Asegurando Jboss

Jboss es un servidor de aplicaciones Java EE de código abierto implementado en Java puro. Al estar basado en Java, JBoss puede ser utilizado en cualquier sistema operativo para el que esté disponible la máquina virtual de Java. JBoss Inc., empresa fundada por Marc Fleury y que desarrolló inicialmente JBoss, fue adquirida por Red Hat en abril del 2006.

Para asegurar este servidor de aplicaciones adicionalmente a tener que basarse en las sugerencias dadas en http://community.jboss.org/wiki/SecureTheJmxConsole, tambien se sugiere hacer lo siguiente:

Quitar los privilegios de 'root' a los procesos de JBoss AS.

* Cambiar la configuración de seguridad por defecto de la consola JMX para bloquear todas las peticiones a través de los métodos GET y POST que no estén debidamente autenticadas. Para ello se debe editar el archivo 'deploy/jmx-console.war/WEB-INF/web.xml' y eliminar las líneas indicadas de metodo GET y POST quedando el bloque de esta manera:

* Habilitar 'RewriteValve' para bloquear peticiones externas que intenten acceder a URLs de administración como, por ejemplo, jmx-console, editando el archivo 'deploy/jbossweb.sar/server.xml' de la siguiente forma:

Además es conveniente crear el directorio 'conf/jboss.web', y en su interior el fichero 'rewrite.properties' con el siguiente contenido:

Esto bloqueará todas las peticiones que no provengan de la propia máquina (127.0.0.1) o de la red LAN con RewriteCond %{REMOTE_ADDR} !^192\.168\.[0-9]*\.[0-9]*$ por ejemplo si fuera 192.168.x.x

Nótese en la línea del ejemplo que la IP de la red es del tipo 192.168.x.x, esto debe modificarse según la configuración concreta de la red de cada caso.

Comentarios

Entradas populares de este blog

PHP On Tomcat

Fue tomado de http://fabien.duminy.ifrance.com/blog/archives/2007/08/entry_14.html tomcat and php Here are the steps to run php in tomcat : Download tomcat and unzip the archive where you want (=> TOMCAT_DIR ) Create the following directories : TOMCAT_DIR /webapps/testPHP If necessary, create directory TOMCAT_DIR /common/lib (it seems, at least with tomcat 6, that the directory is no more created) Edit the file TOMCAT_DIR /conf/catalina.properties and modify the line for property shared.loader : shared.loader=${catalina.home}/common/classes,${catalina.home}/common/lib/*.jar Edit the file TOMCAT_DIR /conf/web.xml and add the lines mentionned below (see ' lines to add to web.xml of your tomcat installation ') To download quercus ( a php 5 engine written in pure java), you must in fact download resin becau...

Phishing Una técnica de timo que perdura - Parte I

Desde hace más de una década se viene presentado esta técnica de “Timo” que permite a los astutos ciberdelincuentes engañar a sus victimas con unos mensajes llamativos que difícilmente pueden ser obviados, pero de que se trata esta técnica? Por qué aún se sigue presentando, por qué seguimos cayendo?, trataré de dar respuesta a estas inquietudes y porque no generar conciencia para no ser una víctima mas. Phishing, según definición del sitio web Info Spyware es utilizado por un delincuente cibernético para estafar y obtener información confidencial de forma fraudulenta, esta información puede ser contraseñas e incluso información bancaria como tarjetas de crédito entre otras. También a través de este método puede infectar o poner un malware en el equipo que posteriormente puede robar información y también volver el equipo informático un agente o cliente de una red botnet (red de varios equipos infectados y controlados por un botmanager para realizar diferentes ac...

Zoom y sus vulnerabilidades

Leyendo acerca de todas las quejas en cuanto a brechas de seguridad que tiene Zoom la plataforma de videoconferencia que conocí hace unos años, pero que ahora debido a la necesidad de estar en casa debido al COVID19, la ha convertido en la herramienta que muchos usan para sus reuniones empresariales virtuales, sus llamadas privadas o incluso para las fiestas virtuales o noches de Netflix. Solo precisar que no es la única herramienta que se tiene para tener este tipo de video conferencias, alternativas como WhatsApp (Vulnerable- Facebook de por medio.. hmm) o como Teams de Microsoft, Cisco Webex, Webex Meetings (se necesita pago) o Jitsi , esta última es de uso gratuito también y con algunas mejoras en su seguridad realizadas hace poco, puede ser una plataforma para cubrir esta necesidad. Si la opción es usar Zoom, no esta de más revisar este link para tratar de asegurar esta aplicación y sentirse un poco más tranquilo, o también puede ver el siguien...

Dumbservers

Buscar este blog