Netzwerk, Datenbank und SSL/TLS :headding-anchor:network-database
Netzwerkkonfiguration
Bei der Bereitstellung einer On-Premise-Architektur muss unbedingt die Netzwerkkonfiguration überprüft werden. Stellen Sie sicher, dass der Tomcat-Server NICHT direkt außerhalb des Servers zugänglich ist:
- Schließen Sie den Tomcat-Port (8080) auf externen IP-Adressen (muss auf localhost ausgeführt werden).
- Ordnen Sie den Standard-HTTP-Port (80) nicht dem Tomcat-Port (8080) zu.
Verwenden Sie möglichst eine sichere Verbindung: POP3S statt POP3 (oder POP3 über TLS).
Datenbank
Sie müssen die Best Practices für die Sicherheit Ihrer Datenbank-Engine anwenden.
SSL-/TLS-Konfiguration
Das Zertifikat können Sie mit openssl überprüfen. Die aktive Cipher Suite können Sie mit nmap überprüfen:
#!/bin/sh
#
# usage: testSSL.sh remote.host.name [port]
#
REMHOST=$1
REMPORT=${2:-443}
echo |\
openssl s_client -connect ${REMHOST}:${REMPORT} -servername ${REMHOST} 2>&1 |\
sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' |\
openssl x509 -noout -subject -dates
nmap --script ssl-enum-ciphers -p ${REMPORT} ${REMHOST}
Sie können auch ein Phython-Script sslyze verwenden, das beide Aufgaben übernimmt.
python sslyze.py --sslv2 --sslv3 --tlsv1 --reneg --resum --certinfo=basic --hide_rejected_ciphers --sni=SNI myserver.com
recommendation-more-help
601d79c3-e613-4db3-889a-ae959cd9e3e1