WebLogic Serverセキュリティの概要

Endeca ServerアプリケーションはWebLogic ServerのJ2EEコンテナで実行されるため、WebLogic Serverのいくつかのセキュリティ機能に注意する必要があります。

WebLogic ServerでのSSLの構成

本番環境ではSSLを使用することをお薦めします。WebLogic Serverは、専用のリスニング・ポート(デフォルトは7002)でSSLをサポートします。

generate_ssl_keysユーティリティでは、SSL証明書を作成するだけでなく、WebLogic Serverで7002のSSLリスニング・ポートを有効にし、Endeca Serverが起動されるポートとして7002を設定します。したがって、WebLogic ServerでSSLを構成するために必要なことは、(「キー生成ユーティリティ」に記載されている)このスクリプトを実行することのみです。

generate_ssl_keysユーティリティでは、証明書なしで管理コンソールにログインできるように、非SSL (HTTP) 7001ポートが有効なままであることに注意してください。

ファイアウォールと接続フィルタ

ファイアウォールを使用してネットワークを保護する必要があります。ファイアウォール内の宛先への外部からのアクセスを提供する必要がある場合は、セキュアなVPN (仮想プライベート・ネットワーク)を設定します。ファイアウォールは、2つのネットワーク間のトラフィックを制限します。ファイアウォールでは、ソフトウェアとルーターや専用ゲートウェイ・マシンなどのハードウェアを組み合せることができます。

また、WebLogicではドメインの接続フィルタもサポートしています。接続フィルタを使用すると、ネットワーク・レベルでアクセスを拒否できます。接続フィルタは、個々のサーバー、サーバー・クラスタまたは内部ネットワーク全体(イントラネット)のサーバー・リソースを保護できます。たとえば、社内ネットワークの外部からの非SSL接続を拒否できます。ネットワーク接続フィルタは、プロトコル、IPアドレスおよびDNSノード名に基づいてフィルタリングするように構成できる点において、一種のファイアウォールです。接続フィルタの詳細は、Oracle WebLogic Serverセキュリティのプログラミングドキュメントのネットワーク接続フィルタの使い方に関する章(http://docs.oracle.com/cd/E23943_01/web.1111/e13711/con_filtr.htm#SCPRG377)を参照してください。

WebLogic Serverホストの保護

WebLogic Server本番環境でEndeca Serverアプリケーションを実行する際には、物理マシン、オペレーティング・システム、およびホスト・マシンにインストールされているその他のすべてのソフトウェアを保護することが重要です。また、推奨されているセキュリティ対策について、マシンおよびオペレーティング・システムのメーカーに確認してください。

本番環境でWebLogic Serverホストを保護するための次の推奨事項は、本番環境の保護(次のトピックにリストされたURLから参照可能)というタイトルのWebLogicドキュメントをまとめたものです。

セキュリティ・アクション 説明
ハードウェアを物理的に保護する。 権限のないオペレーティング・システムのユーザーが、デプロイメント・マシンまたはそのネットワーク接続を改ざんできないように、ハードウェアを安全な場所に置きます。
非セキュア・サイトに移動する前に、管理コンソールからログアウトする。 WebLogic Server管理コンソールにログオンしている場合は、不明なまたは非セキュアなWebサイトを参照する前に、完全にログアウトする必要があります。
オペレーティング・システムが提供するネットワーク・サービスを保護する。 悪意のある攻撃者がオペレーティング・システムまたはシステムレベルのコマンドにアクセスできないように、電子メール・プログラムまたはディレクトリ・サービスなどのネットワーク・サービスについて専門家に確認してもらいます。この実行方法は、使用するオペレーティング・システムによって異なります。

エンタープライズ・ネットワークでファイル・システムを他のマシンと共有すると、ファイル・システムに対する遠隔攻撃のリスクが課されます。WebLogic Serverをホストするマシンのファイル・システムを共有する前に、リモート・マシンとネットワークがセキュアであるかどうかを確認してください。

不正アクセスを防ぐことのできるファイル・システムを使用する。 各WebLogic Serverホスト上のファイル・システムで、保護されているリソースへの不正なアクセスができないようになっていることを確認します。たとえば、Windowsコンピュータでは、NTFSのみを使用します。
ディスクに保存されたデータにファイル・アクセス権限を設定する。 ディスクに保存されたデータへのアクセスを制限するために、オペレーティング・システムのファイル・アクセス権限を設定します。このデータには次の場所が含まれます(ただし、これに限定されるわけではありません)。
  • SSL証明書を格納する$DOMAIN_HOME/config/sslディレクトリ。
  • Endecaデータ・ドメイン索引を格納する$DOMAIN_HOME/EndecaServer/dataディレクトリ。
  • Endecaデータ・ドメイン・ログが書き込まれる$DOMAIN_HOME/EndecaServer/logsディレクトリ。

たとえば、Linuxでは、ファイル・アクセス権限の設定のためにumaskやchmodなどのユーティリティが用意されています。少なくとも、GroupとOthersに対する読取りおよび書込み権限を拒否するumask 066の使用を検討します。

ホスト・マシンのユーザー・アカウント数を制限する。 WebLogic Serverホスト・マシンで必要な数を超えるユーザー・アカウントを作成するのは避け、各アカウントに付与されるファイル・アクセス権限を制限します。複数のシステム管理者ユーザーを許可するオペレーティング・システムでは、システム管理者権限を持つ2つのユーザー・アカウントと、WebLogic Serverを実行するのに十分な権限を持つ1つのユーザーがホスト・マシンに必要です。システム管理者ユーザーが2つあれば、バックアップが常に提供されます。WebLogic Serverのユーザーはシステム管理者ユーザーではなく、制限付きユーザーである必要があります。いずれかのシステム管理者ユーザーが、必要に応じて新しいWebLogic Serverユーザーをいつでも作成できます。

WebLogicドメインおよびサーバーの構成ファイルには、WebLogic Serverを構成または実行するオペレーティング・システム・ユーザーのみがアクセスできるようにする必要があります。

アクティブなユーザー・アカウントを定期的に再検討し、退職者があった場合にも見直します。

システム管理者のユーザー・アカウントには、わかりにくい名前を選択する。 セキュリティを強化するには、システム管理者のユーザー・アカウントにsystem、adminまたはadministratorなどのわかりやすい名前を選択しないようにします。
パスワードを保護する。 本番マシンのユーザー・アカウントのパスワードは、推測が難しいものに設定し、注意して保護する必要があります。パスワードの有効期限が定期的に切れるように、ポリシーを設定します。

ユーザー名weblogicとパスワードwelcome1でアクセスできるドメインをデプロイしないでください。これらの資格証明は、WebLogic Serverサンプル・アプリケーションを含むドメイン用にデフォルトで提供されています(本番環境で使用するマシン上には、サンプル・アプリケーションをインストールしないでください)。

本番マシンで開発しないようにする。 まず開発マシンで開発し、開発が終わりテストが終了したら、コードを本番マシンに移行します。このプロセスにより、開発環境でのバグが本番環境のセキュリティに影響を及ぼすことを防止できます。
開発ソフトウェアまたはサンプル・ソフトウェアを本番マシンにインストールしないようにする。 本番マシンに開発ツールをインストールしないようにします。開発ツールを本番マシンにインストールしないことにより、侵入者がWebLogic Server本番マシンに部分的にアクセスできたとしても、影響を減らすことができます。本番マシンにWebLogic Serverのサンプル・アプリケーションをインストールしないでください。
本番環境ではWebLogic Serverを開発モードで実行しないようにする。 本番モードでは、本番環境にとってよりセキュアで適切な設定を使用してサーバーが実行されるように設定されます。
セキュリティ監査を有効にする。 LinuxとWindowsの両方がファイルおよびディレクトリ・アクセスのセキュリティ監査をサポートする場合は、監査ログを使用して、拒否されたディレクトリまたはファイル・アクセス違反をトラッキングすることをお薦めします。管理者は、監査ログ用に十分なディスク領域を確保する必要があります。
オペレーティング・システムを保護する追加ソフトウェアの使用を検討する。 ほとんどのオペレーティング・システムでは、本番環境を保護するために、追加ソフトウェアを実行できます。たとえば、侵入検知システム(IDS)を使用すると、本番環境を変更しようとしたときに検出できます。使用可能なソフトウェアの情報については、オペレーティング・システムのベンダーに問い合せてください。
オペレーティング・システムのパッチ・セットおよびセキュリティ・パッチを適用する。 推奨されているパッチ・セットおよびセキュリティ関連のパッチのリストについては、オペレーティング・システムのベンダーに問い合せてください。
最新のメンテナンス・パック、マイナー・リリースおよび重要なパッチ更新をインストールする。 サイトのセキュリティ関連の問題の担当者は、WebLogic ServerのインストールをMy Oracle Supportに登録してください。http://www.oracle.com/us/supportでMy Oracle Supportアカウントを作成できます。

http://www.oracle.com/technology/deploy/security/alerts.htmの重要なパッチ更新およびセキュリティ・アラートに関する説明も参照してください。

JNDIルート・コンテキストを保護する。 WebLogic Server管理コンソールが外部から参照できる場合、EveryoneグループがJNDIルート・コンテキストのリソースにアクセスできてはいけません。デフォルトでは、JNDIリソースにはEveryoneのデフォルト・セキュリティ・ポリシーがあります。

WebLogic Serverセキュリティ・ガイド

WebLogicセキュリティはデプロイメントの全体的なセキュリティ計画の重要な側面であるため、次のWebLogic固有のセキュリティ・ガイドを参照してください。