1. 概述
1.1 版本
| 产品 | 版本 | 安全漏洞声明 |
|---|---|---|
| FineBI | 5.0、5.1、6.0 | 公示23年护网及历史版本漏洞&解决方案：安全漏洞声明 |
| FineReport | 10.0、11.0 |
1.2 应用场景
为了提升产品的安全性，本文整理了，正式工程中应当开启的相关安全设置，请参照本文对工程进行安全加固。
注1：如无法完成产品升级和加固，请至少参考文档完成：限制IP访问工程
注2：参照本文进行安全配置后，部分功能会有影响，主要面向安全诉求更高的客户。
2. 产品升级
2.1 FR11.x&BI6.x&BI5.1.19.x系列
操作目的：当前处于高危版本「JAR包在 2023-07-21 之前版本」的工程，请升级至最新版本。
操作内容：清空impl文件夹、换工程JAR包、删netty JAR包，重启即可。
| 产品 | 升级步骤 |
|---|---|
| FineReport11.0 | 1）备份工程，关闭工程 2）获取最新版本JAR包，将除designer文件夹以外的文件，替换到工程 %Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 3）手动删除工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下名称包含netty的相关jar包 4）手动删除%Tomcat_HOME%/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中所有文件（不存在可忽略） 5）请参考「关闭或重启FineReport工程」文档，重启工程，完成升级 注：上文简单描述了服务器工程升级的操作步骤，更详细升级指南请参考： |
| FineBI6.0 | 1）备份工程，关闭工程 2）请联系技术支持获取6.0.12版本JAR包，将所有文件上传替换到工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 3）手动删除工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下名称包含netty的相关jar包 4）手动删除%Tomcat_HOME%/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中所有文件（不存在可忽略） 5）请参考「关闭或重启FineBI工程」文档，重启工程，完成升级 注：上文简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：小版本升级指南 |
| FineBI5.1.19及之后 | 1）备份工程，关闭工程 2）获取最新版本JAR包，将所有文件上传替换到工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 3）手动删除工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下名称包含netty的相关jar包 4）手动删除%Tomcat_HOME%/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中所有文件（不存在可忽略） 5）请参考「关闭或重启FineBI工程」文档，重启工程，完成升级 注：上文简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：5.1.19及之后版本升级指南 |
2.2 FR10.x&BI5.x&5.1.18.x系列
操作目的：当前处于高危版本「JAR包在 2023-07-21 之前版本」的工程，请升级至最新版本
推荐配置：请跨大版本升级至「FR11.x&BI6.x系列」最高版本，例如从FineReport10.0.4升级至FineReport11.0.19。
如选择本种操作方式，请联系帆软技术支持协助。技术支持联系方式：服务平台>在线支持。
最低配置：请至少小版本升级至 2023-07-21 及之后版本，例如从10.0.4升级至10.0.19.33
如选择本种操作方式，可参考下文清空impl文件夹、换工程JAR包、更换netty JAR包，重启即可。
| 产品 | 升级步骤 |
|---|---|
| FineReport10.0 | 1）备份工程，关闭工程 2）获取最新版本JAR包，将除designer文件夹以外的文件，替换到工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 3）手动删除工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下名称包含netty的相关jar包 4）下载驱动：netty安全驱动，将jar包上传到%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 5）手动删除%Tomcat_HOME%/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中所有文件（不存在可忽略） 6）请参考「关闭或重启FineReport工程」文档，重启工程，完成升级 注：上文简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：小版本升级指南 |
FineBI5.1.18.x系列 FineBI5.1.17及之前 | 1）备份工程，关闭工程 2）获取最新版本JAR包，将所有文件上传替换到工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 3）手动删除工程%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下名称包含netty的相关jar包 4）下载驱动：netty安全驱动，将jar包上传到%Tomcat_HOME%/webapps/webroot/WEB-INF/lib下 5）手动删除%Tomcat_HOME%/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中所有文件（不存在可忽略） 6）请参考「关闭或重启FineBI工程」文档，重启工程，完成升级 注：上文简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：5.1.5-5.1.18版本升级指南 |
3. 插件管理
3.1 升级插件
工程上所有的插件，建议全部更新至最新版本。
建议至少确保以下插件升级到安全版本（若未安装相应插件可忽略）：
| 插件名称 | 高危版本 | 建议升级 |
|---|---|---|
| fvs大屏编辑模式插件 | 2023-08-03及以下版本 | 1）建议先参考2.1节升级FineReport主JAR版本到最新 2）至少升级FineReport主JAR版本到2023.05.12及之后 3）升级插件版本到帆软市场最新版本V1.17.1.1（2023-08-04发布） 插件升级步骤请参考：服务器插件管理 |
| 扩展图表插件 | 2023-06以下版本 | FineReport11.0升级插件版本到最新版本V4.6.10 FineReport10.0升级插件版本到插件商城最新版本 插件升级步骤请参考：服务器插件管理 |
| 常用函数集合插件 | V9.4及以下版本 | 升级插件版本到最新版本 插件升级步骤请参考：服务器插件管理 |
3.2 安装插件
| 插件名称 | 插件简介 | 功能影响 |
|---|---|---|
| 安全加固插件 | 插件作用： 对于被爆破了账密的系统能有效提升服务器安全性 插件安装： 点击下载插件：安全加固插件 插件安装步骤请参考：服务器插件管理 注：插件安装完成后，需重启工程生效。 | 1）插件安装后，需要重启生效 2）插件安装后，数据连接处的SQL验证查询功能不可用 3）插件安装后，不可添加JNDI数据连接 4）插件安装后，水印设置禁用部分函数 5）插件安装后，日志管理处的手动清理日志功能被屏蔽 |
| web防火墙插件 | 插件作用： 插件主要用于限制访问IP，预防channel接口反序列化 插件安装： 插件安装及配置步骤请参见：限制IP访问工程 | 有三种配置方案，请根据需要选择： 方案一：限制白名单外的IP无法通过任何方式访问工程，包括但不限于：远程设计连接工程、登录平台查看模板、单点登录查看模板等。 方案二：限制白名单外的IP无法通过远程设计（channel接口）连接工程 方案三：限制任何用户均无法通过远程设计（channel接口）连接工程 |
4. 开启数据库安全选项开启
4.1 安装插件
点击下载插件：fine_conf_entity可视化配置插件
4.2 配置参数
插件安装成功后，超级管理员登录数据决策系统，点击「管理系统」，新增「系统工具」设置。如下图所示：
注：由于 FineDB 的修改非常重要，影响较大，因此仅支持超管进行操作，不支持次级管理员操作。
配置方法支持以下两种方式：
选择参数配置：系统参数名（key）下拉框中罗列了支持配置的 fine_conf_entity 参数，用户可直接在下拉框中选择参数，配置参数值（value）。
自定义参数配置：用户可自行输入支持配置的 fine_conf_entity 参数名（key），并自动跳出参数值（value），用户可修改并保存参数值。
两种配置方式支持配置的参数完全相同，建议修改的 fine_conf_entity 中的配置参数和参数值如下表所示：
| 参数名 | 参数作用 | 建议参数值 |
|---|---|---|
| SystemConfig.hideVersion | 作用：是否隐藏system info中的版本信息 true：系统信息接口不返回版本信息。 | true |
以下参数无法通过「fine_conf_entity可视化配置插件」进行修改，需手动修改或通过联系数据库管理员修改配置库的方式进行修改。
如果 fine_conf_entity 表中不存在以下配置项，请手动添加。
操作方法请参考：填报修改fine_conf_entity 。
| 参数名 | 参数作用 | 建议参数值 |
|---|---|---|
| PluginFileValidateConfig.fileValidateOpen | 作用：本地安装/手动安装插件时，为了防止恶意篡改插件包中的代码，2021.11.24 及之后的版本，提供插件完整性校验功能。 true：插件包完整性校验开启 注意：开启后无法从页面上安装没有官方签名的插件。 | true |
| SystemConfig.driverUpload | 作用：是否允许在驱动管理中上传驱动 JAR 包。该功能默认关闭。 true：允许上传驱动 JAR 包。 | false |
4.3 删除插件
参数配置完成后，需删除「fine_conf_entity可视化配置插件」。
设计器插件删除方法参照 设计器插件管理
服务器安装删除方法参照 服务器插件管理
5. 开启平台配置
5.1 模板认证
作用：
需要用户登录后才可访问模板，可单独配置不需要进行认证的模板。
建议：
1）默认选择「仅认证用户名密码」，用户可自行调整切换。
2）建议针对不同模板进行具体的「角色权限认证」配置，如果过于复杂难以配置，则建议开启「仅认证用户名密码」。
2）需要认证的模板默认全选，如有部分场景需要免鉴权访问，则按需针对指定模板免认证。但不建议扩大该场景，以防有安全风险。
| 方法 | 简介 | 文档 |
|---|---|---|
| 不做身份验证 | 默认不需要验证，只要得到了模板预览URL，任何人都可以查看对应的报表模板 | 不做身份验证 |
| 仅认证用户名密码 | 需要登录验证，登录成功后，所有用户权限都一样 只要得到了模板预览URL，登录用户都可以查看对应的报表模板 | 仅认证用户名密码 |
| 角色权限认证 | 需要登录验证，登录成功后，根据用户的角色信息，不同的用户有不同的权限 每个用户只能查看到有权限查看到的报表模板。 | 角色权限认证 |
| 数字签名认证 | 通过数字签名的方式来验证访问的报表请求，报表工程通过数字签名验证签名信息合法才允许访问报表，否则返回没有权限。 | 数字签名认证 |
注意事项：
开启模板认证，选择需要认证的模板为默认需要认证所有的模板，锁定后则表示该模板不需要进行认证。
开启后如果没有具体配置，则原先无需登录就可以访问的模板，会受到影响无法访问，要求用户登录。
设计器端预览报表，会受到模板认证的限制，可能会对模板制作时的预览造成不便。
5.2 系统管理
5.2.1 用户认证方式
作用：增加密码破解的难度。
建议：管理员登录数据决策系统，点击「管理系统>用户管理>全局设置」。
若系统使用「平台内置认证」，则需进行密码策略设置。
若系统使用「LDAP认证」或「HTTP认证」，则无需进行密码策略设置，密码安全性由客户自己的认证系统保证。
5.2.2 密码策略设置
作用：增加密码破解的难度。
注意：设置了自定义登录页的工程，请勿执行本节操作，「系统管理>登录」相关配置项与自定义登录页不兼容。
基于安全考虑，建议更换为默认登录页。
操作：管理员登录数据决策系统，点击「管理系统>系统管理>登录」，在「密码策略设置」处建议勾选以下配置：
设置密码强度策略（推荐密码长度8位，包含数字、大小写字母、符号）
设置初始密码强制修改
设置定期修改密码
设置修改密码验证方式
开启初始密码强制修改
开启历史密码重复校验
5.2.3 登录验证&锁定设置
作用：主要用于防暴力破解。
建议：
开启登录锁定。必选，最简单有效的攻击方式就是弱密码爆破进入工程，再提权或通过其他手段入侵服务器。
开启滑块验证。非必选项，如果已开启登录锁定，该项可选择不开启。
注意：设置了自定义登录页的工程，请勿执行本节操作，「系统管理>登录」相关配置项与自定义登录页不兼容。
基于安全考虑，建议更换为默认登录页。
操作：管理员登录数据决策系统，点击「管理系统>系统管理>登录」，开启「登录验证」和「登录锁定>滑块验证」。
上一篇：运维监控指导手册
