首页 / 浏览问题 / 云GIS / 问题详情
SuperMap iServer服务器安全性最佳做法
root  (17,985EXP)  登峰造极
1月27

01、启用 HTTPS 加密通信,禁用 HTTP 协议

       安全问题场景:SuperMap iServer服务器启动后默认使用的是 HTTP 协议, HTTP 以明文的方式发送内容,不适合传输一些敏感信息,为保证传输信息不被中间服务器或者其他探测软件捕获,建议您启用 HTTPS 加密通信,规避潜在的信息泄密风险。

      应对措施:禁用 HTTP 协议,开启 HTTPS,对通信内容加密。

      配置方法:在实际生产环境中,需要先获取 CA签名的SSL证书。获取证书后,您可以修改SuperMap iServer安装目录/conf/server.xml 配置文件,通过 JSSE 或 APR 来配置 HTTPS 加密。配置后重启iServer方可生效。

02、配置启用跨域访问白名单

     安全问题场景:SuperMap iServer 服务器实现了 HTML5 跨源资源共享(CORS)策略,可能会遇到类似“跨域策略配置不当”等安全问题,建议您配置跨域访问白名单,进行更精准的控制,以规避潜在的安全风险。

     应对措施:配置跨域访问的白名单,进行更精准的跨域策略控制。

     配置方法:修改 SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录下的 web.xml 文件中cors.allowed.origins的<param-value>值,填写允许跨域请求访问的白名单。

03、配置启用防护跨站脚本攻击

     安全问题场景:攻击者利用跨站脚本攻击 XSS在 Web 页面里插入恶意 Script 代码,当用户浏览该 Web 页面时,嵌入其中的 Script 代码会被执行,达到恶意攻击用户的目的。

     应对措施:修改SuperMap iServer 的初始化配置文件web.xm。

     配置方法:SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录下 web.xml 文件中,配置XssFilter的filter和对应的filter-mapping。

04、开启许可驱动管理器的安全防护

     安全问题场景:在安装SuperMap iServer许可驱动后,许可驱动管理页面默认任意用户都可以访问,存在安全风险。

     应对措施:对许可驱动管理页面设置密码。

     配置方法:

          (1) 访问 localhost:1947,点击左侧 Option 下的 Configuration,进入 Basic Settings 菜单栏。

          (2) 在 Password Protection 选择项选择 All ACC Page

          (3) 点击右侧的 Change Password 按钮设置密码。

          (4) 在弹出的登录窗中输入您设置的密码,用户名不填,点击“登录”。

          (5) 在 Basic Settings 菜单栏下再次点击 Submit,完成设置。

05、关闭 Remember Me 功能防止重放攻击

    安全问题场景:GIS 服务器启动后,默认开启了 Remember Me 功能,cookie 中会携带 Remember Me 参数,可能使会话未及时失效,导致重放攻击的安全问题。

    应对措施:关闭 Remember Me 功能。

    配置方法:SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录下 iserver-system.xml 文件,找到如下配置

 

    在<tokenKey>下一行增加<disableRememberMe>true</disableRememberMe>

06、开启异地登录检测

    安全问题场景:默认未开启异地登录检测,一个账户可以同时在多台主机上登录,存在账号泄露风险。

    应对措施:开启异地登录检测,配置异地登录处理策略。

    配置方法:SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录下 iserver-system.xml 文件,找到如下配置:

 

    将false修改为true,即开启异地登录告警。

07、修改用于生成令牌的共享密钥

    安全问题场景:SuperMap iServer支持按用户角色授权访问,并支持Token(令牌)机制供Web应用安全对接。 如果Token过于简单或易于破译,恶意用户可以复制 GIS 服务器的加密算法、获取授权用户的列表,并能够生成令牌,使用在 GIS 服务器中任何受保护的资源,存在安全风险。

    应对措施:Token共享密钥应不少于16个字符,在安全性要求极高的环境中,应定期更改密钥。

    配置方法:访问“安全”→“安全配置”页面,可以查看当前 Token 的共享密钥或者修改 Token 共享密钥。

08、安全传输令牌

    安全问题场景:防止拦截和错误使用令牌,导致其他安全问题。

    应对措施:通过 https/http 请求头传递 GIS 服务器令牌,不用 url 进行传递。

    配置方法:在 Headers 请求头中添加 token

09、配置防护 SQL 注入检测

    安全问题场景:SuperMap iServer 启动后默认未开启 SQL 注入检测,可能会遇到SQL 注入的安全问题,即入侵者通过提交某些特殊 SQL 语句,来获取、篡改、控制网站服务器端数据库中的内容。

    应对措施:开启 SQL 注入检测,并设置 SQL 查询过滤的威胁字符串。

    配置方法:SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录下 iserver-system.xml 文件,找到如下配置:

    配置、设置 SQL 查询过滤的字符串,支持任意字符串(数据操作语言(DML)、表达式、通配符、特殊字符等),以分号隔开。

    即表示当用户进行 data 或 map 的 SQL 查询时,如果在 SQL 查询表达式中出现了“delete 或 SMID=任意值”的字符串,系统会提示该条查询表达式非法并返回400参数异常,防止执行恶意的 SQL 命令,保护用户数据安全。

10、使用开启安全认证的数据

    安全问题场景:GIS 数据是GIS系统的核心价值,包括GIS工作空间、基础GIS数据库、地图瓦片等的保密性和安全性需要得到保障。

    应对措施:SuperMap支持对工作空间、生成缓存数据时进行加密,并支持对客户端浏览三维服务时生成的三维缓存进行加密。

    配置方法: 

   1、 保存工作空间时加密

   2、 生成缓存数据时加密

   3、 三维客户端缓存加密

11、限制上传文件的工作路径与类型

    安全问题场景:SuperMap iServer 上传文件远程浏览时,默认可以浏览其所在系统的所有目录,攻击者可能通过上传功能将有害文件上传至 web 权限范围内的任意目录。

    应对措施:严格限制用户可访问目录的权限,避免用户访问敏感信息目录。

        (1) 限制SuperMap iServer上传文件的工作路径;

        (2) 配置过滤上传 zip 文件的内部数据格式。

    配置方法:在SuperMap iServer 安装目录/webapps/iserver/WEB-INF 目录 iserver-system.xml 文件中,找到

      <deniedFiles/>

         <outputPath>./output</outputPath>

        (1) 添加配置,设置 iServer 所在机器的工作目录的绝对路径。例如:

        <fileManagerWorkDir>D:\ftp</fileManagerWorkDir><deniedFiles/>

         <outputPath>./output</outputPath> 

        配置<fileManagerWorkDir>D:\ftp</fileManagerWorkDir>

       (2) 修改配置<deniedFiles/>以禁止上传的文件类型。

查看原文请访问:https://mp.weixin.qq.com/s/SnJHkf1omQlB7RdDhGGYbg

1个回答

文章不错
杨兵  (1,195EXP)  名扬四海
1月28
...