A idéia de uma página de administração do Apache Tomcat exposta é ruim? Há algum outro risco de segurança associado a ele além da possibilidade de força bruta?
Eu certamente acho que é uma má ideia. Houve vários problemas de segurança encontrados no passado. Eu nunca iria executá-lo em um servidor de produção.
Em um sistema exposto, você quer minimizar a superfície de ataque e reduzir o número de coisas que você precisa assistir / corrigir vulnerabilidades conhecidas. Isso viola ambos os princípios.
Como afirmado pelo @TheFiddlerWins, é uma má ideia do ponto de vista da segurança. Quanto menos serviços expostos, menos oportunidades de comprometer o seu sistema.
Pense que existem toneladas de robôs tentando explicar os erros comuns que passam pelo seu servidor com frequência.
Gostaria apenas de expor com alguns cuidados, como:
Estamos todos de acordo em dizer que quanto menos superfície você expor, menos você estará vulnerável a ataques.
Expor amplamente uma página de administração de qualquer tipo é principalmente uma má ideia.
Expor seu aplicativo Tomcat é suficiente, não é necessário adicionar uma superfície de ataque adicional expondo sua página de administração do Tomcat!
Os ataques podem ser de múltiplos tipos e não apenas limitados a força bruta.
Você pode se expor a outros tipos como:
Se você realmente deseja expor esta página, considere implementar algum mecanismo de segurança, por exemplo:
Tags tomcat apache-2.2