1. Oracle WebLogic Server本番環境の保護
  2. はじめに

1 はじめに

WebLogic Server本番環境のロック・ダウンについて学習し、システムのセキュリティを確保するために実行する必要がある重要なタスクのリストを確認します。

内容は次のとおりです:

概要

本番環境のセキュリティを確保するには、システムをロックダウンし、WebLogic Serverのリソースおよびアプリケーションへの不正なアクセスを防ぐことが重要です。

ロックダウンとは、不要な侵入を防ぐようにシステムを構成することです。WebLogic Server本番環境の包括的なロックダウンには、ホスト・マシンおよびデータベースの保護、必要なWebLogic Serverコンポーネントのみのインストール、および認可されたユーザーのみへのアクセスの制限が含まれます。ロックダウンには、管理サーバーの通信にドメイン全体のセキュア・ポートを使用してドメインを保護すること、ネットワーク・チャネルおよびファイアウォールを使用したアクセスの制限によってネットワーク・リソースを保護すること、SSLを使用するようシステムを構成することなど、その他の構成も含まれます。

WebLogic Server環境を保護するために、このドキュメントに記載されているすべてのガイドラインに従うことを強くお薦めします。

ドキュメント更新履歴

この項では、2023年1月以降にこのマニュアル(『Oracle WebLogic Server本番環境の保護』バージョン12.2.1.4.0)に加えられた変更をまとめます。

表1-1を参照して、最新の変更点を認識していることを確認してください。

表1-1 更新履歴

日付 ドキュメント・リビジョン 更新の説明
2023年10月 F20867-09 (現在)
  • 表3-7: 2023年10月のPSUで追加されたSAMLシングル・ログアウト機能について言及するように、SAML2アプリケーションの行を更新しました。

WebLogicサーバーをロック・ダウンするための重要なタスク

システムのセキュリティを確保するために、これらの重要なタスクを完了してWebLogic Serverシステムをロックダウンすることを強くお薦めします。

ノート:

これらは、システムをロックダウンするために完了する必要がある唯一のタスクではないことに注意してください。これらは完了する必要があるタスクですが、「環境の理解と保護」で説明されている一般的なセキュリティ・ガイドラインおよび「WebLogic Serverのロック・ダウン」で説明されているその他のタスクと組み合せて実行することを強くお薦めします。

表1-2 WebLogic Serverをロック・ダウンするための重要なタスク

タスク 説明 詳細

WebLogic Serverをセキュアにインストールします。

セキュアなインストールの実行には、WebLogic Serverのインストール先のホスト・マシンを保護し、そのホストへのアクセスを認可されたユーザーのみに制限し、WebLogic Serverの実行に必要なコンポーネントのみをインストールするステップが含まれます。

最新のWebLogic Server、Javaおよびデータベースのクリティカル・パッチ・アップデートを四半期ごとに適用します。

システムが脆弱性から保護されるようにするには、最新のJava、データベースおよびWebLogic Serverのクリティカル・パッチ・アップデート(CPU)をリリース後すぐに適用することが重要です。

保護された本番モードを使用するようにドメインを構成します。

保護された本番モードでは、より制限的で厳しいセキュリティ設定が強制され、脅威に対する脆弱性が軽減されます。

管理トラフィックにドメイン全体の管理ポートを使用します。

管理ポートにより、WebLogic Serverドメインのサーバー・インスタンス間のすべての管理トラフィックが1つのポートに制限されます。管理ポートはセキュアなSSLトラフィックのみを受け付け、管理ポート経由の接続はすべて認証を必要とします。

保護された本番モードでは、管理ポートはデフォルトで有効になっています。

権限を設定し、WebLogic Serverの実行に使用するユーザー・アカウントのアクセスを、WebLogicリソースおよびディスクに格納されているドメイン・データのみに制限します。このアカウントが管理者アカウントでないことを確認してください。

WebLogicドメインおよびサーバーの構成ファイルには、WebLogic Serverを構成または実行するオペレーティング・システム・ユーザーしかアクセスできないようにする必要があります。他のオペレーティング・システム・ユーザー(システム管理者以外)には、WebLogic Serverの製品ファイルおよびドメイン・ファイルの読取り、書込み、実行のためのアクセス権を付与しないでください。

知識のあるオペレーティング・システム・ユーザーは、書込みアクセス権(場合によってはディスクおよび永続ストアに格納されているドメイン・データへの読取りアクセス権)が付与されている場合はWebLogic Serverセキュリティをバイパスできる場合があります。

ネットワーク・チャネルを使用して、受信アプリケーション・トラフィックを分離します。

ファイアウォールを使用して、HTTPSアプリケーション・トラフィックのみにアクセスを制限し、HTTPS以外のトラフィック(T3/T3s/LDAP/IIOP/IIOPs)へのアクセスをブロックします。

外部ファイアウォールの外部でHTTPS以外のトラフィック(T3/T3s/LDAP/IIOP/IIOPs)を公開しないことを強くお薦めします。このアクセスは、ネットワーク・チャネルとファイアウォールの組合せを使用して制御できます。

不要なアプリケーションを無効にし、ファイアウォールを使用して内部アプリケーション・コンテキスト・パスへのアクセスをブロックすることで、内部アプリケーションへのアクセスをブロックします。

アプリケーションの用途とドメインの構成によっては、特定のドメインでいくつかの内部アプリケーションを使用しない場合があります。攻撃面を減らすために、内部アプリケーションへの外部アクセスをブロックするようにファイアウォールを構成し、これらのアプリケーションへのアクセスを無効にすることを強くお薦めします。

本番環境ではSSL/TLSを使用し、デモ用のデジタル証明書を使用しないようにします。

管理ポート、ネットワーク・チャネル、データベース接続、LDAPサーバー接続、保護する必要がある通信を処理するその他のリソースについて、SSL/TLSを構成します。特に、ドメインのリモート・サーバー・インスタンスへの接続は必ずSSLで保護してください。

WebLogic Serverには、開発のみの目的で、デモ用の秘密キー、デジタル証明書、および信頼性のある認証局が用意されています。本番環境では、第三者認証局(CA)署名証明書を使用することを強くお薦めします。

受信シリアライズ・オブジェクトを制限します。

Javaのシリアライズは、シリアライズされたJavaオブジェクトを使用して、デシリアライズ中にサービス拒否(DoS)またはリモート・コード実行(RCE)攻撃を引き起こす悪意のあるコードのインジェクトに使用される可能性があります。WebLogic Serverは、JDK JEP 290メカニズムを使用して受信したシリアライズJavaオブジェクトをフィルタして、これらの悪意のある攻撃から保護します。

リモート匿名RMI T3およびIIOPリクエストを無効にします。

リモート匿名T3およびIIOP RMIリクエストを無効にする場合は、WebLogicサーバーで起動する前にクライアントが認証されている必要があります。認証されていないクライアントは拒否されます。

セキュリティ警告レポートを確認します。

セキュリティ警告レポートをチェックして、現在ドメインに影響している可能性のあるセキュリティの問題があるかどうか、およびその問題の解決方法を確認します。