【泛微ecology】做好系统备份及各项安全工作

1、请务必做好程序、文件存储和数据库的定期、异地、异介质备份。
2、请务必做好服务器系统密码及用户密码复杂度检查和设置，避免暴力破解。
3、请在非使用期间，关闭服务器操作系统的远程桌面。
4、请务必做好各操作系统的安全更新，保障服务器安全。
5、请务必按照建议做好泛微系统平台的安全加固工作。

一、服务器安全
1、服务器口令加固
服务器账号口令必须是强口令，长度至少16位，且同时包含大小写字母、数字、特殊字符，且在键盘上无明显输入规律。
2、端口开放加固
仅开放必要的端口到互联网，减少攻击面。泛微系统各产品需要开放互联网的默认端口（根据实际使用的端口替换）如下：

3、防病毒软件安装
1)针对windows系统，建议部署防病毒软件，如果没有商业防病毒软件，可以使用免费的防病毒软件，免费杀毒软件推荐火绒。
2)针对linux系统，没有比较好的免费防病毒软件，有条件可以采购商业软件，如深信服的EDR等安全软件。
4、超级管理员账号安全
1)针对windows系统，建议将administrator进行重命名，修改为不易猜测的名字。修改方法可参考以下链接：重命名administrator账号
2)针对linux系统，建议禁止root账号的远程登录权限。新建一个其他账号替代。加固方案可参考以下链接：Root账号安全加固
5、禁用服务器自带的远程登录功能
1)针对windows，请禁止外网远程桌面（默认为3389端口）功能。
2)针对linux，禁止外网直接登录服务器的功能（默认为22端口）。
6、数据库服务器应禁止互联网访问且禁止服务器访问互联网
7、定期更新操作系统补丁

二、网络安全
1、启用WAF防火墙监控模式
如果有WAF设备，或者采购了云WAF，建议接入OA防护，启用监控模式。（拦截模式可能影响系统功能，需谨慎开启）。
2、分离部署
基本要求：
应用和数据库分离部署
Ecology和其他产品分离部署
增强要求：
EMobile、云桥、emessage、微搜均分离部署。
3、服务启动账号要求
建议使用非root和非system账号运行系统。采用新建的低权限账号运行系统。
4、数据库账号使用非DBA权限
5、外网部署https访问
开通外网访问的应用，应申请域名和https证书并部署https访问，防护传输过程中的数据安全性。
6、应禁止通过外网IP的方式访问系统
应禁止使用服务器外网IP的方式访问系统，应仅允许通过域名和内网IP的方式访问。方案如下（二选一）
方案一：通过防火墙方式进行限制
方案二：通过应用自带的host白名单方式进行限制，具体操作步骤如下：

7、增强型部署要求
有条件的情况下，建议部署vpn方式进行系统访问，可规避直接暴露互联网，大大降低攻击面。

三、应用安全
1、账号安全
基本要求：
开启密码复杂度策略：密码长度至少8位，且包含字母、数字、特殊字符，密码不能有明显的输入规律。
应启用账号锁定和登录验证码策略，用于防范暴力破解攻击。
应避免使用弱口令作为初始密码
移动端应启用设备绑定机制（在EMobile管理后台的安全策略中启用）
启用登录密码加密传输功能（E8满足8.100.0531+KB81001711及以上版本，E9全版本支持）
启用方法：修改/ecology/WEB-INF/prop/openRSA.properties文件（如果不存在，则新建此文件），将其中的isrsaopen的值改为1，重启服务即可。

增强型要求：
建议启用双因子认证。比如启用动态短信或者动态令牌策略。
对于关键账号，如管理员账号，强烈建议开启双因子认证。
2、产品补丁升级（非常重要）
及时关注泛微官方安全邮件，及时升级系统安全补丁。
E8及以上版本安全补丁包 （含E9）
链接：https://pan.baidu.com/s/1_EurfMtzJsCj-JEa2A8yoQ
提取码：ptkm
3、安全巡检（针对ecology）
升级补丁后请sysadmin账号登录ecology系统访问以下页面巡检：
弱密码检测访问：OA地址/wui/weak.jsp 系统弱密码破解后，可有效扩大攻击面，强烈建议修改弱密码，sysadmin密码务必使用大写字母数字外加字符，系统后台开启复杂验证码，密码锁定策略。
后门文件检测访问：OA地址/wui/checkFile.jsp若检测出可疑文件，请携带可疑文件与文件路径登录云平台提安全流程鉴别。
安全项检测访问：OA地址/wui/secCheck.jsp均为基础项，建议全部开启。
4、日志记录
务必开启Access日志，并且确保记录了请求状态码。目的是便于事件排查。
5、数据安全
务必定期做好核心数据（数据库、附件）的异地备份
如果系统部署在云平台，请咨询云平台是否有镜像备份模式，如果有，建议启用韵镜象备份，便于数据恢复和备份。

四、事件溯源
当出现攻击事件后，请第一时间按照如下方式处理，同时为了便于快速定位问题请收集如下资料反馈给到泛微客服、项目或技术人员。
第一步：第一时间断开服务器网络
第二步：攻击事件的现象描述
防火墙告警截图
后门文件的位置、时间信息
被攻击系统的访问地址（外网、内网）
第三步：被攻击系统的日志