常见安全问题加固方案汇总

1、操作系统层：
①关闭不必要的网络端口和服务（如默认关闭3306、8080等非必要端口），如：Smartbi 组件默认端口修改汇总 和 如何更改应用服务器默认端口
②启用操作系统防火墙规则，仅放行Smartbi服务必需的端口；
③设置高强度密码策略（如：密码长度≥12位，包含大小写字母、数字及特殊字符）
2、数据库层：
①禁用默认账号（如sa、root），重命名管理员账号；
3、中间件层（如Tomcat、Nginx）：
①禁用不安全的HTTP方法（如PUT、DELETE），Tomcat示例可参考列表第28项配置，也可找相关中间件厂商获取配置方案。
②配置HTTPS协议，禁用HTTP明文传输，参考示例：Tomcat配置HTTPS访问
③关闭目录浏览功能，防止敏感文件泄露。
4、smartbi应用：
① 每月检查Smartbi官方补丁库，及时更新安全版本；https://www.smartbi.com.cn/patchinfo
② 按本文档进行安全加固，降低安全风险

因smartbi的系统功能众多，建议做好内外网隔离，实施最小权限原则，为用户分配仅满足业务需求的访问权限，避免在密码泄露的情况下，被非法访问并进行接口非法调用，内外网隔离设置可参考wiki文档：内外网隔离最小化  

该扩展包支持V8-V11，jdk 要1.7及以上，所有发包版本的war包需要在2023年9月22号以后的才生效、V87在2023年11月9号以后

对于登录爆破，建议是部署登录验证码功能扩展包或者账号锁定解决，用户可配置相关扩展包解决。

V11版本：登录页添加验证码，账号锁定扩展包下载地址： https://my.Smartbi.com.cn/addons/leescore/goods/details.html?gid=142

V10版本：登录页添加验证码 ，账号锁定扩展包下载地址： https://my.Smartbi.com.cn/addons/leescore/goods/details.html?gid=142

V9版本：登录也添加验证码下载地址，密码验证扩展包VerificationCode ，如需账号锁定扩展包前联系官方支持进一步获取方案。

V6到V8版本：登录也添加验证码下载地址，PC端登录界面增加验证码 ，如需账号锁定扩展包前联系Smartbi官方支持进一步获取方案。

config.jsp/monitor/defender

登录爆破

通过smartbi.properties 文件新增配置项来限定ip访问，建议只对服务所在机器开放
配置方法：

1、进入到smartbi部署目录找到 smartbi.properties 文件，在文件中新增如下配置项目

设置config.jsp可以使用英文逗号分隔设置多个IP属性，例如 smartbi.allowedConfigIps=10.21.31.71,127.0.0.1

设置monitor.jsp可以使用英文逗号分隔设置多个IP属性，例如 smartbi.allowedMonitorIps=10.10.23.11,10.10.201.1-10.10.201.254,10.10.202.0/24

设置defender.jsp可以使用英文逗号分隔设置多个IP属性，例如 smartbi.allowedDefenderConfigIps=10.10.23.11,10.10.201.1-10.10.201.254,10.10.202.0/24

具体可参考wiki文档：安全补丁 中的【说明事项】章节

限制config/chooser.jsp文件访问路径

前提：产品的补丁工具包和安全补丁文件为最新版本（2020-10-14及之后的日期）。

在 系统运维>系统选项>高级设置 中，设置JSP_CHOOSER_ROOT_PATH设置项可限制config/chooser.jsp页面文件访问路径，值为限制用户可选的最大可选择根目录。

具体可参考wiki文档：

V9及以上版本：安全补丁 中的【说明事项】章节

V6到V8版本： https://history.wiki.smartbi.com.cn/pages/viewpage.action?pageId=51939741 中的【说明事项】章节

于2020-10-14已发布相关安全补丁，该问题可通过安装安全补丁后，配置限制config页面文件访问路径解决：

V9及以上版本：安全补丁 中的【说明事项】章节中的【限制config页面文件访问路径】

V6到V8版本： https://history.wiki.smartbi.com.cn/pages/viewpage.action?pageId=51939741 中的【说明事项】章节中的【限制config页面文件访问路径】

为了监控用的页面，超级管理员才有的权限。建议用户配置IP限制，限制非允许IP访问。具体设置如下：

通过smartbi.properties 文件新增配置项来限定ip访问，建议只对服务所在机器开放
配置方法：

进入到smartbi部署目录找到 smartbi.properties 文件，在文件中新增设置monitor.jsp限制IP访问，可以使用英文逗号分隔设置多个IP属性，

例如 smartbi.allowedMonitorIps=10.10.23.11,10.10.201.1-10.10.201.254,10.10.202.0/24

具体可参考wiki文档：安全补丁 中的【说明事项】章节

配置会话超时扩展包，产品默认实现不超时功能，若项目安全性要求高，建议配置会话超时，当用户对系统长时间未操作自动超时

V11版本：用户管理-会话管理

V11以下版本，具体可参考Wiki文档：smartbi会话超时机制

保障密码安全，为进一步提升安全也可以更换为国密算法：

V9及以上版本：https://my.smartbi.com.cn/addons/leescore/goods/details.html?gid=167

其他版本可联系官方技术支持进一步获取方案。

锁定账号扩展包LoginLock，不允许同一个账号在不同的地方登录使用，如果存在同时使用同一账号的情况，之前登录的账号在访问下一个请求的自动跳转到登录界面。

V11版本：用户管理-用户登录管理（双因素验证、登录锁定）

V11以下版本可联系官方支持进一步沟通获取方案。

V97 及以上版本的角色里有设置错误信息的操作权限 ，如V11的操作权限设置可查看： 操作权限列表

V95 及以下版本的报错信息权限控制使用扩展包SuccinctErrorMessage.ext，需联系官方支持获取。

 进入tomcat的配置目录下(%tomcatHome%\conf) 在 server.xml文件中的Host节点添加如下配置

<Valve className="org.apache.catalina.valves.ErrorReportValve" showReport="false" showServerInfo="false" />

安全检测-Tomcat默认页面泄露

HSTS开启

hsts开启的前提条件是开启了https，（准备好域名、https证书）
Nginx配置：
1、保证Nginx的配置已强制http转https
2、进入到nginx目录下的conf/nginx.conf文件中的server location 中加入以下配置

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

<filter> <filter-name>httpHeaderSecurity</filter-name> <filter-class>org.apache.catalina.filters.HttpHeaderSecurityFilter</filter-class> <async-supported>true</async-supported> <init-param> <param-name>hstsEnabled</param-name> <param-value>true</param-value> </init-param> <init-param> <param-name>hstsMaxAgeSeconds</param-name> <!--这里设置的是有效期，生产环境测试时建议不要设置太大，测试没问题后再逐步提高这个值。如：1分钟、5分钟、10分钟、30分钟、60分钟、3个钟、6个钟、12个钟、18个钟、24个钟、半年、一年--> <!--单位是秒--> <!--一年是 31536000 --> <param-value>60</param-value> </init-param> <init-param> <param-name>hstsIncludeSubDomains</param-name> <param-value>true</param-value> </init-param> </filter> <filter-mapping> <filter-name>httpHeaderSecurity</filter-name> <url-pattern>/*</url-pattern> <dispatcher>REQUEST</dispatcher> </filter-mapping>

需要到 系统运维/系统选项/高级设置 中新增如下配置

# 是否开启防止IP伪造，如果有前置代理的情况下不能开启。
HAS_ENABLED_IP_PORGERY=true

跨站脚本攻击、csrf跨站请求伪造

通过加载安全扩展包来配置相关配置项防止  
单机配置方式：
1、下载 安全加固扩展包webSecurityExt
2、找到安全扩展包中的 /META-INF/webSecurity.properties 文件，修改文件中的默认值。
将strictLimit的默认false修改为true
safeReferer默认为空（即 safeReferer= 表示当前机器放行）。如果有其它应用需要集成Smartbi的需要将其修改为对应机器的请求域名或ip。注意：这里只配置Host，可以是域名或ip，不用配置到具体地址的，如：http://10.11.27.46:8095/smartbi 只需要配置 http://10.11.27.46:8095 即可。

或者配置nginx:

valid_referers none blocked 172.16.20.216 localhost; if ($invalid_referer) { return 403; }

存在缓慢的HTTP拒绝服务攻击

通过配置中间件或nginx的连接超时时间
第一种方式：

tomcat配置方式：
进入到Tomcat目录下的conf/server.xml文件中修改如下配置
将 connectionTimeout 值修改为 8000

connectionTimeout="8000"

第二种方式：

nginx配置方式：
1、进入到nginx目录下的conf/nginx.conf文件中的http新增如下相关配置

http {
#指定每一个 TCP 链接最多能够保持多长时间
keepalive_timeout 60;
server {
#服务端向客户端传输数据的超时时间
send_timeout 60s;
#请求头分配一个缓冲区
client_body_buffer_size 16k;
#指定客户端与服务端建立连接后发送 request body 的超时时间
client_body_timeout 50s;
#客户端向服务端发送一个完整的 request header 的超时时间
client_header_timeout 10s;
location / {

         }
     }
}

启用了没必要的 http 请求类型

通过配置中间件或代理来禁用相关http方法。
tomcat配置方式：
1、进入tomcat的配置目录下(%tomcatHome%\conf)修改web.xml文件中的 web-app 节点下 添加以下配置。

<security-constraint>
<web-resource-collection>
<web-resource-name>filter-http-method</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>PUT</http-method>
<http-method>DELETE</http-method>
<http-method>OPTIONS</http-method>
<http-method>HEAD</http-method>
</web-resource-collection>
<auth-constraint></auth-constraint>
</security-constraint>
<login-config>
<auth-method>BASIC</auth-method>
</login-config>

这里禁用了PUT、DELETE、OPTIONS、HEAD，如果还需要禁用其它的则新增一行 <http-method>其它</http-method> 即可

nginx配置方式：
1、进入到nginx目录下的conf/nginx.conf文件中的server 或 location 中加入以下配置。

if ($request_method ~ ^(PUT|DELETE|OPTIONS|HEAD)$) { return 403; }