在CentOS環境下配置WebLogic服務器的安全性是確保系統穩定運行和數據安全的關鍵步驟。以下是一些關鍵的安全設置步驟和最佳實踐：
-
最小化安裝：
- 禁止采用示例應用。
- 禁止采用默認weblogic作為管理員用戶名，建議采用不易被猜測的用戶名，如“root_domain”等。
-
口令長度設置：
- 默認在安裝時，weblogic要求密碼至少為8位，但是沒有限制密碼復雜度。
- 按照如下步驟在安裝時手工設置密碼復雜度。加固方法：登錄控制臺選擇[安全領域]–>領域選擇–>[提供程序]–>[DefaultAuthenticator]–>[配置]–>[提供程序特定]，在“提供程序特定“里設置“最小口令長度”大于等于8，保存，激活更改。
-
設置賬號鎖定策略：
- 對于采用靜態口令認證技術的設備，應配置當用戶連續認證失敗次數超若干次，鎖定該用戶使用的賬號。
- 加固方法：配置失敗鎖定允許嘗試次數，登錄控制臺選擇[安全領域]–>領域選擇–>[配置]–>[用戶封鎖]–>勾選"啟用封鎖"，把“封鎖閥值”設為一個小于等于6的值，保存，激活更改。
- 配置鎖定持續時間，登錄控制臺選擇[安全領域]–>領域選擇–>[配置]–>[用戶封鎖]–>勾選"啟用封鎖"，把“封鎖持續時間”設為一個大于等于30的值，保存，激活更改。
- 打開鎖定帳號策略，登錄控制臺選擇[安全領域]–>領域選擇–>[配置]–>[用戶封鎖]–>勾選"啟用封鎖"，保存，激活更改。
- 配置鎖定重置持續時間，登錄控制臺選擇[安全領域]–>領域選擇–>[配置]–>[用戶封鎖]–>勾選"啟用封鎖"，封鎖重置持續時間:6，保存，激活更改。
-
更改默認端口：
- 為防止惡意的攻擊，使得攻擊者難以找到數據庫并將其定位，使用HTTP協議的設備，應更改WebLogic服務器默認端口。
- 加固方法：登錄控制臺選擇[環境]–>[服務器]–>服務器選擇–>[配置]–>[一般信息]，勾選"啟用監聽端口"，并修改默認端口號為非7001的數值（例如：8001）。
-
設置目錄列表訪問限制：
- 查看weblogic安裝目錄下的weblogic.properties配置文件，將weblogic.httpd.indexDirectories=false。
-
開啟日志功能：
- 設備應配置日志功能，對用戶登錄進行記錄，記錄內容包括用戶登錄使用的賬號，登錄是否成功，登錄時間，使用的IP地址。
- 加固方法：登錄控制臺選擇[環境]–>[服務器]–>服務器選擇–>[日志記錄]–>[HTTP]，勾選"啟用HTTP訪問日志文件"，保存，激活更改。
-
開啟安全審計：
- 如果開啟了WebLogic Security Service提供的AuditingProvider，日志會存在以下位置：DomainName\DefaultAuditRecorder.log。
- 可以通過以下位置設置：Administration Console on the Security → Realms→ RealmName → Providers → Auditors page。
-
限制發送主機名和版本號，禁用Send Server header：
- 缺省條件下，當WeblogicServer響應HTTP請求時，在其HTTP響應的包頭中包括服務器的名稱和Weblogic版本號，這會導致服務器信息的泄漏。
- 為防止惡意的攻擊，獲取更多服務器信息，應該禁止發送服務器標頭。
- 加固方法：登錄控制臺選擇[環境]–>[服務器]–>服務器選擇–>[協議]–>[HTTP]，取消勾選"發送服務器標頭"，保存，激活更改。
-
運行模式設置為生產模式：
- WebLogic有兩種工作模式，一種是開發模式，另一種是生產模式。開發模式下，啟用了自動部署；生產模式下，關閉了自動部署。
- 加固方法：登錄控制臺選擇[域名]–>[配置]–>[常規]，勾選"生產模式"，保存，激活更改。
-
限制打開套接字數量：
- Sockets最大打開數目設置不當的話，容易受到拒絕服務攻擊，超出操作系統文件描述符限制。
- 加固方法1：登錄控制臺選擇[環境]–>[服務器]–>服務器選擇–>[配置]–>[優化]，修改"最大打開套接字數"為254或其它用戶設定值，保存，激活更改。
- 加固方法2：修改config.xml在中間，后面加250。
-
以非root用戶運行WebLogic：
- WebLogic進程的用戶應該是非超級用戶。查看當前系統的WebLogic進程。
請注意，這些安全措施需要定期審查和更新，以應對不斷變化的安全威脅。
