控
  • 定期检查 catalina.out、localhost_access_log 等日志，关注异常访问、频繁失败登录与可疑请求路径；必要时接入集中日志审计平台

五 快速检查清单

• 运行账户为 非 root，目录权限最小化，systemd 中已设置 User/Group=tomcat
• 防火墙仅开放 8080/8443 或仅放行 80/443（经反向代理），关键管理端口限制为白名单 IP
• 已删除 docs/examples/host-manager/manager/ROOT，关闭 目录列表、热部署、AJP
• 已启用 HTTPS，禁用不安全 HTTP 方法，Connector 设置 server 隐藏版本
• 管理界面启用 IP 白名单，tomcat-users.xml 仅保留必要角色与强口令
• SELinux 处于 enforcing，目录上下文与布尔值按最小化原则配置
• 定期更新 CentOS 与 Tomcat 版本，保留变更记录并回滚预案

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！