配置 Confluence 6 安全的最佳實踐

讓一個系統可以變得更加堅固的最好辦法是將系統獨立出來。請參考你公司的安全管理策略和相關人員來找到你公司應該採用何種安全策略。這裏有不少事情須要咱們考慮，例如考慮如何安裝咱們的操做系統，應用服務器，數據庫服務器，網絡，防火牆，路由等。

這裏咱們有可能對這些配置進行一些基本的描述。

這個頁面中的安全配置是基於咱們已知狀況下的最好配置了。

配置 Web 服務器

請參考有關係統管理員中的下面有關的信息：

• 配置 Apache 服務器來限制相關頁面只有須要管理員權限的用戶才能進行訪問：Using Apache to limit access to the Confluence administration interface。Confluence Security.
• 如何下降風險和暴利攻擊：Using Fail2Ban to limit login attemptsHow to reduce the risk of brute force attacks: Best Practices for Configuring Confluence Security.

配置應用服務器

請參考下面有關應用服務器級別的系統管理員指南：

• Tomcat security best practices

配置應用

有關如何你在 Confluence 設置角色，權限和過程的方法將會對 Confluence 產生很大的影響，不一樣的設置致使的安全結果也是不一樣的。

下面是有關一些 Confluence 特定的內容須要考慮的。沒有任何安全設置都可以保證 100% 的安全的。這些安全策略被用來下降安全攻擊對你係統產生的影響而讓你係統可以更好的持續運行。

• 保持 Confluence 中只有少數用戶具備管理員權限。基本上來講越少越好。例如，最多不要超過 3 個系統管理員。
• 一樣的，限制具備較高權限的和用戶組中的用戶數量。若是隻有一個部分應該訪問敏感數據的話，那麼限制這個敏感部門的用戶數量。不要爲了方便而不爲這些用戶設置特定的安全策略。不要給不須要訪問敏感數據的用戶的訪問權限。
• 管理用戶應該針對他們的管理員級別不一樣設置有不一樣的 Confluence 帳號，這個帳號應該與這些用戶天天都使用的帳號區分開來。若是John Doe 是一個系統管理員的話，他應該有一根常規的用戶帳號，這個帳號不該該具備管理員權限來讓他進行天天的工做（例如在 WIKI 寫頁面等）。這個帳號可能被設置爲 'john.doe' account。同時，這個用戶應該還有一個徹底不一樣的帳號（這個帳號應該不容易被外界隨便猜想出來，甚至都不該該使用他規則的名字）來進行管理員相關的操做。這個帳號可能爲'jane smith' – 使用這個名字爲一個假的名字，外界甚至沒有辦法猜想這個名字。這種設置的好處是，若是攻擊者得到了 John Doe 的全部信息，包括 John Doe 的密碼（多是從 John Doe 的我的帳號中偷出來的），可是攻擊者沒有辦法肯定管理員用戶的用戶名，所以攻擊者也仍是不能登陸管理員系統進系統相關的操做。
• 限制管理員操做只有你才能夠作。若是你不須要你的管理員在公司外部的網絡進行進行任何管理操做的話，你能夠限制管理員操做的界面只要特定的 IP 地址才能訪問管理員界面中的的配置信息。請參考頁面 Using Apache to limit access to the Confluence administration interface 中的內容進行配置。
• 當員工進行離職的時候，你須要建立公司員工的離職策略，並造成文字。
• 按時進行安全審查。瞭解當系統被攻擊的時候，誰能夠幫助你解決問題。進行 ‘若是這樣了’ 咱們應該進行如何操做的議題。（當用戶在外出度假的時候密碼被偷竊了，咱們最糟糕的狀況將會面臨什麼？咱們將如何減小損失？）。
• 請肯定你的 Confluence 數據庫用戶（和全部數據源的用戶）具備只他們須要的權限，不要大範圍賦權。
• 監控你的文件系統中的文件。若是一個攻擊者但願得到你係統中的用戶信息，他們一般會嘗試得到多個帳號的訪問權限。有時候這個經過添加惡意代碼來實現的，好比經過修改你文件系統中的文件。對你操做系統上的文件，能夠考慮運行常規的校驗來肯定沒有惡意代碼被添加到你文靜系統中。

其餘須要當心考慮的地方：

• 按時對上面描述的內容進行監控。不少事情在開始的時候可能沒有問題，可是隨着時間的進展，可能會致使問題惡化：
  • 一個系統在開始的時候確實只有 3 個系統管理員，可是隨着時間的推移和變化同時也沒有人對系統管理員數量進行控制的話，一年後可能系統中有 30 個管理員了。
  • Apache 的管理員的限制可能在系統開始的時候是正確安裝限制的，可是隨着系統進行了屢次升級後，咱們可能忘了更新 Apache 的安全訪問策略了。

再次說明的是，上面的全部安全配置可能不是全部你須要設置的安全信息和功能，安全設置與你係統安全的需求仍是有很大關係的。同時，請注意沒有人可以在安全上可以進行徹底的保證。咱們只能讓攻擊變得更加困難，咱們好有足夠的時間修復咱們發現的問題。

https://www.cwiki.us/display/CONF6ZH/Best+Practices+for+Configuring+Confluence+Security