1. 安全评估
– 漏洞扫描
– 配置审计
– 渗透测试
– 风险评估

2. 加固范围
– 操作系统加固
– WebSphere加固
– 应用加固
– 网络加固

3. 加固优先级
优先级 加固内容 时间
──────────────────────────────────────────────────────
P1 高危漏洞修复 立即
P2 安全配置加固 1周
P3 中危漏洞修复 2周
P4 低危漏洞修复 1月

# 安全加固模板

项目名称：fgedu系统安全加固
安全等级：等保三级

加固范围：
– 操作系统：RHEL 8.x
– 应用服务器：WebSphere 9.0.5
– 数据库：Oracle 19c
– 网络：防火墙配置

加固内容：
1. 管理控制台安全
2. SSL/TLS配置
3. 认证授权配置
4. 审计日志配置
5. 密码策略配置

1. 身份鉴别检查
检查项 要求 检查方法
──────────────────────────────────────────────────────
用户标识唯一 用户ID唯一 检查用户注册表
密码复杂度 8位以上，含大小写数字 检查密码策略
密码更换周期 90天更换 检查密码策略
登录失败处理 5次失败锁定 检查账户策略

2. 访问控制检查
检查项 要求 检查方法
──────────────────────────────────────────────────────
权限分离 管理员与普通用户分离 检查角色配置
最小权限 仅授予必要权限 检查权限配置
权限审计 定期审计权限 检查审计日志

3. 安全审计检查
检查项 要求 检查方法
──────────────────────────────────────────────────────
审计范围 覆盖所有用户 检查审计配置
审计内容 记录重要操作 检查审计日志
审计保护 防止篡改 检查日志权限

4. 通信安全检查
检查项 要求 检查方法
──────────────────────────────────────────────────────
传输加密 使用SSL/TLS 检查证书配置
证书有效性 证书未过期 检查证书有效期
加密强度 使用强加密算法 检查加密配置

1. 审计事件
事件类型 审计内容 保留时间
──────────────────────────────────────────────────────
认证事件 登录/登出/失败 180天
授权事件 权限检查/拒绝 180天
管理事件 配置变更 365天
应用事件 业务操作 90天

2. 审计日志配置
配置项 值 说明
──────────────────────────────────────────────────────
日志格式 XML/文本 结构化日志
日志位置 /WebSphere/logs/audit 独立目录
日志轮转 按天/按大小 自动轮转
日志备份 远程备份 防篡改

3. 审计分析
– 定期审计日志分析
– 异常行为检测
– 合规报告生成

# 审计脚本
#!/bin/bash
# security_audit.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: http://www.fgedu.net.cn

AUDIT_LOG=/WebSphere/logs/audit/security_audit_$(date +%Y%m%d).log

echo “=== WebSphere安全审计 ===” >> $AUDIT_LOG
echo “审计时间：$(date)” >> $AUDIT_LOG

# 检查登录失败
echo “1. 登录失败记录：” >> $AUDIT_LOG
grep “authentication failure” /WebSphere/app/profiles/Dmgr01/logs/dmgr/SystemOut.log | \
tail -10 >> $AUDIT_LOG

# 检查配置变更
echo “” >> $AUDIT_LOG
echo “2. 配置变更记录：” >> $AUDIT_LOG
grep “configuration change” /WebSphere/app/profiles/Dmgr01/logs/dmgr/SystemOut.log | \
tail -10 >> $AUDIT_LOG

echo “” >> $AUDIT_LOG
echo “=== 审计完成 ===” >> $AUDIT_LOG

1. 密码策略
策略项 值 说明
──────────────────────────────────────────────────────
最小长度 8 字符数
复杂度要求 大小写+数字+特殊字符 强密码
历史密码 5 不能重复
最大使用期限 90天 定期更换
最小使用期限 1天 防止快速更换

2. 账户策略
策略项 值 说明
──────────────────────────────────────────────────────
锁定阈值 5次 失败次数
锁定时间 30分钟 自动解锁
会话超时 30分钟 自动登出
并发登录 1 单点登录

3. 访问策略
策略项 值 说明
──────────────────────────────────────────────────────
管理访问 特定IP IP白名单
应用访问 认证用户 需登录
匿名访问 禁用 无匿名

# 安全策略配置命令
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123

# 配置密码策略
security = AdminConfig.getid(‘/Security:/’)
authMech = AdminConfig.list(‘LTPA’, security)
AdminConfig.modify(authMech, ”’
[[passwordPolicy
[minPasswordLength 8]
[passwordPolicyRegex “^(?=.*[a-z])(?=.*[A-Z])(?=.*\\d)(?=.*[@$!%*?&])[A-Za-z\\d@$!%*?&]{8,}$”]
[passwordHistory 5]
[passwordExpiration 90]]
”’)

AdminConfig.save()

1. 启用全局安全
管理控制台 > 安全 > 全局安全

配置：
[x] 启用管理安全性
[x] 启用应用程序安全性
应用程序认证：LTPA
活动认证机制：LTPA
活动用户注册表：联合存储库

2. 配置IP限制
# 通过Web服务器配置
# 在IBM HTTP Server或前端代理配置

Order Deny,Allow
Deny from all
Allow from 192.168.1.0/24
Allow from 10.0.0.0/8

3. 禁用默认用户
# 删除或禁用默认用户
管理控制台 > 用户和组 > 管理用户

检查默认用户：
– wasadmin
– admin
– websphere

建议：删除或重命名默认用户

4. 配置会话超时
管理控制台 > 服务器 > server1 > 容器设置 > Web容器设置 > 会话管理

配置：
会话超时：30分钟
启用Cookie：是
Cookie安全：是（仅HTTPS）
HttpOnly：是

# 安全加固验证
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123 -c ”
security = AdminConfig.getid(‘/Security:/’)
print AdminConfig.show(security)
” 2>/dev/null

[enabled true]
[appEnabled true]
[adminActiveAuthMechanism LTPA]
[activeUserRegistry WIMUserRegistry]

1. 查看开放端口
netstat -tlnp | grep java

tcp 0 0 0.0.0.0:9043 LISTEN 12345/java # 控制台HTTPS
tcp 0 0 0.0.0.0:9443 LISTEN 12345/java # 应用HTTPS
tcp 0 0 0.0.0.0:2809 LISTEN 12345/java # ORB
tcp 0 0 0.0.0.0:9100 LISTEN 12345/java # JMX

2. 禁用不必要端口
管理控制台 > 服务器 > server1 > 端口

禁用端口：
– SOAP连接器（如不需要）
– RMI连接器（如不需要）
– Debug端口（生产环境禁用）

3. 绑定特定IP
# 修改端口绑定地址
管理控制台 > 服务器 > server1 > 端口

将主机从 * 改为特定IP：
– WC_adminhost：127.0.0.1
– WC_adminhost_secure：内网IP

4. 防火墙配置
# 只开放必要端口
firewall-cmd –permanent –add-port=9043/tcp
firewall-cmd –permanent –add-port=9443/tcp
firewall-cmd –reload

# 端口安全检查脚本
#!/bin/bash
# port_check.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: http://www.fgedu.net.cn

echo “=== WebSphere端口检查 ===”

# 检查开放端口
echo “开放端口：”
netstat -tlnp | grep java

# 检查端口绑定
echo “”
echo “端口绑定地址：”
grep -r “host=” /WebSphere/app/profiles/AppSrv01/config/cells/*/nodes/*/serverindex.xml | head -10

1. 创建证书
# 使用keytool创建证书
keytool -genkeypair \
-alias fgedu \
-keyalg RSA \
-keysize 2048 \
-validity 365 \
-keystore /WebSphere/ssl/fgedu.jks \
-storepass fgedu123 \
-keypass fgedu123 \
-dname “CN=fgedu.net.cn,OU=IT,O=FGedu,L=Beijing,ST=Beijing,C=CN”

# 或使用CA证书
keytool -importcert \
-alias fgeduca \
-file fgedu.crt \
-keystore /WebSphere/ssl/fgedu.jks \
-storepass fgedu123

2. 配置SSL
管理控制台 > 安全 > SSL证书和密钥管理

配置：
密钥库位置：/WebSphere/ssl/fgedu.jks
密钥库类型：JKS
密钥库密码：fgedu123

3. 配置SSL协议
管理控制台 > 安全 > SSL证书和密钥管理 > SSL配置

配置：
协议：TLS
加密套件：强加密套件
禁用：SSLv2, SSLv3, TLSv1.0

4. 强制HTTPS
管理控制台 > 服务器 > server1 > Web容器传输链

配置：
– 启用HTTPS重定向
– 禁用HTTP端口（可选）

# SSL配置验证
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123 -c ”
sslConfig = AdminConfig.list(‘SSLConfig’)
print AdminConfig.show(sslConfig)
” 2>/dev/null

[securityLevel HIGH]
[enabledCiphers [TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256]]
[protocol TLS]

1. 配置LDAP用户注册表
管理控制台 > 安全 > 全局安全 > 用户注册表 > 联合存储库

添加LDAP存储库：
存储库标识：fgeduldap
服务器类型：Microsoft Active Directory
主机：ad.fgedu.net.cn
端口：636
SSL启用：是
绑定DN：CN=websphere,OU=ServiceAccounts,DC=fgedu,DC=net,DC=cn
绑定密码：Fgedu@123

LDAP配置：
基本DN：DC=fgedu,DC=net,DC=cn
用户过滤器：(&(sAMAccountName=%s)(objectClass=user))
组过滤器：(&(cn=%s)(objectClass=group))
用户ID映射：*:sAMAccountName
组ID映射：*:cn

2. 通过wsadmin配置
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123

# 创建LDAP存储库
wim = AdminConfig.getid(‘/WIMUserRegistry:/’)
ldapRepo = AdminConfig.create(‘LDAPRepository’, wim, ”’
[[id fgeduldap]
[serverType CUSTOM]
[host ad.fgedu.net.cn]
[port 636]
[sslEnabled true]
[bindDN “CN=websphere,OU=ServiceAccounts,DC=fgedu,DC=net,DC=cn”]
[bindPassword Fgedu@123]
[baseDN “DC=fgedu,DC=net,DC=cn”]
[loginProperties [sAMAccountName uid]]]
”’)

AdminConfig.save()

3. 配置角色映射
管理控制台 > 应用程序 > 应用程序类型 > WebSphere企业应用程序
> fgeduapp > 安全角色到用户/组映射

角色映射：
fgeduAdmin -> cn=fgeduadmins,ou=groups,dc=fgedu,dc=net,dc=cn
fgeduUser -> cn=fgeduusers,ou=groups,dc=fgedu,dc=net,dc=cn

# LDAP连接测试
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123 -c ”
# 测试用户查找
print AdminTask.searchUsers(‘-searchFilter sAMAccountName=fgedu’)
” 2>/dev/null

#!/bin/bash
# compliance_check.sh
# from:www.itpux.com.qq113257174.wx:itpux-com
# web: http://www.fgedu.net.cn

REPORT_FILE=/WebSphere/logs/compliance_report_$(date +%Y%m%d).txt

echo “========================================” > $REPORT_FILE
echo “WebSphere合规检查报告” >> $REPORT_FILE
echo “检查时间：$(date)” >> $REPORT_FILE
echo “========================================” >> $REPORT_FILE

# 1. 检查安全是否启用
echo “” >> $REPORT_FILE
echo “【1. 安全配置检查】” >> $REPORT_FILE
/WebSphere/app/profiles/Dmgr01/bin/wsadmin.sh -lang jython \
-username fgeduadmin -password fgedu123 -c ”
security = AdminConfig.getid(‘/Security:/’)
enabled = AdminConfig.showAttribute(security, ‘enabled’)
print ‘全局安全启用：’ + enabled
” 2>/dev/null >> $REPORT_FILE

# 2. 检查密码策略
echo “” >> $REPORT_FILE
echo “【2. 密码策略检查】” >> $REPORT_FILE
echo “密码最小长度：8” >> $REPORT_FILE
echo “密码复杂度：要求大小写+数字+特殊字符” >> $REPORT_FILE
echo “密码有效期：90天” >> $REPORT_FILE

# 3. 检查SSL配置
echo “” >> $REPORT_FILE
echo “【3. SSL配置检查】” >> $REPORT_FILE
keytool -list -keystore /WebSphere/ssl/fgedu.jks -storepass fgedu123 2>/dev/null | \
grep -A1 “别名” >> $REPORT_FILE

# 4. 检查端口配置
echo “” >> $REPORT_FILE
echo “【4. 端口配置检查】” >> $REPORT_FILE
netstat -tlnp | grep java >> $REPORT_FILE

# 5. 检查审计日志
echo “” >> $REPORT_FILE
echo “【5. 审计日志检查】” >> $REPORT_FILE
ls -la /WebSphere/logs/audit/ >> $REPORT_FILE

echo “” >> $REPORT_FILE
echo “========================================” >> $REPORT_FILE
echo “检查完成” >> $REPORT_FILE

echo “合规检查报告已生成：$REPORT_FILE”

# 执行结果
========================================
WebSphere合规检查报告
检查时间：2026年4月10日 10:00:00
========================================

【1. 安全配置检查】
全局安全启用：true

【2. 密码策略检查】
密码最小长度：8
密码复杂度：要求大小写+数字+特殊字符
密码有效期：90天

【3. SSL配置检查】
别名：fgedu
创建日期：2026年1月1日

【4. 端口配置检查】
tcp 0 0 192.168.1.100:9043 LISTEN 12345/java
tcp 0 0 192.168.1.100:9443 LISTEN 12345/java

【5. 审计日志检查】
drwxr-x— 2 wasadmin wasadmin 4096 4月10日 10:00 security_audit_20260410.log

========================================
检查完成