Seguridad en TomCat público

Buenas,

En mi empresa tenemos varios proyectos en Apache TomCat, que están expuestos en internet, para que los clientes puedan ir viendo el desarrollo.

A parte de no dejar el usuario y contraseña por defecto, ¿que más acciones habría que hacer para garantizar la seguridad?

Gracias por adelantado

Un saludo

Etiquetas: internet, seguridad, tomcat

▶ Responde a esto

Respuestas a esta discusión

Permalink Responder para Javito el noviembre 6, 2009 a las 8:18am: buenos dias, te recomiendo que leas la guia de fortificando un servidor apache de el maligno
Chema Alonso

Un Saludo; ▶ Responde a esto

Permalink Responder para Iñaki R. el noviembre 6, 2009 a las 9:37am: Buenas,

la guía que comenta Javito está bien aunque yo discrepo en algunos puntos. No te recomendaría compilar, la instalación desde paquete es más sencilla y fácil de mantener, sobre todo si no tienes una política de actualizaciones. Los cambios que hace en la guía se pueden hacer también con mod_security y la verdad, dudo que sirva de mucho si te hacen un fingerprinting del servidor web, aunque siempre ayuda cambiar los banners. Otras cosillas que se me ocurren:

- Quita todos los directorios por defecto (images, docs,...)
- Instala mod_security y déjalo logueando solo unos días o una semana. Hay reglas genéricas pero cada aplicación requiere un tunning. Los logs te dirán qué reglas podrían darte problemas.
- Si integras apache con tomcat, procura que tu tomcat use la ip de loopback.
- Cuando termines de configurarlo, pasa algo como nikto contra todas las ips del servidor y sus host virtuales. Puede que te hayas dejado algo en el tintero (a mi me pasa xD)
- Si lo merece, contrata a una empresa que te haga el pentesting/apptesting. El 90% de las alertas de seguridad que yo he tenido han sido por una mala programación, no por una versión desactualizada del software que la sirve.
- De esto último se deduce... TENER UNA POLITICA DE ACTUALIZACIONES ES VITAL PARA DORMIR MEJOR (y automatizarla es la panacea)
- Por si a alguien le pica, el otro 10% han sido troyanos en las máquinas del cliente que roban passwords :P

Hay os dejo mis 2 centimos de euro (en inglés queda más "cool" xD)

Saludos; ▶ Responde a esto

Permalink Responder para Javito el noviembre 6, 2009 a las 10:13am: Gracias Iñaki, hace mucho que no uso Tomcat, pero me acorde esa guia y la puse.

Un Saludo; ▶ Responde a esto

Permalink Responder para Iñaki R. el noviembre 6, 2009 a las 11:06am: Haces bien en no usarlo xDD En nuestra empresa odiamos java por encima de todas las cosas, java y todo lo que tenga que ver.

Un saludo

Javito dijo:
Gracias Iñaki, hace mucho que no uso Tomcat, pero me acorde esa guia y la puse.

Un Saludo; ▶ Responde a esto