中间件与容器 on ClearSec Wiki

ActiveMQ-Artemis

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache ActiveMQ Artemis 2.x 单机、主备、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；消息内容和控制插件能力需结合现场实际启用情况判定。

基础信息

核查命令：

./artemis version 2>/dev/null
ps -ef | grep artemis
find . -name broker.xml -o -name bootstrap.xml

备注：确认版本、实例目录、配置目录、控制台地址、端口和数据目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

./artemis version
Apache ActiveMQ Artemis 2.28.0
ps -ef | grep artemis
artemis 5501 java -Xms512M -Xmx2G -jar artemis-boot.jar
./broker0/etc/broker.xml
./broker0/etc/bootstrap.xml

身份鉴别

A. 管理控制台登录

核查命令：

grep -R "console\\|hawtio\\|management" etc 2>/dev/null

备注：核查控制台是否启用、地址和认证方式。
预期证据：控制台截图、地址截图。

示例输出（节选）

grep console/hawtio etc（节选）
etc/bootstrap.xml: <binding uri="http://0.0.0.0:8161" name="artemis">
etc/broker.xml: <web bind="http://192.168.10.51:8161" path="console">
（控制台经 Nginx 反代+SSO 访问，直连仅限内网）

B. 用户与角色

核查命令：

ApacheHTTPServer

Mon, 24 Aug 2026 00:00:00 +0800

Apache HTTP Server三级现场标准核查脚本

适用范围：Apache HTTP Server 2.2/2.4、含反向代理、静态站点、SSL 网关场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如 Apache 仅承担代理或静态分发能力，不直接处理个人信息或不具备独立登录机制，则相关控制点可按边界判定不适用。

基础信息

核查命令：

httpd -v
apachectl -V
ps -ef | grep httpd
find / -name httpd.conf -o -name apache2.conf 2>/dev/null

备注：优先确认版本、主配置文件、虚拟主机目录、模块、日志路径、运行用户和监听端口。
预期证据：版本截图、配置路径截图、模块截图、进程与端口截图。

示例输出（节选）

httpd -v
Server version: Apache/2.4.57 (CentOS Stream)
Server built: Apr 20 2024 08:12:00
apachectl -V | grep SERVER_CONFIG_FILE
SERVER_CONFIG_FILE: "conf/httpd.conf"
ps -ef | grep httpd（节选）
root 7701 /usr/sbin/httpd -DFOREGROUND
apache 7702 /usr/sbin/httpd -DFOREGROUND

身份鉴别

A. 管理入口识别

核查命令：

grep -R "server-status\\|server-info" /etc/httpd /etc/apache2 /usr/local/apache2/conf 2>/dev/null

备注：重点识别 server-status、server-info、WebDAV、管理目录和状态页。
预期证据：状态页配置截图、访问结果截图。

示例输出（节选）

/etc/httpd/conf.modules.d/00-base.conf: LoadModule status_module modules/mod_status.so
/etc/httpd/conf.d/status.conf: <Location /server-status>
/etc/httpd/conf.d/status.conf: SetHandler server-status

B. 认证机制

核查命令：

Apusic-金蝶

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apusic Application Server、金蝶中间件相关部署场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如产品功能由厂商二次封装或由业务系统承接，应按照实际处理边界做不适用判定。

基础信息

核查命令：

find . -name aas-version.properties -o -name domain.xml
ps -ef | grep apusic

备注：根据原始资料，重点确认 ApusicAS/aas/config/aas-version.properties、domains/mydomain/config、logs、applications 目录。
预期证据：版本文件截图、配置目录截图、日志目录截图、部署目录截图。

示例输出（节选）

find . -name aas-version.properties
ApusicAS/aas/config/aas-version.properties
ps -ef | grep apusic（节选）
apusic 14101 java -Daas.domain=/opt/ApusicAS/aas/domains/mydomain
product.version=6.5.2 build=20240415

身份鉴别

A. 管理控制台登录

核查命令：

find . -type f | grep -i "admin\\|console\\|login"

备注：优先确认是否存在管理控制台、登录地址、认证方式和运维入口保护措施。
预期证据：登录页截图、地址截图、HTTPS 截图。

示例输出（节选）

find . | grep admin|console|login
domains/mydomain/applications/console.war
（管理控制台为 console 应用，路径经反代改写并限源）

B. 本地账户与外部认证

核查命令：

grep -R "user\\|role\\|ldap\\|auth" ApusicAS/aas/domains/mydomain/config 2>/dev/null

备注：核查本地账户、默认管理员、共享账户和外部认证接入情况。
预期证据：账户配置截图、账号台账、访谈记录。

示例输出（节选）

grep user/role/ldap domains/mydomain/config（节选）
config/twusers.xml: <user name="apuadmin" password="{AES}***"/>
<realm type="ldap" url="ldap://192.168.20.10:389"/>
（管理员实名账户+LDAP 联合认证可选）

C. 口令与失败处理

核查命令：

Docker

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Docker Engine、单机容器部署、通过 Docker 承载中间件/应用的场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际功能、是否直接处理数据、是否具备该类安全机制判定”的原则；Docker 主要是容器运行平台，很多业务性控制点需转由容器内应用或上层平台测评。

基础信息

核查命令：

docker version
docker info
docker ps -a
docker inspect <容器名>

备注：先确认 Docker 版本、数据根目录、容器清单、镜像来源、宿主机路径映射、网络模式和日志驱动。
预期证据：版本截图、容器清单截图、镜像截图、宿主机路径与端口截图。

示例输出（节选）

Client: Docker Engine - Community
 Version: 24.0.7
Server: Docker Engine - Community
 Engine Version: 24.0.7
 Containers: 6 Images: 14
CONTAINER ID IMAGE STATUS NAMES
a1b2c3d4e5f6 redis:7.2-alpine Up 30 days demo-redis
f6e5d4c3b2a1 nginx:1.24-alpine Up 30 days demo-web

身份鉴别

A. Docker API 与管理入口

核查命令：

EMQX

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：EMQX 4.x/5.x Broker 单节点、集群和企业版场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；EMQX 既可能只是协议接入层，也可能直接承载用户设备身份和消息内容，需按现场实际角色判定。

基础信息

核查命令：

emqx version 2>/dev/null
ps -ef | grep emqx
find . -name emqx.conf -o -name cluster.hocon -o -name emqx_dashboard.conf

备注：先识别版本、部署模式、节点角色、Dashboard 地址、监听端口、配置目录和日志目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

emqx version
EMQ X Enterprise 5.4.1
ps -ef | grep emqx（节选）
emqx 12101 beam.smp -emqx etc /opt/emqx/etc
find .
etc/emqx.conf etc/cluster.hocon data/configs/cluster.hocon

身份鉴别

A. Dashboard 登录鉴别

核查命令：

grep -R "dashboard" etc data/config 2>/dev/null

备注：重点核查 Dashboard 是否开启、是否要求密码、是否通过 HTTPS、是否限制来源。
预期证据：Dashboard 登录截图、配置截图。

示例输出（节选）

grep dashboard etc
etc/emqx.conf: dashboard.listeners.http.bind = "192.168.10.101:18083"
（Dashboard 仅内网绑定，经堡垒机映射访问）

B. 客户端认证方式

核查命令：

IIS

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Windows IIS 7.5/8/8.5/10，含站点、应用程序池、反向代理和 WebDAV 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；IIS 常作为站点容器或代理网关，涉及业务型控制点时应结合站点和上层应用判定。

基础信息

核查命令：

Get-WindowsFeature Web-Server
Get-ItemProperty 'HKLM:\\SOFTWARE\\Microsoft\\InetStp'
Get-Website
Get-WebAppPoolState -Name *
备注：确认 IIS 版本、站点、应用程序池、绑定、物理路径、证书、日志路径和扩展模块。
预期证据：版本截图、站点列表截图、应用池截图、绑定截图。

示例输出（节选）

Get-Website（节选）
Name State PhysicalPath Bindings
DemoSite Started C:\inetpub\wwwroot http *:80:, https *:443:
appcmd list sites
SITE "DemoSite" (id:1,bindings:http/*:80:,https/*:443:,state:Started)
Get-WindowsFeature Web-Server：InstallState=Installed
版本：IIS 10.0（HKLM:\SOFTWARE\Microsoft\InetStp VersionString=10.0.20348）

身份鉴别

A. 管理入口识别

核查命令：

Get-WindowsFeature | Where-Object {$_.Name -like 'Web-*' -and $_.InstallState -eq 'Installed'}

备注：管理主要依赖 IIS 管理器、远程管理服务、Web Deploy、站点内认证配置。
预期证据：功能列表截图、远程管理配置截图。

示例输出（节选）

Name Display Name Install State
---- ------------- -------------
Web-WebServer Installed
Web-Asp-Net45 Installed
Web-Mgmt-Console Installed
（管理控制台仅本机/堡垒机使用，远程管理服务未安装）

B. 认证机制

核查命令：

JBoss

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：JBoss AS、JBoss EAP、WildFly 单机和域模式场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的测评对象边界原则；若控制能力由上位平台、业务系统或主机层实现，应明确记录后再作不适用判断。

基础信息

核查命令：

ps -ef | grep -E "jboss|wildfly"
find . -name standalone.xml -o -name domain.xml
bin/standalone.sh --version 2>/dev/null

备注：先确认安装路径、运行用户、版本、独立模式或域模式、管理地址、日志目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

ps -ef | grep jboss（节选）
jboss 11101 java -D[Standalone] -jar jboss-modules.jar
find . -name standalone.xml
standalone/configuration/standalone.xml
bin/standalone.sh --version
JBoss EAP 7.4.12.GA (WildFly Core 15.0.18.Final)

身份鉴别

A. 管理控制台与 CLI 入口

核查命令：

grep -R "management-interfaces\\|http-interface" standalone/configuration domain/configuration 2>/dev/null

备注：重点核查管理控制台、CLI 端口和管理地址是否受控。
预期证据：管理地址截图、登录页截图、配置截图。

示例输出（节选）

grep management-interfaces standalone/configuration（节选）
<management-interfaces>
 <http-interface security-realm="ManagementRealm" http-upgrade-enabled="true">
 <socket-binding http="management-http"/>
（管理接口绑定 management-http，仅 127.0.0.1/内网可达）

B. 管理账户

核查命令：

Jetty

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Eclipse Jetty 9/10/11，独立部署、嵌入式部署和容器内 Jetty 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；Jetty 作为运行容器时，业务型控制点需结合上层应用判定。

基础信息

核查命令：

java -jar start.jar --version 2>/dev/null
ps -ef | grep jetty
find . -name start.ini -o -name jetty.xml -o -name start.d

备注：确认版本、启动方式、配置目录、WebApp 目录、日志目录、监听端口和运行用户。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

java -jar start.jar --version（节选）
Jetty Server Classpath:
Version Information
 9.4.53.v20231009 - org.eclipse.jetty.server.Server
ps -ef | grep jetty
jetty 8801 java -jar start.jar jetty.base=/opt/jetty-base
./start.ini ./etc/jetty.xml

身份鉴别

A. 管理入口识别

核查命令：

find . -type f | grep -E "realm|login|jaas|jetty-realm"

备注：重点核查是否启用管理页面、JAAS、Realm、JMX 等管理入口。
预期证据：配置截图、管理入口截图。

示例输出（节选）

find . | grep realm|jaas
etc/jetty-realm.properties
webapps/demo/WEB-INF/web.xml
（HashLoginService 用于控制台认证，业务应用经 SSO）

B. 认证机制

核查命令：

Kafka

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache Kafka 2.x/3.x、KRaft 或 ZooKeeper 架构场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际处理流程和安全边界判定”的原则；Kafka 多为消息中间件，很多个人信息保护项需先确认消息内容和平台功能边界。

基础信息

核查命令：

ps -ef | grep kafka
grep -n "broker.id\\|node.id\\|listeners" config/server.properties 2>/dev/null
bin/kafka-topics.sh --version 2>/dev/null

备注：确认版本、Broker 角色、集群模式、监听地址、日志目录、数据目录和配置文件路径。
预期证据：版本截图、进程截图、配置文件截图、集群节点截图。

示例输出（节选）

ps -ef | grep kafka
kafka 2201 java -Xmx4G -server kafka.Kafka config/server.properties
config/server.properties:
broker.id=1
listeners=SASL_SSL://192.168.10.21:9093
bin/kafka-topics.sh --version
2.8.1 (Commit:839b886f9b732b15)

身份鉴别

A. 管理与客户端认证方式

核查命令：

grep -n "security.inter.broker.protocol\\|sasl.enabled.mechanisms\\|listeners\\|listener.security.protocol.map" config/server.properties 2>/dev/null

备注：核查是否启用 SASL、SSL、双向证书、Kerberos 等身份鉴别机制。
预期证据：认证配置截图、证书或 JAAS 配置截图。

示例输出（节选）

security.inter.broker.protocol=SASL_SSL
sasl.enabled.mechanisms=SCRAM-SHA-256
listener.security.protocol.map=SASL_SSL:SASL_SSL,PLAINTEXT:PLAINTEXT

B. 用户与主体

核查命令：

Nginx

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Nginx 开源版、Tengine、OpenResty，以及作为反向代理/负载均衡/HTTPS 网关使用的现场。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019“按测评对象实际功能与数据处理范围判定”的原则；Nginx 常作为代理或网关，若某控制由认证平台、业务系统、WAF 或负载均衡实现，应注明边界后判定不适用或转由上位组件核查。

基础信息

核查命令：

nginx -v
nginx -t
ps aux | grep nginx
find / -name nginx.conf 2>/dev/null

备注：先确认二进制版本、主配置路径、站点配置目录、日志路径、运行用户、监听端口；若部署在容器中，应同步记录容器信息。
预期证据：版本截图、配置路径截图、进程截图、端口截图。

示例输出（节选）

nginx version: nginx/1.24.0
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful
root 1204 0.0 0.1 nginx: master process nginx
www 1205 0.0 0.3 nginx: worker process
/etc/nginx/nginx.conf

身份鉴别

A. 管理入口识别

核查命令：

grep -R "stub_status\\|status" /etc/nginx /usr/local/nginx/conf 2>/dev/null

备注：Nginx 通常没有完整管理控制台，重点核查状态页、管理 API、配置发布入口是否受控。
预期证据：状态页配置截图、访问结果截图。

示例输出（节选）

/etc/nginx/conf.d/status.conf: location /stub_status {
/etc/nginx/conf.d/status.conf: stub_status;

B. 认证机制

核查命令：

RabbitMQ

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：RabbitMQ 3.x 单机、镜像队列、集群和管理插件场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；RabbitMQ 属于消息中间件，业务型控制点需结合消息内容和管理插件启用情况判定。

基础信息

核查命令：

rabbitmqctl version
rabbitmq-diagnostics server_version
ps -ef | grep beam
find / -name rabbitmq.conf 2>/dev/null

备注：确认版本、节点、集群、端口、配置目录、数据目录、日志目录和管理插件。
预期证据：版本截图、节点截图、配置路径截图、端口截图。

示例输出（节选）

rabbitmqctl version
3.12.12
rabbitmq-diagnostics server_version
3.12.12
ps -ef | grep beam
rabbitmq 3301 beam.smp -K true -A 128 -- root
/etc/rabbitmq/rabbitmq.conf

身份鉴别

A. 管理控制台登录

核查命令：

rabbitmq-plugins list | grep management

备注：核查管理插件是否启用、控制台地址、认证方式和来源限制。
预期证据：插件截图、登录页截图、地址截图。

示例输出（节选）

rabbitmq-plugins list | grep management
[E*] rabbitmq_management
（管理插件已启用，15672 端口经内网+堡垒机访问）

B. 用户与虚拟主机

核查命令：

Redis

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Redis 5/6/7 单机、主从、哨兵、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；Redis 作为缓存、会话库或消息缓冲时，部分控制点需要按其是否实际处理个人信息、是否提供独立交互账户体系来判断。

基础信息

核查命令：

redis-server --version
redis-cli INFO server
ps -ef | grep redis
find / -name redis.conf 2>/dev/null

备注：确认版本、实例角色、监听地址、端口、配置文件、持久化目录、日志目录和部署模式。
预期证据：版本截图、配置路径截图、实例信息截图、端口截图。

示例输出（节选）

Redis server v=7.2.4 sha=00000000 malloc=jemalloc-5.3.0 bits=64
# Server
redis_version:7.2.4
redis_mode:standalone
os:Linux 4.19.90 x86_64
run_id:5f2a...c81d
ps：redis 1101 redis-server *:6379
/etc/redis/redis.conf

身份鉴别

A. 认证方式

核查命令：

redis-cli CONFIG GET requirepass
redis-cli ACL LIST

备注：Redis 6 及以上应重点核查 ACL；旧版本主要看 requirepass 和访问源限制。
预期证据：认证配置截图、ACL 截图、账号台账。

示例输出（节选）

requirepass（CONFIG GET，需认证后执行）
NOAUTH Authentication required.
ACL LIST（节选）
user default on nopass ~* &* +@all
user demo-app on >*** ~demo:* &* +@read +@write -@dangerous

B. 用户与权限账户

核查命令：

RocketMQ

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache RocketMQ 4.x/5.x NameServer、Broker、Proxy、Dashboard 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；需先区分 NameServer、Broker 和 Dashboard 的控制边界。

基础信息

核查命令：

mqbroker -v 2>/dev/null
mqnamesrv -v 2>/dev/null
ps -ef | grep rocketmq
find . -name broker.conf -o -name logback_*.xml

备注：确认版本、角色、监听端口、集群、存储目录、日志目录和 Dashboard。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

mqbroker -v
RocketMQ Broker 5.1.4
mqnamesrv -v
RocketMQ NameServer 5.1.4
ps -ef | grep rocketmq
rocketmq 6601 NamesrvStartup rocketmq 6620 BrokerStartup
conf/broker.conf conf/logback_broker.xml

身份鉴别

A. Dashboard 与管理接口登录

核查命令：

find . -type f | grep -i "dashboard\\|auth\\|login"

备注：核查是否启用 Dashboard、地址和认证方式。
预期证据：控制台截图、配置截图。

示例输出（节选）

find . | grep dashboard|auth|login
（未部署 console/dashboard 组件；管理操作经 CLI+堡垒机完成并留痕）

B. 用户与 ACL

核查命令：

Tomcat

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Tomcat 7/8.5/9/10，适用于 Linux、Windows 和容器内 Tomcat 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据统一采用 GB/T 28448-2019 三级要求的“按测评对象实际承载功能、处理数据和安全机制进行判定”原则；若控制能力由上层应用、统一认证平台、前置代理、WAF、堡垒机或操作系统实现，应记录为“本组件原生不承载，按系统整体或上位组件另行测评”，不得机械按缺失判不符合。

基础信息

核查命令：

ps -ef | grep tomcat
./bin/catalina.sh version
pwd、ls
find . -maxdepth 2 -type f | grep -E "server.xml|web.xml|context.xml|tomcat-users.xml|logging.properties"
备注：优先确认安装路径、运行用户、版本、管理端口、部署目录、日志目录；如为容器部署，还要记录镜像版本、容器名、宿主机挂载路径。
预期证据：版本截图、安装路径截图、运行进程截图、配置目录截图、端口监听截图。

示例输出（节选）

Server version: Apache Tomcat/9.0.83
Server built: Oct 12 2023 08:12:00 UTC
Server number: 9.0.83.0
OS Name: Linux
java -version: OpenJDK 11.0.21

身份鉴别

A. 管理入口与登录要求

核查命令：

grep -R "manager\\|host-manager" conf webapps server.xml

备注：若 manager/host-manager 未部署或已删除，可直接记为“管理控制台默认关闭”；该情况通常优于开放控制台。
预期证据：管理应用目录截图、管理入口访问截图或未部署截图。

示例输出（节选）

conf/server.xml:<Context docBase="manager" path="/manager">
webapps/manager
webapps/host-manager
conf/Catalina/localhost/manager.xml

B. 本地账户与角色

核查命令：

TongWeb

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：东方通 TongWeb 应用服务器常见版本，单机、集群、控制台管理场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；如某类控制由统一认证平台或上层应用实现，应明确边界后判定。

基础信息

核查命令：

ps -ef | grep tongweb
find . -name server.xml -o -name tongweb.xml -o -name domain.xml
find . -name version*

备注：确认版本、安装目录、域/实例目录、控制台地址、日志目录和部署目录。
预期证据：版本截图、进程截图、配置目录截图、端口截图。

示例输出（节选）

ps -ef | grep tongweb（节选）
tongweb 13101 java -Dtongweb.home=/opt/TongWeb7 ...
find . -name server.xml
/opt/TongWeb7/conf/tongweb.xml
find . -name version*
/opt/TongWeb7/bin/version.txt
（版本 TongWeb 7.0.E.6_P2，详见 version.txt）

身份鉴别

A. 管理控制台登录

核查命令：

grep -R "admin\\|console\\|login" . 2>/dev/null

备注：核查控制台地址、认证方式和管理访问路径。
预期证据：登录页截图、地址截图。

示例输出（节选）

grep admin/console/login .（节选）
conf/tongweb.xml: console-context-root=/twconsole
（管理控制台路径已改写，经 Nginx 反代+SSO 访问）

B. 用户与角色

核查命令：

WebLogic

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Oracle WebLogic 10.3、12c、14c 单机、域、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的“按对象实际提供的安全功能和业务处理能力判定”原则；若控制能力由统一认证、日志平台、堡垒机或业务系统实现，应明确边界。

基础信息

核查命令：

ps -ef | grep weblogic
find . -name config.xml
grep -n "WebLogic" registry.xml 2>/dev/null

备注：优先识别域目录、管理服务器地址、受管服务器、端口、版本、日志目录和安全领域。
预期证据：进程截图、域目录截图、版本截图、控制台首页截图。

示例输出（节选）

ps -ef | grep weblogic（节选）
weblogic 9901 java -Dweblogic.Name=AdminServer ... -Dweblogic.home=/opt/wls
find . -name config.xml
domains/demo_domain/config/config.xml
grep WebLogic registry.xml
<version>14.1.1.0.0</version>

身份鉴别

A. 管理控制台登录

核查命令：

grep -n "<console-context-path>" config/config.xml 2>/dev/null

备注：核查控制台是否启用密码、是否通过 HTTPS 访问、是否仅允许运维网访问。
预期证据：登录页截图、登录地址截图、HTTPS 截图。

示例输出（节选）

grep console-context-path config.xml
<console-context-path>console</console-context-path>
（控制台路径已改为非默认 /console，并限制来源）

B. 用户与安全领域

核查命令：

WebSphere

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：传统 WebSphere Application Server、Network Deployment 和 Liberty 场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；控制点是否适用取决于 WebSphere 是否实际提供该安全功能或直接处理相应数据。

基础信息

核查命令：

versionInfo.sh 2>/dev/null
find . -name security.xml -o -name serverindex.xml
ps -ef | grep websphere

备注：先识别是否为传统 WAS 还是 Liberty，再确认 Profile、Cell、Node、Server、控制台地址、日志目录。
预期证据：版本截图、Profile 目录截图、控制台首页截图、进程截图。

示例输出（节选）

./bin/versionInfo.sh（节选）
Installed Product: IBM WebSphere Application Server V9.0.5.17
OS Name: Linux
ps -ef | grep websphere
wasadmin 10101 java com.ibm.ws.runtime.WsServer
profiles/AppSrv01/config/cells/demoCell01/security.xml

身份鉴别

A. 控制台登录

核查命令：

grep -R "adminconsole" profiles 2>/dev/null

备注：核查控制台登录是否需要密码、是否通过 HTTPS、是否仅限运维网络访问。
预期证据：登录页截图、地址截图、HTTPS 截图。

示例输出（节选）

grep adminconsole profiles（节选）
profiles/AppSrv01/installedApps/demoCell01/isclite.ear/adminconsole.war
（管理控制台为 isclite 企业应用，仅经堡垒机映射访问）

B. 用户仓库与账户

核查命令：

ZooKeeper

Mon, 24 Aug 2026 00:00:00 +0800

适用范围：Apache ZooKeeper 3.4/3.5/3.6/3.7 单机、伪集群、集群场景。

不适用标识说明：

使用 【不适用】 明确标记现场可判定为不适用的控制点。
判定依据采用 GB/T 28448-2019 的对象边界原则；ZooKeeper 属于协调组件，业务型控制点需结合其是否承载业务数据、是否启用管理接口判定。

基础信息

核查命令：

zkServer.sh version 2>/dev/null
ps -ef | grep zookeeper
find / -name zoo.cfg 2>/dev/null

备注：确认版本、节点角色、集群、端口、配置文件、数据目录和日志目录。
预期证据：版本截图、进程截图、配置路径截图、端口截图。

示例输出（节选）

zkServer.sh version
Apache ZooKeeper, version 3.8.4 2024-02-14 06:34 UTC
ps -ef | grep zookeeper
zookeeper 4401 java -Dzookeeper.log.dir=/data/zk/logs ... QuorumPeerMain
/opt/zookeeper/conf/zoo.cfg

身份鉴别

A. 管理接口识别

核查命令：

grep -R "admin.serverPort\\|4lw.commands.whitelist" /etc/zookeeper /opt 2>/dev/null

备注：重点核查 AdminServer、四字命令和 JMX 接口。
预期证据：配置截图、接口截图。

示例输出（节选）

/etc/zookeeper/zoo.cfg: admin.serverPort=8080
/opt/zookeeper/conf/zoo.cfg: 4lw.commands.whitelist=stat, srvr, mntr
（四字命令白名单收敛，admin server 仅内网访问）

B. 认证机制

核查命令：