Serverタグは、server.xmlファイルのトップレベル要素です。
Tomcat起動時のJVMに常駐するTomcatサーバーの実態クラスを宣言し、その実態クラスを停止するためのIPアドレスとポート番号を指定します。
表記説明：必須可否欄 〇：必須 -：任意
| 属性 | 必須可否 | 未指定時の デフォルト値 |
初期設定値 | 説明 |
|---|---|---|---|---|
| className | - | org.apache.catalina.core. StandardServer |
未指定 | Tomcat起動時のJVMに常駐するTomcatサーバーの実態クラス。 Tomcatのソースファイルに存在するorg.apache.catalina.Serverインターフェイスを継承して独自サーバーを構築することも可能です。 |
| address | - | localhost | 未指定 | このサーバーがシャットダウンコマンドを待つTCP / IPアドレス。 |
| port | - | 8005 | 8005 | このサーバーがシャットダウン・コマンドを待つTCP / IPポート番号。 シャットダウンポートを無効にするには、-1に設定します。 シャットダウンポートを無効にするには、Apache Commons Daemon（Windowsではサービスとして、un * xesではjsvcとして実行）を使用してTomcatを起動する必要があります。 しかし、標準のシェル・スクリプトを使用してTomcatを実行すると、shutdown.bat | .shおよびcatalina.bat | .shが正常に停止することはありません。 |
| shutdown | - | SHUTDOWN | SHUTDOWN | Tomcatサーバーを停止するために、指定されたポート番号へのTCP/IP接続から送信する停止要求用の文字列 |
Serverタグのport属性とshutdown属性がTomcatサーバーのセキュリティに重要な設定だとご理解頂けたと思います。
では、このデフォルト値のままの運用ではセキュリティリスクが高いから変えた方が良いかという議論についてです。
この２つの値を変更するだけでは本質的なセキュリティ対策になっていません。
デフォルト値で突破されるネットワーク、サーバー構成であれば元々脆弱なセキュリティと言えます。
サーバ構成、ネットワーク構成のセキュリテイ要件における設計において、
Webサーバ、Tomcatサーバ、ネットワーク機器側のiptables又はファイアウォール等の設定でTCP/IPの経路、許可するプロトコル、許可するポートを
限定(Webサーバー経路では8005を拒否、Connectorタグで指定したport[http]のみ許可)することでセキュリティを高めることができます。