0

私はJava（warファイル）で書かれたWebサービスを持っています（Spring Securityを使用）。Web サービスでは、ホスト マシン上ですべてのファイルを読み取ることができます (FileInputStream を使用)。

私のホスト マシン (Windows システム) には、誰とも共有したくない非常に機密性の高いデータが含まれています。

誰かが私の tomcat に非認証で (何らかの方法で) アクセスしたと仮定すると、彼はそれにファイルをデプロイし、その上でコマンドを実行できます。これにより、ホスト マシンのファイル システムに簡単にアクセスできます。

これをどのように防ぐことができますか？

自動デプロイを無効にして、Tomcat で他のセキュリティ トリックを実行して、攻撃を防ぐことができます。

しかし、これは私の問題を解決しません。

私のファイルシステムが保護されていないことは理にかなっており、心配する必要があります. または、機密データをサーバーに保持しない方がよいでしょう。

4

1 に答える 1

0

これにはいくつかの答えがあります。まず、機密データを含まない別のマシンで tomcat を実行することを検討してください。それ以外では、Tomcat の実行に使用されるユーザーまたはサービスが最小限のシステム権限を持っていることを確認する必要があります。ファイルシステム全体にアクセスできる必要はありません。

http://tomcat.apache.org/tomcat-7.0-doc/security-howto.htmlには、セキュリティに関する考慮事項とヒントが多数用意されています。

さらに、実行された Java コードの権限を制限するために使用されるセキュリティ マネージャを使用して tomcat を実行することを検討することもできます。http://tomcat.apache.org/tomcat-7.0-doc/security-manager-howto.htmlを見て、セキュリティ マネージャーを使用するように tomcat をセットアップする方法を確認してください。

于 2013-06-01T13:27:50.320 に答える