Java在CentOS上的安全配置建议

Java在CentOS上的安全配置建议

一 基础环境与最小权限

• 使用JDK 11/17（LTS），通过包管理器安装并验证版本：java -version。避免使用已停止维护的版本。
• 创建专用系统用户与组运行Java进程，禁止以root直接运行：
  • sudo groupadd java_app_group && sudo useradd -g java_app_group java_app_user
  • 部署目录所有权：sudo chown -R java_app_user:java_app_group /opt/app
  • 目录权限：sudo chmod -R 750 /opt/app（目录750、文件640是常见安全基线）
• 清理老旧Java版本，避免依赖冲突与安全暴露：
  • 列出与切换：alternatives --config java
  • 卸载旧包：sudo yum remove java-1.8.0-openjdk*（按实际包名调整）
  • 更新环境变量：/etc/profile 或 /etc/profile.d/java.sh 中设置 JAVA_HOME 与 PATH 并 source 生效。

二 运行与访问控制

• 以最小权限启动：服务化运行（如systemd）并指定非root用户；示例关键项：
  • User=tomcat_user、Group=tomcat_group、UMask=0007、Restart=always
• 网络与防火墙：仅开放必要端口（如8080/8443），使用firewalld精准放行：
  • 放行端口：sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp && sudo firewall-cmd --reload
• 启用SELinux并采用最小权限策略：
  • 查看状态：sestatus
  • 为应用目录设置合适上下文（示例）：sudo chcon -R -t java_home_t /opt/app
  • 如涉及对外连接，按需开启布尔值（示例）：sudo setsebool -P httpd_can_network_connect 1
• 远程连通性自检：从外部主机 curl http://<server_ip>:8080 验证访问是否受限且符合策略。

三 Java安全策略与代码级权限

• 启用**Java安全管理器（SecurityManager）**与自定义策略文件，遵循“最小权限原则”：
  • 启动参数：
    • java -Djava.security.manager -Djava.security.policy=/opt/app/security.policy -jar app.jar
  • 策略示例（按需收紧）：
    • 只读应用目录：
      • grant codeBase "file:/opt/app/-" { permission java.io.FilePermission "/opt/app/resources/*", "read"; };
    • 本地回环访问：
      • grant { permission java.net.SocketPermission "localhost:1024-", "connect,resolve"; };
• 避免在生产使用“全权限”策略（如 <<ALL FILES>>、"read,write,delete"），并通过功能测试验证策略生效。

四 Web容器与常见场景加固（以Tomcat为例）

• 管理接口保护：
  • conf/tomcat-users.xml 使用强密码并限制角色；
  • 在 webapps/manager/META-INF/context.xml 通过 RemoteAddrValve 仅允许白名单IP访问管理端。
• 启用HTTPS/TLS：
  • 使用Let’s Encrypt获取证书，转换为PKCS12并配置 server.xml 的 8443 端口与证书路径、密码。
• 文件与进程权限：
  • 目录750、文件640；关键脚本（如 bin/*.sh）700；运行用户为非root专用账户。
• 版本选择与部署：优先Tomcat 9/10.1的官方发行包，下载后做SHA512 校验，避免第三方篡改版本。

五 运维与审计实践

• 持续更新JDK与依赖，及时修补已知漏洞；定期清理旧版本并验证 java -version 与 alternatives 配置。
• 变更与发布保留策略文件与启动脚本版本化，回滚可追踪；对策略调整进行连通性与权限回归测试。
• 启用应用与系统日志，对管理口、登录、权限拒绝等事件进行集中审计与告警。