在默认的情况下，验证码将会在失败登录次数达到的时候显示。 如果为登录失败编辑，禁用和配置验证码： 在屏幕的右上角单击 控制台按钮 ，然后选择 General Configuration 链接。 在左侧面板中选择 安全配置（Security Configuration） 选择 编辑（Edit） 希望启用验证码： 在 登录启用验证码（CAPTCHA on login）边上的选择框中选择 启用（Enable）。 在 最大允许授权失败尝试次数（Maximum Authentication Attempts Allowed）的输入框中输入数字，这个数字必须大于 0。 希望 禁用（disable）验证码，取消选择 启用（Enable）的选择框。 选择 保存（Save）。 屏幕截图：为登录失败配置验证码 备注 禁用所有密码配置请求，包括在登录中使用验证码。 Confluence 安装的允许自动用户授权功能可能在 Confluence 安全策略和密码确定中互道影响。在必要的情况下，你可以在管理员操作，修改电子邮件地址和对错误登录尝试来设置密码，确认，禁用系统属性来正确的禁用密码确定功能。请参考Recognized System Properties 页面中的内容。 https://www.cwiki.us/display/CONF6ZH/Configuring+Captcha+for+Failed+Logins
如果你具有 Confluence 管理员的权限，你可以限制 Confluence 登录失败的最大尝试次数。在给予最大登录失败尝试（默认为 3 次）次数后，Confluence 将会在用户进行再次尝试的时候显示验证码输入框。这个能够避免用户通过登录页面进行密码暴利破解。 同样的，在 3 次错误尝试的 XML-RPC 或者 SOAP API，一个错误的信息将会发送给用户，提示用户通过页面进行再次登录。验证码将会在用户通过 Web 页面尝试登录的时候自动显示。 验证码（Captcha）是一个测试小程序来用于自动区分用户或者机器（比如说 robot 或 spider）。当验证码被启用后，用户将会看到下面随机的图片中的文字，然后用户必须将文字输入到文本框中随着表单同时提交。这个内容能够很容易的被人类阅读，但是很难被机器识别。 屏幕截图：一个验证码测试示例 https://www.cwiki.us/display/CONF6ZH/Configuring+Captcha+for+Failed+Logins
为搜索引擎隐藏外部链接能够避免向你的站点添加垃圾信息。如果你启用了这个选项的话，任何插入到页面中的 URLs 和评论将会赋予 'nofollow' 属性，这个属性将会禁止搜索引擎进行索引。 快捷链接（例如，CONF-2622@JIRA）和 Confluence 中的内部链接将不会受这个配置的影响。 为搜索引擎隐藏外部链接： 在屏幕的右上角单击 控制台按钮 ，然后选择 General Configuration 链接。 在左侧面板中选择 安全配置（Security Configuration）。 界面将会显示 安全配置（Security Configuration）界面，然后单击 编辑（Edit）。 选择 为搜索引擎隐藏外部链接（Hide External Links From Search Engines）的选择框。 单击 保存按钮（Save）。 Background to the nofollow attribute 在 WIKI 和博客（Confluence 是 Wiki 和博客）与垃圾内容的战斗中，Google 提供了一些有关链接指南让搜索引擎不对连接进行索引，请参考 Google 的页面：http://googleblog.blogspot.com/2005/01/preventing-comment-spam.html。通过不在 Wiki 垃圾内容中提供一些特定的功能能够让垃圾内容的提供者不再是免费的随意发布垃圾内容，希望能够最终阻止 Confluence 中的垃圾内容。 https://www.cwiki.us/display/CONF6ZH/Hiding+External+Links+From+Search+Engines
如果你的 Confluence 站点是对公众开放的（允许匿名用户使用，添加评论，创建页面等），你可能会发现你的站点会被自动创建很多垃圾页面，评论或者其他垃圾内容。 你可以配置让 Confluence 通过确定添加内容的人为真正的用户而不是机器来确定内容是否是垃圾内容： 创建一个账户 添加一个评论 创建一个页面 编辑一个界面 向 Confluence 管理员发送请求 验证码（Captcha）是一个测试小程序来用于自动区分用户或者机器（比如说 robot 或 spider）。当验证码被启用后，用户将会看到下面随机的图片中的文字，然后用户必须将文字输入到文本框中随着表单同时提交。 屏幕截图：验证码测试示例 在默认情况下验证码是禁用的。当启用后，默认的配置是紧急针对匿名用户在对页面进行编辑和创建的时候需要使用验证码进行校验。你可以为所有用户选择使用验证码，你也可以直为一个特定的用户组选择启用验证码。 你需要具有系统管理员权限来配置验证码，来帮助 Confluence 防止垃圾内容。 如何在 Confluence 启用验证码来防止垃圾： 在屏幕的右上角单击 控制台按钮 ，然后选择 General Configuration 链接。 在左侧的面板中选择 垃圾防止（Spam Prevention）。 在 Captcha 中选择 启用（ON）。 如果你希望为一些特定的用户组禁用验证码： 如果你希望任何人都需要使用验证码，选择 没有人（No one）。 如果你希望只是匿名用户需要使用验证码，选择 已登录的用户（Signed in users）。 如果你希望除了只是特定的用户不需要看到验证码，选择 下面用户组的成员（Members of the following groups），然后在文本框中输入用户组的名字。 你可以选择放大镜图标来查找用户组。搜索所有或者部分用户组的名字，然后单击 选择用户组（Select Groups）按钮添加一个或者多个用户组到列表中。 希望从用户组列表中移除，删除用户组的名字就可以了。 选择 保存（Save） https://www.cwiki.us/display/CONF6ZH/Configuring+Captcha+for+Spam+Prevention
人员目录提供了你 Confluence 中所有用户的列表。 如果你希望禁用人员目录，请在你应用程序命令行中的 Configuring System Properties 进行设置。 希望为匿名用户禁用人员目录。 -Dconfluence.disable.peopledirectory.anonymous=true 完全禁用人员目录： -Dconfluence.disable.peopledirectory.all=true 这个配置将会禁止人员目录在主面板中进行显示，但是如果你导航到用户的属性页面，然后单击 "People" 链接（Dashboard >> People >> FullName >> Profile）或者你使用 URL <CONFLUENCE_INSTALL>/browsepeople.action 直接进入，你还是能访问人员目录的。 为了避免这个操作，你可以考虑在 Apache web 服务器上设置重定向这个 URL。 https://www.cwiki.us/display/CONF6ZH/Hiding+the+People+Directory
让一个系统能够变得更加坚固的最好办法是将系统独立出来。请参考你公司的安全管理策略和相关人员来找到你公司应该采用何种安全策略。这里有很多事情需要我们考虑，例如考虑如何安装我们的操作系统，应用服务器，数据库服务器，网络，防火墙，路由等。 这里我们有可能对这些配置进行一些基本的描述。 这个页面中的安全配置是基于我们已知情况下的最好配置了。 配置 Web 服务器 请参考有关系统管理员中的下面有关的信息： 配置 Apache 服务器来限制相关页面只有需要管理员权限的用户才能进行访问：Using Apache to limit access to the Confluence administration interface。Confluence Security. 如何降低风险和暴利攻击：Using Fail2Ban to limit login attemptsHow to reduce the risk of brute force attacks: Best Practices for Configuring Confluence Security. 配置应用服务器 请参考下面有关应用服务器级别的系统管理员指南： Tomcat security best practices 配置应用 有关如何你在 Confluence 设置角色，权限和过程的方法将会对 Confluence 产生很大的影响，不同的设置导致的安全结果也是不同的。 下面是有关一些 Confluence 特定的内容需要考虑的。没有任何安全设置都能够保证 100% 的安全的。这些安全策略被用来降低安全攻击对你系统产生的影响而让你系统能够更好的持续运行。 保持 Confluence 中只有少数用户具有管理员权限。基本上来说越少越好。例如，最多不要超过 3 个系统管理员。 同样的，限制具有较高权限的和用户组中的用户数量。如果只有一个部分应该访问敏感数据的话，那么限制这个敏感部门的用户数量。不要为了方便而不为这些用户设置特定的安全策略。不要给不需要访问敏感数据的用户的访问权限。 管理用户应该针对他们的管理员级别不同设置有不同的 Confluence 账号，这个账号应该与这些用户每天都使用的账号区分开来。如果John Doe 是一个系统管理员的话，他应该有一根常规的用户账号，这个账号不应该具有管理员权限来让他进行每天的工作（例如在 WIKI 写页面等）。这个账号可能被设置为 'john.doe' account。同时，这个用户应该还有一个完全不同的账号（这个账号应该不容易被外界随便猜测出来，甚至都不应该使用他规则的名字）来进行管理员相关的操作。这个账号可能为'jane smith' – 使用这个名字为一个假的名字，外界甚至没有办法猜测这个名字。这种设置的好处是，如果攻击者获得了 John Doe 的所有信息，包括 John Doe 的密码（可能是从 John Doe 的个人账号中偷出来的），但是攻击者没有办法确定管理员用户的用户名，因此攻击者也还是不能登录管理员系统进系统相关的操作。 限制管理员操作只有你才可以做。如果你不需要你的管理员在公司外部的网络进行进行任何管理操作的话，你可以限制管理员操作的界面只要特定的 IP 地址才能访问管理员界面中的的配置信息。请参考页面 Using Apache to limit access to the Confluence administration interface 中的内容进行配置。 当员工进行离职的时候，你需要创建公司员工的离职策略，并形成文字。 按时进行安全审查。了解当系统被攻击的时候，谁可以帮助你解决问题。进行 ‘如果这样了’ 我们应该进行如何操作的议题。（当用户在外出度假的时候密码被偷窃了，我们最糟糕的情况将会面临什么？我们将如何减少损失？）。 请确定你的 Confluence 数据库用户（和所有数据源的用户）具有只他们需要的权限，不要大范围赋权。 监控你的文件系统中的文件。如果一个攻击者希望获得你系统中的用户信息，他们通常会尝试获得多个账号的访问权限。有时候这个通过添加恶意代码来实现的，比如通过修改你文件系统中的文件。对你操作系统上的文件，可以考虑运行常规的校验来确定没有恶意代码被添加到你文静系统中。 其他需要小心考虑的地方： 按时对上面描述的内容进行监控。很多事情在开始的时候可能没有问题，但是随着时间的进展，可能会导致问题恶化： 一个系统在开始的时候确实只有 3 个系统管理员，但是随着时间的推移和变化同时也没有人对系统管理员数量进行控制的话，一年后可能系统中有 30 个管理员了。 Apache 的管理员的限制可能在系统开始的时候是正确安装限制的，但是随着系统进行了多次升级后，我们可能忘了更新 Apache 的安全访问策略了。 再次说明的是，上面的所有安全配置可能不是所有你需要设置的安全信息和功能，安全设置与你系统安全的需求还是有很大关系的。同时，请注意没有人能够在安全上能够进行完全的保证。我们只能让攻击变得更加困难，我们好有足够的时间修复我们发现的问题。 https://www.cwiki.us/display/CONF6ZH/Best+Practices+for+Configuring+Confluence+Security
一个外部参考的意思是任何站点链接到你 Confluence 的实例。任何时候当 Confluence 的用户单击这个外部链接的时候，Confluence 可以记录这次单击为参考。 在默认的情况下，外部链接的参考链接在页面的 信息（Info）下面的 热点参考（Hot Referrers）下面。Confluence 显示最多 10 个参考链接。如果你的页面中有超过 10 个 链接，那么 Confluence 只会显示点击率最高的 10 个。 请注意，你不需要启用方向跟踪功能来查看外部参考。这个功能是默认就在页面中启用的。 屏幕截图：页面信息界面下的热点参考。 限制外部参考 Confluence 管理员可以取消外部参考来避免在你的 Confluence 站点中记录和显示。一旦你已经指定了阻止的 URLs，任何从满足你指定条件进来的 URL 将不会被记录。 参考 URL 连接将会被阻止，如果你的 URL 满足开头的字符串匹配的话。因此， http://evilspamsite.blogspot.com 同时也会匹配 http://evilspamsite.blogspot.com/nastypage.html 你可能希望在下面的场景中启用这个功能： 你安装的 Confluence 是能够允许公众访问的 在你允许公众访问的 Confluence 站点中，恶意网站可以使用垃圾技术来增加页面的连接显示次数，这个通常是通过站点边栏的 URL 来实现的。通过添加这些站点到 '限制的参考' 列表来禁止这些站点中的内容列出到你站点上。 Confluence 安装在一台服务器上，但是有多个域名或 IP 地址 Confluence 将会考虑任何原始 URL 的域名当 Confluence 以外部链接的方式安装的时候。然而，当一个 Confluence 实例安装在一台服务器上，但是这个服务器又具有多个 IP 地址和域名的时候，你需要添加其他的域名的前缀来让 Confluence 了解任何从这些域名来的链接是安全的，不需要添加到限制的链接中。 希望添加 URL 到限制的链接参考列表： 进入 > 基本配置（General Configuration） > 管理参考（Manage Referrers） 在 参考 URL 前缀（Referrer URL Prefix ）字段中输入 URL（你必须以 http:// 开头） 选择 添加（Add） 你可以在列表中添加多个 URL。 隐藏外部参考 在默认的情况下，Confluence 列表中的外部参考显示为热点链接（Hot Referrers），这个链接在页面的信息界面下面。如果你关闭这个选项，外部链接参考将不会显示在页面信息下面。 希望隐藏外部参考： 进入 > 基本配置（General Configuration） > 管理参考（Manage Referrers）。 取消选择 显示参考页面信息（Show Referrers in Page Info）。 屏幕截图：管理外部参考 忽略外部参考 An external referrer is any site that links to your Confluence instance. Each time someone clicks on the external link, your Confluence site can record the click as a referral. By default, Confluence records the number of hits made to a page from any link on an external site. If you turn this option off, Confluence will not record the hits. 如果忽略外部参考： 进入 > 基本配置（General Configuration） > 管理参考（Manage Referrers） 取消选择记录外部参考（Record External Referrers） 屏幕截图：管理外部参考 https://www.cwiki.us/display/CONF6ZH/Trackback+and+External+Referrers
当反向跟踪（Trackback ）被启用后，在任何你链接到可用启用自动发现功能的外部页面中，Confluence 将会自动发送一个方向跟踪 ping，这个 ping 能通知链接的页面有了内容改变。 Confluence 页面同时也支持 Trackback Autodiscovery，当然你需要在启用反向跟踪以后才可以。你可以可以让你的 Confluence 页面接受其他页面的更新。 希望启用反向跟踪： 进入 > 基本配置（General Configuration） > 更多配置（Further Configuration） 选择 编辑（Edit） 然后选择 反向跟踪（Trackback ）前面的选择框，然后单击 保存（Save）。 https://www.cwiki.us/display/CONF6ZH/Trackback+and+External+Referrers
什么是 Fail2Ban？ 我们需要在我们网站中防止密码的暴利破解。Fail2Ban 是一个 Python 的应用来查看日志文件，使用的是正则表达式，同时还可以与Shorewall （或者 iptables）直接工作来来启用临时黑名单。当一定的密码破解规则被使用后，就可以使用上面的方法了。我们可以用这个来限制给定的 URL 来访问 Confluence 的登录界面的次数。 安装要求 需要 Python 2.4 或者更新的版本。 需要指定下面的特定文档，这意味着你的 Apache 实例需要登录你的 Confluence 才能访问一个已知的日志文件（logfile）。你需要按照下面的要求正确调整配置。 如何设置 本列表是安装的核心部分： 针对 RHEL 我们有 RPM 是可以按照的，请进入下载页面，同时你还可以下载源代码收手动进行安装。 配置文件在 /etc/fail2ban 在原始状态下，默认的配置文件在 .conf 文件（fail2ban.conf 和 jail.conf）。请不要对这个进行修改，如果你进行修改的话，将会导致升级的时候困难。 在 .local 文件中对配置进行修改，这个将会与 .conf 文件中的配置进行合并。这个文件只会对你需要的修改部分进行修改，能够让你的维护更加容易和简单。 过滤器（Filters）在 filter.d 中进行定义 — 在这里这里，你可以定义正则表达式，每个正则表达式进入自己的文件。 Actions 在 action.d 文件中定义 — 你可能不需要添加一个，但是你知道在那里进行定义的能够帮你更好的找到问题。 "jails" 是配置单元，这个配置单元用来指定一个进行检查的正则表达式，当线程达到数量后，更多的 actions 将会被启动，这个是在线程中配置的（例如，在 60 秒钟，超过 3 次的满足正则表达式条件的地址，将会被禁止访问 600 秒） Jails 是在 jail.conf and jail.local 中定义的。不要忘记了为每一个都启动设置 — 这个有可能导致错误的启用，正确的却没有启用。 运行 Fail2Ban 使用 /etc/init.d/fail2ban {start|stop|status} 来进行进程相关的操作 使用 fail2ban-client -d 来导出当前的配置到 STDOUT。在你对问题进行查看的时候，这个就非常有帮助。 请注意 CPU 的使用。尽管可能你使用了非常简单的正则表达式，也有可能会导致 CPU 的使用飙升，如果你的站点的访问量比较大的话。 日志可以日志到 syslog 或者一个文件，你可以选择哪种方式更加适合你。 通用配置 jail.local # The DEFAULT allows a global definition of the options. They can be override # in each jail afterwards. [DEFAULT] # "ignoreip" can be an IP address, a CIDR mask or a DNS host. Fail2ban will not # ban a host which matches an address in this list. Several addresses can be # defined using space separator. # ignoreip = <space-separated list of IPs> # "bantime" is the number of seconds that a host is banned. bantime = 600 # A host is banned if it has generated "maxretry" during the last "findtime" # seconds. findtime = 60 # "maxretry" is the number of failures before a host get banned. maxretry = 3 [ssh-iptables] enabled = false [apache-shorewall] enabled = true filter = cac-login action = shorewall logpath = /var/log/httpd/confluence-access.log bantime = 600 maxretry = 3 findtime = 60 backend = polling Confluence 的配置 下面仅仅被用来作为示例，你需要根据你的站点调整。 filter.d/confluence-login.conf [Definition] failregex = <HOST>.*"GET /login.action ignoreregex = https://www.cwiki.us/display/CONF6ZH/Using+Fail2Ban+to+limit+login+attempts
其他 Confluence 的 cookies 针对 Confluence 的功能，我们还使用了其他的一些 cookies 来存储基本的 产品持久性（product presentation）。Confluence 的用户授权信息不会存储到这些 cookies 中。 Cookie Key 目的（Purpose） Cookie 内容（Cookie Contents） 过期（Expiry） confluence.list.pages.cookie 在列表页面（list pages）中，记住用户最后选择的标签页（tab）。 用户最后选择标签页的名字。例如，list-content-tree 页面最后设置和访问后的 1 年。 confluence.browse.space.cookie 记住用户在 浏览器空间（browse space）部分最后选择的标签页（tab）。 最后选择的标签页的名字。例如， space-pages 页面最后设置和访问后的 1 年。 confluence-language 在用户登录界面中，记住用户选择的语言。这个 cookie 相关的特性允许用户从登录界面（不仅仅是这个地方）修改 Confluence 的语言。当用户浏览器显示的语言与用户希望的语言不一致的时候。 用户选择语言的地理标识。例如，de_DE 页面最后设置和访问后的 360 天。 AJS.conglomerate.cookie 跟踪最后打开或者关闭的通用标签或者表达式元素。 一个或者多个 key-value 字符串将会存储在这里，用来标记最后打开或者关闭的通用标签或者表达式元素 页面最后设置和访问后的 1 年。 备注 自动完成（autocomplete）是浏览器提供的一个文本字段功能（通常在你登录 Confluence 的时候你就能感觉到）。这个特性是浏览器的特性，不是 Confluence 提供的功能。Confluence 不能启用或者禁用浏览器的文本字符串自动完成功能，通常这个是通过浏览器的设置进行修改的。 https://www.cwiki.us/display/CONF6ZH/Confluence+Cookies