centos tomcat日志安全策略

CentOS下Tomcat日志安全策略配置指南

1. 日志文件權限與所有權管理

確保Tomcat日志文件僅能被授權用戶訪問，避免未授權讀取或篡改。

• 設置正確所有權：將日志目錄及文件的所有者設為Tomcat運行用戶（通常為tomcat），例如：
  sudo chown -R tomcat:tomcat /var/log/tomcat/
• 配置合理權限：日志文件應允許所有者讀寫（640或644），組用戶只讀，其他用戶無權限。例如：
  sudo chmod 640 /var/log/tomcat/*.log
• 調整UMASK值：修改catalina.sh腳本中的UMASK（默認0027），設置為0022，使新生成日志文件的默認權限符合安全要求（如644）。

2. 日志輪轉與歸檔管理

防止日志文件過大占用磁盤空間，同時保留歷史日志用于審計。

• 使用logrotate工具：創建/etc/logrotate.d/tomcat配置文件，設置每日輪轉、保留7天、壓縮舊日志、創建新文件并重啟Tomcat：

  /var/log/tomcat/*.log {
      daily
      rotate 7
      compress
      delaycompress
      missingok
      notifempty
      create 640 tomcat tomcat
      sharedscripts
      postrotate
          /bin/kill -HUP `cat /var/run/tomcat.pid 2>/dev/null` 2>/dev/null || true
      endscript
  }
  

• 手動輪轉備用：若未使用logrotate，可停止Tomcat、重命名日志文件、重啟Tomcat實現手動輪轉。

3. 日志內容安全控制

避免日志中泄露敏感信息，聚焦安全相關事件記錄。

• 隱藏版本信息：修改server.xml中的Connector配置，添加server屬性隱藏Tomcat版本：
  <Connector port="8080" protocol="HTTP/1.1" server="Custom Server" ... />
• 記錄安全事件：在logging.properties中設置FINE或FINER級別，記錄用戶登錄、權限變更、異常等關鍵事件；或通過Log4j2配置log4j2.xml，添加Security logger并設置level=INFO。

4. SELinux上下文配置（若啟用）

確保SELinux允許Tomcat訪問日志文件及目錄。

• 設置正確上下文：將Tomcat日志目錄標記為httpd_sys_rw_content_t類型：
  sudo chcon -Rt httpd_sys_rw_content_t /var/log/tomcat/
• 調整布爾值：若Tomcat需要網絡傳輸日志，啟用httpd_can_network_connect：
  sudo setsebool -P httpd_can_network_connect 1
• 自定義策略：若出現SELinux拒絕訪問，使用ausearch生成策略模塊并安裝：
  sudo ausearch -c 'java' --raw | audit2allow -M my-tomcat-log && sudo semodule -i my-tomcat-log.pp

5. 實時監控與異常告警

及時發現日志中的異常行為，快速響應安全事件。

• 日志監控工具：使用Prometheus+Grafana監控日志文件大小、修改時間等指標；或用auditd記錄對日志文件的訪問（如-w /var/log/tomcat/ -p wa -k tomcat_log_access）。
• 告警規則：配置閾值告警（如日志文件大小超過1GB、1分鐘內出現10次ERROR），通過郵件、短信等方式通知管理員。

6. 日志加密保護敏感數據

對存儲的日志文件進行加密，防止泄露敏感信息。

• 傳輸層加密：通過SSL/TLS加密Tomcat與日志收集服務器之間的通信（如配置server.xml中的Connector啟用HTTPS）。
• 存儲層加密：使用LUKS加密日志分區，或在應用層通過Log4j2的EncryptingLayout對日志內容加密（需額外配置密鑰管理）。

7. 第三方日志框架集成

利用Log4j2、Logback等框架增強日志管理能力。

• 替換默認日志：在pom.xml中排除默認日志依賴，添加Log4j2依賴：

  <dependency>
      <groupId>org.apache.logging.log4j</groupId>
      <artifactId>log4j-core</artifactId>
      <version>2.20.0</version>
  </dependency>
  

• 配置高級功能：在log4j2.xml中設置RollingFileAppender實現自動輪轉，PatternLayout控制日志格式，Filters過濾敏感信息（如信用卡號）。