反馈已提交

网络繁忙

产品安全加固指导手册

  • 文档创建者:Carly
  • 历史版本:61
  • 最近更新:Carly 于 2024-05-20
  • 1. 概述

    1.1 版本

    产品版本
    安全漏洞声明
    FineBI

    6.0.*

    5.1.0-5.1.18.*

    公示24年护网及历史版本漏洞&解决方案:安全漏洞声明
    FineReport11.0.*
    10.0.*
    FineDataLink4.1.*

    1.2 应用场景

    为了提升产品的安全性,本文整理了,正式工程中应当开启的相关安全设置,请参照本文对工程进行安全加固。

    注1:如无法完成产品升级和加固,请至少参考档完成:限制IP访问工程

    注2:参照本文进行安全配置后,部分功能会有影响,主要面向安全诉求更高的客户。

    2. 产品升级

    2.1 FR11.*&BI6.*&FDL4.1.*系列

    操作目的:当前处于高危版本「JAR包在 2024-04 及之前版本」的工程,请升级至最新安全版本。

    操作内容:换工程JAR包、删netty JAR包、清空impl文件夹,重启即可。

    产品
    升级步骤
    FineReport11.*

    该升级操作仅面向非运维平台部署的工程。运维平台部署的工程,请直接联系帆软技术支持协助升级

    下文简单描述了服务器工程升级的操作步骤,更详细升级指南请参考:小版本升级指南

    1)获取JAR包

    2)升级工程

    • 参考 工程备份还原方案 4.1节,对工程进行备份。关闭工程

    • 删除工程/webapps/webroot/WEB-INF/lib下相关文件:删除netty-all-*.Final.jar,建议删除sqlite-jdbc-*.jar

    • 删除工程/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中的所有文件(不存在可忽略)

    • 将获取的JAR包中,除designer文件夹以外的文件,上传替换到工程/webapps/webroot/WEB-INF/lib下

    • 重启工程,完成升级

    FineBI6.*

    该升级操作仅面向非运维平台部署的工程。运维平台部署的工程,请直接联系帆软技术支持协助升级

    下文简单描述了服务器工程升级的操作步骤,更详细升级指南请参考:小版本升级指南

    1)获取JAR包

    2)升级工程

    • 参考 工程备份还原方案 3.1节,对工程进行备份。关闭工程

    • 删除工程/webapps/webroot/WEB-INF/lib下相关文件:删除netty-all-*.Final.jar,建议删除sqlite-jdbc-*.jar

    • 删除工程/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中的所有文件(不存在可忽略)

    • 将获取的JAR包文件,上传替换到工程/webapps/webroot/WEB-INF/lib下

    • 重启工程,完成升级

      FineDataLink4.1.*该升级操作仅面向非运维平台部署的工程。运维平台部署的工程,请直接联系帆软技术支持协助升级。

      下文简单描述了服务器工程升级的操作步骤,更详细升级指南请参考:小版本升级指南

      1)获取JAR包

      • 请在FineDataLink服务群联系相关客户成功获取(4.1.7.3版本)

      2)升级工程

      • 暂停管道任务、备份工程、关闭工程

      • 删除工程/webapps/webroot/WEB-INF/lib下相关文件:删除netty-all-*.Final.jar,建议删除sqlite-jdbc-*.jar

      • 删除工程/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中的所有文件(不存在可忽略)

      • 将获取的JAR包文件,上传替换工程/webapps/webroot/WEB-INF/lib下

      • 重启工程,完成升级

      2.2 FR10.*&BI5.1.0~5.1.18.x系列

      操作目的:当前处于高危版本「JAR包在 2024-04 及之前版本」的工程,请升级至最新安全版本。

      推荐配置:请跨大版本升级至「FR11.*&BI6.*系列」最高版本,例如从FineReport10.0.4升级至FineReport11.0.26。

                       如选择本种操作方式,请联系帆软技术支持协助。技术支持联系方式:服务平台>在线支持。

      最低配置:请至少小版本升级至最新安全加固版本。

                       如选择本种操作方式,可参考下文清空impl文件夹、换工程JAR包、更换netty JAR包,重启即可。

      产品
      升级步骤
      FineReport10.0

      下文简单描述了服务器工程升级的操作步骤,更详细升级指南请参考:小版本升级指南

      低版本的设计器无法连接高版本的工程,本地设计器也需要同步升级至最新版本。

      • 备份工程,关闭工程

      • 删除工程/webapps/webroot/WEB-INF/lib下相关文件:删除netty-all-*.Final.jar,建议删除sqlite-jdbc-*.jar

      • 删除工程/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中的所有文件(不存在可忽略)

      • 点击下载并解压获得工程JAR包 (10.0.19.42版本)将除designer文件夹以外的文件,上传替换工程/webapps/webroot/WEB-INF/lib下

      • 如为本地设计器,将designer文件夹内的文件,上传替换到设计器/%FR-HOME%/lib下

      • 点击下载netty安全驱动,将JAR包上传到/webapps/webroot/WEB-INF/lib下

      • 重启工程,完成升级

        FineBI5.1.18.x系列

        FineBI5.1~5.1.17

        下文简单描述了服务器工程升级的操作步骤,更详细升级指南请参考:小版本升级指南

        备份工程,关闭工程

        • 删除工程/webapps/webroot/WEB-INF/lib下相关文件:删除netty-all-*.Final.jar,建议删除sqlite-jdbc-*.jar

        • 删除工程/webapps/webroot/WEB-INF/classes/com/fr/data下impl文件夹中的所有文件(不存在可忽略)

        • 点击下载并解压获得工程JAR包 (5.1.18.43版本)上传替换到工程/webapps/webroot/WEB-INF/lib下

        • 点击下载netty安全驱动,将JAR包上传到/webapps/webroot/WEB-INF/lib下

        • 重启工程,完成升级

        2.3 其他老版本

        帆软 FineReport 8.* &9.* 、FineBI4.*&5.0.*&5.1.19+、FineDataLink4.0.* 系列及更早版本目前已经停止维护。

        此类版本安全系数极低,请联系帆软技术支持进行大版本升级。技术支持联系方式:服务平台>在线支持。

        3. 开启平台配置

        3.1 密码强度限制

        作用:增加密码破解的难度。

        1)检查用户认证方式

        管理员登录数据决策系统,点击「管理系统>用户管理>全局设置」。

        • 若系统使用「平台内置认证」,则需进行下文的密码策略限制。

        • 若系统使用「LDAP认证」或「HTTP认证」,则无需进行密码策略设置,密码安全性由客户自己的认证系统保证。

        2)进行密码策略设置

        注意:设置了自定义登录页的工程,请勿执行本节操作,「系统管理>登录」相关配置项与自定义登录页不兼容。

                  基于安全考虑,建议更换为默认登录页。

        操作:管理员登录数据决策系统,点击「管理系统>系统管理>登录」,在「密码策略设置」处建议勾选以下配置:

        • 设置密码强度策略(推荐密码长度8位,包含数字、大小写字母、符号)

        • 设置初始密码强制修改

        • 设置定期修改密码

        • 设置修改密码验证方式

        • 开启初始密码强制修改

        • 开启历史密码重复校验

        3.2 登录锁定设置

        作用:主要用于防暴力破解。

        建议:开启登录锁定。必选,最简单有效的攻击方式就是弱密码爆破进入工程,再提权或通过其他手段入侵服务器。

        注意:设置了自定义登录页的工程,请勿执行本节操作,「系统管理>登录」相关配置项与自定义登录页不兼容。

                  基于安全考虑,建议更换为默认登录页。

        操作:管理员登录数据决策系统,点击「管理系统>系统管理>登录」,开启「登录验证」。

        4. 插件管理

        4.1 升级插件

        工程上所有的插件,建议全部更新至最新版本。

        建议至少确保以下插件升级到安全版本(若未安装相应插件可忽略):

        插件名称高危版本建议升级
        FineVis数据可视化插件2023-08-03及以下版本

        建议先参考2.1节升级FineReport主JAR版本到最新

        建议升级插件到帆软市场最新版本

        至少升级插件到V1.17.1.1及以上版本

        插件升级步骤请参考:服务器插件管理

        扩展图表插件

        2023-06以下版本

        建议升级插件到帆软市场最新版本

        至少升级插件到V4.6.10及以上版本

        插件升级步骤请参考:服务器插件管理

        常用函数集合插件V9.4及以下版本

        建议升级插件到帆软市场最新版本

        至少升级插件到V9.5及以上版本

        插件升级步骤请参考:服务器插件管理

        4.2 安装插件

        插件名称
        插件简介功能影响
        web防火墙插件

        插件作用:

        插件主要用于限制访问IP,预防channel接口反序列化


        插件安装:

        插件安装及配置步骤请参见:限制IP访问工程

        有三种配置方案,请根据需要选择:

        • 方案一:限制黑名单内/名单外的IP无法通过任何方式访问工程,包括但不限于:远程设计连接工程、登录平台查看模板、单点登录查看模板等。

        • 方案二:限制黑名单内/名单外的IP无法通过远程设计(channel接口)连接工程

        • 方案三:限制任何用户均无法通过远程设计(channel接口)连接工程

        安全加固插件

        插件作用:

        对于被爆破了账密的系统能有效提升服务器安全性


        插件安装:

        点击下载插件:安全加固插件

        插件安装步骤请参考:服务器插件管理

        注:插件安装完成后,需重启工程生效。

        1)插件安装后,需要重启生效

        2)请安装最新1.6及以上版本插件(工程重启生效),否则在高版本工程中,可能会出现远程设计版本不匹配的情况

        3)插件安装后,以下安全风险较高的功能会被禁用

        • 数据连接处的SQL验证查询功能不可用

        • 不可添加JNDI数据连接

        • 水印设置禁用部分函数

        • 日志管理处的手动清理日志功能被屏蔽

        5. 开启配置库安全选项

        5.1 安装插件

        点击下载插件:fine_conf_entity可视化配置插件

        5.2 配置参数

        插件安装成功后,超级管理员登录数据决策系统,点击「管理系统」,新增「系统工具」设置。如下图所示:

        注:由于 FineDB 的修改非常重要,影响较大,因此仅支持超管进行操作,不支持次级管理员操作。

        配置方法支持以下两种方式:

        • 选择参数配置:系统参数名(key)下拉框中罗列了支持配置的 fine_conf_entity 参数,用户可直接在下拉框中选择参数,配置参数值(value)。

        • 自定义参数配置:用户可自行输入支持配置的 fine_conf_entity 参数名(key),并自动跳出参数值(value),用户可修改并保存参数值。

        两种配置方式支持配置的参数完全相同,建议修改的 fine_conf_entity 中的配置参数和参数值如下表所示:

        参数名
        参数作用建议参数值
        SystemConfig.hideVersion

        作用:是否隐藏system info中的版本信息

        true:系统信息接口不返回版本信息。

        true

        以下参数无法通过「fine_conf_entity可视化配置插件」进行修改,需手动修改或通过联系数据库管理员修改配置库的方式进行修改。

        如果 fine_conf_entity 表中不存在以下配置项,请手动添加。

        操作方法请参考:填报修改fine_conf_entity 。

        参数名
        参数作用建议参数值
        PluginFileValidateConfig.fileValidateOpen作用:本地安装/手动安装插件时,为了防止恶意篡改插件包中的代码,2021.11.24 及之后的版本,提供插件完整性校验功能。

        true:插件包完整性校验开启

        注意:开启后无法从页面上安装没有官方签名的插件。

        true
        SystemConfig.driverUpload作用:是否允许在驱动管理中上传驱动 JAR 包。该功能默认关闭。

        true:允许上传驱动 JAR 包。

        false

        5.3 删除插件

        参数配置完成后,需删除「fine_conf_entity可视化配置插件」。

        设计器插件删除方法参照 设计器插件管理 

        服务器安装删除方法参照 服务器插件管理



        附件列表


        主题: 部署集成
        • 有帮助
        • 没帮助
        • 只是浏览
        中文(简体)

        鼠标选中内容,快速反馈问题

        鼠标选中存在疑惑的内容,即可快速反馈问题,我们将会跟进处理。

        不再提示

        10s后关闭

        联系我们
        在线支持
        获取专业技术支持,快速帮助您解决问题
        工作日9:00-12:00,13:30-17:30在线
        页面反馈
        针对当前网页的建议、问题反馈
        售前咨询
        采购需求/获取报价/预约演示
        或拨打: 400-811-8890 转1
        qr
        热线电话
        咨询/故障救援热线:400-811-8890转2
        总裁办24H投诉:17312781526
        提交页面反馈
        仅适用于当前网页的意见收集,帆软产品问题请在 问答板块提问前往服务平台 获取技术支持