配置 Confluence 6 安全的最佳实践

让一个系统可以变得更加坚固的最好办法是将系统独立出来。请参考你公司的安全管理策略和相关人员来找到你公司应该采用何种安全策略。这里有不少事情须要咱们考虑，例如考虑如何安装咱们的操做系统，应用服务器，数据库服务器，网络，防火墙，路由等。

这里咱们有可能对这些配置进行一些基本的描述。

这个页面中的安全配置是基于咱们已知状况下的最好配置了。

配置 Web 服务器

请参考有关系统管理员中的下面有关的信息：

• 配置 Apache 服务器来限制相关页面只有须要管理员权限的用户才能进行访问：Using Apache to limit access to the Confluence administration interface。Confluence Security.
• 如何下降风险和暴利攻击：Using Fail2Ban to limit login attemptsHow to reduce the risk of brute force attacks: Best Practices for Configuring Confluence Security.

配置应用服务器

请参考下面有关应用服务器级别的系统管理员指南：

• Tomcat security best practices

配置应用

有关如何你在 Confluence 设置角色，权限和过程的方法将会对 Confluence 产生很大的影响，不一样的设置致使的安全结果也是不一样的。

下面是有关一些 Confluence 特定的内容须要考虑的。没有任何安全设置都可以保证 100% 的安全的。这些安全策略被用来下降安全攻击对你系统产生的影响而让你系统可以更好的持续运行。

• 保持 Confluence 中只有少数用户具备管理员权限。基本上来讲越少越好。例如，最多不要超过 3 个系统管理员。
• 一样的，限制具备较高权限的和用户组中的用户数量。若是只有一个部分应该访问敏感数据的话，那么限制这个敏感部门的用户数量。不要为了方便而不为这些用户设置特定的安全策略。不要给不须要访问敏感数据的用户的访问权限。
• 管理用户应该针对他们的管理员级别不一样设置有不一样的 Confluence 帐号，这个帐号应该与这些用户天天都使用的帐号区分开来。若是John Doe 是一个系统管理员的话，他应该有一根常规的用户帐号，这个帐号不该该具备管理员权限来让他进行天天的工做（例如在 WIKI 写页面等）。这个帐号可能被设置为 'john.doe' account。同时，这个用户应该还有一个彻底不一样的帐号（这个帐号应该不容易被外界随便猜想出来，甚至都不该该使用他规则的名字）来进行管理员相关的操做。这个帐号可能为'jane smith' – 使用这个名字为一个假的名字，外界甚至没有办法猜想这个名字。这种设置的好处是，若是攻击者得到了 John Doe 的全部信息，包括 John Doe 的密码（多是从 John Doe 的我的帐号中偷出来的），可是攻击者没有办法肯定管理员用户的用户名，所以攻击者也仍是不能登陆管理员系统进系统相关的操做。
• 限制管理员操做只有你才能够作。若是你不须要你的管理员在公司外部的网络进行进行任何管理操做的话，你能够限制管理员操做的界面只要特定的 IP 地址才能访问管理员界面中的的配置信息。请参考页面 Using Apache to limit access to the Confluence administration interface 中的内容进行配置。
• 当员工进行离职的时候，你须要建立公司员工的离职策略，并造成文字。
• 按时进行安全审查。了解当系统被攻击的时候，谁能够帮助你解决问题。进行 ‘若是这样了’ 咱们应该进行如何操做的议题。（当用户在外出度假的时候密码被偷窃了，咱们最糟糕的状况将会面临什么？咱们将如何减小损失？）。
• 请肯定你的 Confluence 数据库用户（和全部数据源的用户）具备只他们须要的权限，不要大范围赋权。
• 监控你的文件系统中的文件。若是一个攻击者但愿得到你系统中的用户信息，他们一般会尝试得到多个帐号的访问权限。有时候这个经过添加恶意代码来实现的，好比经过修改你文件系统中的文件。对你操做系统上的文件，能够考虑运行常规的校验来肯定没有恶意代码被添加到你文静系统中。

其余须要当心考虑的地方：

• 按时对上面描述的内容进行监控。不少事情在开始的时候可能没有问题，可是随着时间的进展，可能会致使问题恶化：
  • 一个系统在开始的时候确实只有 3 个系统管理员，可是随着时间的推移和变化同时也没有人对系统管理员数量进行控制的话，一年后可能系统中有 30 个管理员了。
  • Apache 的管理员的限制可能在系统开始的时候是正确安装限制的，可是随着系统进行了屡次升级后，咱们可能忘了更新 Apache 的安全访问策略了。

再次说明的是，上面的全部安全配置可能不是全部你须要设置的安全信息和功能，安全设置与你系统安全的需求仍是有很大关系的。同时，请注意没有人可以在安全上可以进行彻底的保证。咱们只能让攻击变得更加困难，咱们好有足够的时间修复咱们发现的问题。

https://www.cwiki.us/display/CONF6ZH/Best+Practices+for+Configuring+Confluence+Security