在 Debian 系统上对 Apache Tomcat 进行安全加固，虽然有一定挑战但并非不可实现，有许多细节需要认真处理。以下措施均来源于实战经验，严格遵循后可显著降低系统遭受攻击的风险。
- 及时更新 Tomcat 版本
这是最基础也最关键的一步。官方每次发布新版本通常都会修补已公开的安全漏洞，因此必须第一时间升级至最新稳定版。切勿抱有“等有空再处理”的心态，漏洞可不会等待。 - 关闭不必要的服务和端口
管理界面（例如 manager 应用）是常见的攻击入口，如果不需要使用，直接移除。仅保留真正需要的端口，如 HTTP 默认 8080，其余端口一律关闭。每减少一个端口，就减少一个潜在风险点。 - 配置防火墙
借助 iptables 或 ufw 等工具，为 Tomcat 管理界面增加一道防护——仅允许特定 IP 或网段访问，其他人根本无法连接，攻击自然无从发起。 - 禁用 root 登录
修改 SSH 配置文件/etc/ssh/sshd_config，将PermitRootLogin设置为no。改用普通用户登录后再提权，可有效防止针对 root 账户的暴力破解。 - 使用 SSL/TLS 加密通信
为 Tomcat 配置证书，实现客户端与服务器之间的数据加密传输。这不仅能防范中间人攻击，也是满足合规要求的必要措施。 - 限制用户权限
在tomcat-users.xml中配置用户角色与权限，避免随意授予 admin 或 manager 角色。权限设置越细致，被滥用后造成的损失越小。 - 启用 JMX 远程监控的安全配置
若必须使用 JMX 远程监控，请严格按照官方文档开启认证和加密，并设置高强度密码。否则无异于将服务器内部信息暴露给攻击者。 - 定期检查和监控系统日志
Tomcat 日志以及系统日志（如/var/log/syslog）是安全事件的第一发现者。养成定期查看的习惯，一旦出现异常可以立即响应。 - 使用自动更新工具
在 Debian 上启用unattended-upgrades，让安全更新能够自动下载并安装。手动更新难免有所遗漏，而自动更新可将风险降至最低。 - 定期备份数据
制定备份计划，将 Tomcat 配置、网站数据及数据库纳入备份范围。万一发生意外（例如勒索攻击），还能恢复到正常状态。 - 强化密码策略
修改所有默认密码，使用复杂密码替代，避免采用 admin、123456 等弱口令。同时启用账户锁定机制，例如在 Tomcat 的web.xml或 Realm 配置中设置失败尝试次数，以此防止暴力破解。 - 限制管理界面访问
在server.xml的allow属性，仅允许特定 IP 访问管理路径。如果管理界面根本用不上，直接删除webapps目录下的manager和host-manager文件夹，一劳永逸。 - 文件与目录权限管理
最小化安装，删除默认的示例应用和文档，同时关闭不需要的协议（例如 AJP）。创建一个专用低权限用户来运行 Tomcat，避免使用 root 或高权限账号。这样即使存在漏洞，攻击者提权也会更加困难。 - 防范 WAR 包漏洞
在server.xml中将autoDeploy设为false，禁止自动部署。否则攻击者只需向 webapps 中投放一个恶意 WAR 包，就能控制服务器。同时检查并配置readOnly参数，防止通过 PUT 方法上传恶意 JSP 文件。 - 使用安全配置基线
采用最新稳定版，删除示例和文档，关闭自动部署，这些前面均已提及。另外可增加基于证书的身份验证，并部署账户锁定机制，将认证环节打造得更加牢固。 - 监控与日志记录
确保 Tomcat 的日志记录功能处于开启状态（默认通常已启用），并定期翻阅。日志是事后追溯的唯一凭证，切莫等到出了事才发现没有记录。
总结而言，以上 16 条措施涵盖了版本管理、网络隔离、权限控制、监控备份等多个方面。安全本就是一个持续的过程，建议每隔一段时间重新审视各项策略，因为攻击手段也在不断进化。把这些工作做扎实，Tomcat 在 Debian 上就能运行得更加稳健。
