TongWeb 服务器安全配置基线

TongWeb服务器安全配置基线页脚内容1备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

页脚内容2目录第1章...................................................................................................... 概述01.1 .............................................................................................................. 目的1.2 ..................................................................................................... 适用范围1.3 ..................................................................................................... 适用版本1.4 ............................................................................................................. 实施1.5 ..................................................................................................... 例外条款第2章 ........................................................................... 账号管理、认证授权02.1 ............................................................................................................. 帐号2.1.1 ....................................................................................... 应用帐号分配2.1.2 ....................................................................................... 用户口令设置页脚内容22.1.3 ....................................................................................... 用户帐号删除42.2 ..................................................................................................... 认证授权52.2.1 ........................................................................................... 控制台安全5第3章 ...................................................................................... 日志配置操作83.1 ..................................................................................................... 日志配置83.1.1 ........................................................................................... 日志与记录8第4章 ............................................................................................. 备份容错114.1 ..................................................................................................... 备份容错11第5章 .................................................................................. IP协议安全配置135.1 ......................................................................................... IP通信安全协议页脚内容I13第6章 ............................................................................... 设备其他配置操作166.1 ..................................................................................................... 安全管理166.1.1 ................................................................................ 禁止应用程序可显166.1.2 ............................................................................................. 端口设置*186.1.3 ....................................................................................... 错误页面处理19第7章 .......................................................................................... 评审与修订22页脚内容II第1章概述1.1目的本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。

1.2适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。

1.3适用版本5.x版本的TongWeb服务器。

1.4实施1.5例外条款第2章账号管理、认证授权2.1帐号2.1.1应用帐号分配页脚内容0基线项目名称安全基线编号SBL-TongWeb-02-01-01安全基线项说明应按照用户分配账号。

避免不同用户间共享账号。

避免用户账号和设备间通信使用的账号共享。

检测操作步骤启动tongweb的控制台，选择列表中的安全域，点击管理用户,如图操作：点击新建，建立用户账号，如图操作：页脚内容1修改用户直接点击用户名，进行修改，如图：基线符合性判定依据1、判定条件各账号都可以登录TongWeb服务器为正常。

2、检测操作访问http://ip:8080/twns管理页面，进行TongWeb服务器配置找安全服务下的安全域即可。

备注2.1.2用户口令设置安全基线项目名称TongWeb用户口令设置安全基线要求项页脚内容2安全基线编号SBL-TongWeb-02-01-02安全基线项说明对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。

且5次以内不得设置相同的口令。

密码应至少每90天进行更换。

检测操作步骤进行口令的修改或者添加，如图操作：基线符合性判定依据1、判定条件检查帐号口令是否符合口令复杂度要求。

2、检测操作人工检查登录页面测试帐号口令是否符合；页脚内容3备注2.1.3用户帐号删除TongWeb用户帐号删除安全基线要求项安全基线项目名称SBL-TongWeb-02-01-03安全基线编号安全应用删除或锁定与设备运行、维护等工作无关的账号。

基线项说明删除无关用户，如图操作：检测操作步骤基线1、判定条件页脚内容42.2认证授权2.2.1控制台安全登陆管理控制台，“服务配置”“WEB容器”“虚拟主机”,如下图：页脚内容5选择“admin”，如下图：允许访问的远程地址：具体的IP或正则表达式。

本例中为正则表达式：10\.110\.111\.([1][9][3-9]|[2][0-5][0-9])，允许10.110.111.193-255网段的IP访问管理控制台基线该设置需要重启TongWeb才能生效符合性判定依据备注页脚内容6页脚内容7第3章日志配置操作3.1日志配置3.1.1日志与记录页脚内容8日志格式如图：基线符合性判定依据1、判定条件查看logs目录中相关日志文件内容，记录完整2、检测操作查看localhost_access_log.2012-03-07.log中相关日志记录页脚内容9页脚内容10第4章备份容错4.1备份容错页脚内容11页脚内容12第5章IP协议安全配置5.1IP通信安全协议页脚内容132、修改tongweb的配置文件twn.xml，如图所示：重新登录tongweb控制台，结果如图：页脚内容14基线符合性判定依据1、判定条件使用https方式登陆TongWeb服务器页面，登陆成功2、检测操作使用https方式登陆TongWeb服务器管理页面ip：https：//ip:8445/twns备注页脚内容15第6章设备其他配置操作6.1安全管理6.1.1禁止应用程序可显安全基线项目名称TongWeb控制台超时设置安全基线要求项安全基线编号SBL-TongWeb-06-01-01安全基线项说明可以避免访问应用时，暴露应用目录下有哪些文件。

检测操作步骤为了防止如下图所示的显示应用目录的情况的发生，TongWeb默认为不显示目录结构：页脚内容16如果希望显示，可进行如图操作：说明:不需要重启tongweb。

基线符合性判定依据1、判定条件勾选显示目录，有详细应用列表。