一、 操作系统层面权限加固

1. 系统用户与组管理

• 创建专用WebLogic用户组使用groupadd weblogic命令创建专门用于运行WebLogic及管理相关资源的用户组，避免与其他系统用户组混淆。
• 创建专用WebLogic用户通过useradd -g weblogic weblogic命令创建用户， 指定其所属组为weblogic并设置强密码。
• 限制系统超级用户通过passwd -l命令锁定不必要的超级账户， 禁止以root用户直接运行WebLogic进程，降低权限滥用风险。

2. 文件与目录权限控制

• 最小权限原则使用chown命令将WebLogic安装目录、 域目录的所有权赋予weblogic用户及weblogic组；通过chmod命令设置目录权限为750文件权限为640避免未授权访问或修改。
• 保护关键文件对/etc/passwd /etc/shadow/etc/group等口令文件使用chattr +i命令添加不可更改属性，防止恶意篡改。

3. SELinux强化

• 启用SELinux通过sestatus命令检查SELinux状态， 若未启用则使用setenforce 1临时启用，修改/etc/selinux/config文件中的SELINUX=enforcing并重启系统永久生效，提供更细粒度的权限控制。

二、 WebLogic自身权限配置

• 避免默认管理员账户禁用或删除默认的weblogic管理员账户，创建新的管理员账户，设置复杂密码并限制登录IP范围，降低默认账户被攻击的风险。
• 合理划分用户组根据业务需求创建不同用户组， 将用户添加至对应组中，实现权限的分类管理。

2. 角色与权限策略

• 基于角色的访问控制登录WebLogic控制台， 进入Security Realms→myrealm→Roles and Policies页面创建角色，并为角色分配权限。比方说：
  • AdminRole拥有管理用户、 部署应用、配置服务器等全部权限；
  • UserRole仅拥有访问指定应用的权限；
  • AppManagerRole拥有管理指定应用的数据库、场景等权限。
• 应用级权限细化在应用部署后 进入Applications→→Permissions页面为组或用户分配应用级权限、Database ManagerDatabase Update），确保用户仅能访问其职责范围内的功能和数据。

3. 运行模式与自动部署

• 设置为生产模式通过Environment→Servers→→Configuration→General页面将WebLogic运行模式从“开发模式”切换为“生产模式”， 关闭自动部署功能，增强系统平安性。

三、 访问与通信平安

1. SSL加密配置

• 启用HTTPS使用keytool工具生成SSL证书，在WebLogic控制台的Servers→→Configuration→SSL页面配置证书，启用SSL监听端口，强制客户端通过HTTPS访问，保护数据传输平安。

2. 防火墙与网络访问控制

• 配置防火墙规则使用firewalld或iptables限制WebLogic端口的访问，仅允许信任的IP地址访问管理端口和应用端口。比方说：

  firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="7001" protocol="tcp" accept'
  firewall-cmd --reload

• 更改默认端口避免使用默认的HTTP、 HTTPS端口，修改为非标准端口，减少恶意扫描和攻击的概率。

四、 审计与监控

1. 日志配置

• 启用详细日志在WebLogic控制台的Servers→→Logging页面设置日志级别为Notice或Warning记录用户登录、操作行为、访问时间、IP地址等信息，便于后续审计。
• 启用平安审计进入Security Realms→myrealm→Auditing页面 启用审计功能，配置审计策略，确保所有平安相关操作可追溯。

2. 日志管理

• 定期备份与清理将WebLogic日志文件定期备份至异地存储， 使用logrotate工具设置日志轮转策略，避免日志文件占用过多磁盘空间。

五、 其他平安实践

1. 禁用不必要的功能与服务

• 关闭示例应用删除或禁用WebLogic安装目录下的示例应用，避免暴露敏感信息或成为攻击入口。
• 禁用凶险HTTP方法在WebLogic控制台的Security Realms→myrealm→Filters页面 添加过滤器禁用PUTDELETETRACE等凶险HTTP方法，防止恶意请求篡改数据或探测系统信息。

2. 补丁与版本管理

• 及时更新补丁定期检查Oracle官方发布的平安补丁， 及时升级WebLogic Server至最新版本，修复已知漏洞，降低被攻击的风险。

---