系统层面的防护要点
核心系统参数与资源限制
系统级别的参数优化是抵御网络攻击的第一道防线。通过合理配置内核参数与资源限制，可以有效降低服务被耗尽的风险，并提升整体稳定性。优先级要放在文件描述符、内存控制和网络缓冲区上，以确保在高并发场景下不会因资源耗尽而崩溃。
限制打开文件数与进程数有助于防止资源耗尽攻击。为 Tomcat 指定专用用户并设置合适的 soft/hard 限制，可以降低单个进程对系统的冲击。设置合理的 nofile、nproc 上限，并结合系统审计监控实现可观测性。
推荐的内核参数示例包括启用 TCP SYN cookies、禁用不必要的 ICMP 错误响应、关闭不必要的调试接口等。使用统一的 sysctl 配置以便可重复部署，便于运维和回滚。
# /etc/sysctl.d/99-tomcat.conf
net.core.somaxconn = 1024
net.ipv4.tcp_syncookies = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.tcp_timestamps = 0
net.ipv4.conf.all.forwarding = 0
kernel.sysrq = 0
网络与主机安全基线
端口暴露最小化是防守的核心策略。仅暴露必要端口，其他端口通过防火墙进行阻断，降低攻击面。默认禁用不必要服务，并对外提供的接口进行最小化授权。
主机防火墙与入侵防护应覆盖边界和主机侧。结合 iptables/nftables 规则、日志与告警策略，可以在攻击初期就进行阻断与定位。
示例防火墙规则需要可重复性，应配合持续集成/部署流程，以避免手动错误导致的新漏洞暴露。
# 简化的 nftables 示例
flush ruleset
table inet filter {chain input {type filter hook input priority 0; policy dropiif "lo" acceptct state established,related accepttcp dport { 22, 80, 443 } acceptip saddr 192.168.0.0/16 accept}
}
日志与审计的基础配置
集中化日志采集是后续检测与取证的关键。应确保系统日志、认证日志与应用日志的完整性和可检索性。实时轮转与长期归档机制可避免单点故障丢失历史数据。
对异常行为的基线监控应包含CPU、内存、IO 等指标的阈值与告警策略，确保在异常波动时能够快速通知运维。
# rsyslog 基础配置片段
*.info;mail.none;authpriv.none /var/log/messages
authpriv.* /var/log/secure
*服务配置与安全加强
Tomcat用户与权限管理
使用专用运行用户运行 Tomcat，避免以 root 身份暴露风险。精细化的权限控制有助于减少目录和文件的误修改风险。
对部署目录进行最小权限设置：目录仅可读写必要的文件，禁止执行未授权脚本。统一的权限策略可溯源，便于审计。
示例用户与权限说明应在运维文档中明确列出，并有变更控制流程。
# 创建专用 tomcat 用户与组
sudo groupadd tomcat
sudo useradd -s /bin/false -g tomcat -d /opt/tomcat tomcat
sudo chown -R tomcat:tomcat /opt/tomcat
sudo chmod -R 750 /opt/tomcat
目录与应用部署安全
只部署必要的应用与插件，移除示例应用和默认管理页面，以降低未授权访问风险。禁用或删除不再使用的管理应用（如 manager、host-manager 的默认页面），并在需要时通过强认证进行访问。
部署文件的完整性校验应纳入 CI/CD，确保部署包未被篡改。签名与校验机制是核心，能快速发现恶意修改。
# Tomcat 的权限与目录示例
/opt/tomcat
├── conf
├── logs
├── temp
└── webapps
# 仅 conf、logs、temp、webapps 目录给予 Tomcat 用户访问权限
应用层防护—Tomcat自带的安全特性
启用 SecurityManager 与策略
开启 Java SecurityManager是对应用层的强约束，可以限制应用代码的行为。结合策略文件进行粒度控制，避免恶意代码越权。
设置示例在 setenv.sh 中添加 JAVA_OPTS，并将策略文件放置在 conf 目录下。务必先在测试环境验证策略可用性再放入生产。
# setenv.sh 示例
export JAVA_OPTS="$JAVA_OPTS \-Djava.security.manager \-Djava.security.policy==/opt/tomcat/conf/tomcat.policy"
# conf/tomcat.policy 示例
grant {// 仅允许有限的文件访问与网络访问permission java.io.FilePermission "/var/tomcat", "read";permission java.net.SocketPermission "localhost:1024-", "connect,resolve";
};
禁用/保护管理应用
管理端点的暴露需要严格控制，推荐关闭不必要的管理接口，或通过多层认证加以保护。对 manager 与 host-manager 应用进行重命名、禁用或放置在受控路径下，以降低被发现的概率。
访问控制策略应与应用级别角色绑定，确保只有授权用户能执行敏感操作。
# 关闭默认管理应用示例（在 conf/server.xml 中禁用 Host Manager 与 Manager）
<Context path="/manager" ... />
<Context path="/host-manager" ... />
网络边界防护与加密传输
TLS 配置与建议
强制使用最新的 TLS 协议版本，并禁用旧版本与弱密码套件。配置最小与安全的加密套件集合，以提升传输安全性。
证书管理与轮换机制应有明确计划，定期更新证书并监控到期提醒。开启 HTTP/2 与 TLS 会话复用优化，提升性能同时保持安全。
# server.xml 中的 TLS 配置片段
<Connector port="8443" protocol="org.apache.coyote.http11.Http11NioProtocol"maxThreads="200" SSLEnabled="true" scheme="https" secure="true"SSLCertificateFile="/etc/ssl/certs/tomcat.crt"SSLCertificateKeyFile="/etc/ssl/private/tomcat.key"sslProtocol="TLSv1.2+TLSv1.3"ciphers="TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256"connectionTimeout="20000" />
反向代理与 WAF 的使用
在前端部署 Nginx/Apache 做 TLS 终止，可以将复杂的 TLS/证书管理从 Tomcat 转移到反向代理，降低 Tomcat 的负载与面向外部的暴露面。结合 Web 应用防火墙（WAF）实现应用层防护，对常见攻击模式进行拦截。
代理层应实现强鉴权与访问控制，并记录完整的请求日志以便事后审计。
# Nginx 代理示例（TLS 终止 + 转发到 Tomcat）
server {listen 443 ssl;server_name example.com;ssl_certificate /etc/ssl/certs/tomcat.crt;ssl_certificate_key /etc/ssl/private/tomcat.key;ssl_protocols TLSv1.2 TLSv1.3;ssl_ciphers HIGH:!aNULL:!MD5;location / {proxy_pass http://localhost:8080/;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;}
}
日志、审计与持续监控
日志格式与轮转
统一日志格式有助于集中分析，包括访问日志、错误日志与应用日志。定期轮转与长期归档确保历史数据可用且不会耗尽磁盘空间。
与 SIEM 的对接可以实现事件关联分析、告警与取证。日志字段要保持一致性，便于跨系统检索。
# logrotate 配置简例
/var/log/tomcat/*.log {dailyrotate 14compressmissingoknotifemptycreate 0640 tomcat adm
}
入侵检测与告警
对异常访问、重复失败登录、快速探测等行为建立告警，以便运维人员在第一时间做出响应。结合系统与应用日志的关联分析，提高检测准确性。
性能指标的持续监控应覆盖连接数、线程池状态、GC 频率等。建立基线与异常阈值，可自动触发告警与扩容策略。
# 使用 Prometheus + Node Exporter 监控 Tomcat 指标（示例）
# 通过 Jolokia 等接口收集 Java 应用指标
应对常见攻击场景的具体做法
防御注入与越权
输入校验与参数化查询是防止注入的第一道屏障。对于 Web 应用层，避免直接拼接 SQL、XPath、命令等。
最小权限原则应贯穿应用层与数据库层，仅授予必要的权限与操作范围，并对敏感操作进行双重认证。
# 数据访问层的参数化示例（伪代码）
PreparedStatement pstmt = conn.prepareStatement("SELECT * FROM users WHERE id = ?");
pstmt.setInt(1, userId);
防御拒绝服务与连接耗尽
连接与线程池的合理配置有助于抵御并发耗尽攻击。设置 Keep-Alive、连接超时等参数，以及对异常请求的速率限制。
速率限制与漂移控制在入口处应用，对同源 IP、同路径的请求进行限流，必要时断开恶意源。
# Tomcat Connector 超时与 Keep-Alive 配置片段
<Connector port="8080" maxThreads="200" minSpareThreads="20"maxKeepAliveRequests="100" keepAliveTimeout="15000" />
