在 CentOS 上保护 Filebeat 中的用户隐私
一 传输加密与身份认证
- 启用 TLS/SSL 对输出通道加密，并开启 Elasticsearch X-Pack Security 的账号口令或证书认证，避免明文传输与越权访问。示例（输出到 Elasticsearch）：
- Filebeat 配置片段：
- output.elasticsearch:
- hosts: [“https://es.example.com:9200”]
- username: “filebeat_internal”
- password: “StrongPassw0rd!”
- ssl.enabled: true
- ssl.certificate_authorities: [“/etc/filebeat/certs/ca.crt”]
- ssl.verification_mode: certificate
- Elasticsearch 侧需启用安全：xpack.security.enabled: true，并配置 http/transport ssl 证书与权限。
- 若经由 Logstash 中转，同样在 Logstash 的 Beats 输入与 Elasticsearch 输出上启用 TLS/SSL 与认证，确保端到端加密与鉴权。
二 采集最小化与字段脱敏
- 采集最小化：仅启用必要的 inputs 与 modules，关闭不需要的模块与功能，减少意外采集到敏感数据的概率（如调试日志、内部接口细节等）。
- 字段脱敏与截断：在 Logstash 使用 grok、ruby 等过滤器对敏感字段进行掩码或替换，并对超长内容进行截断，降低泄露风险与存储/展示压力。示例（Ruby 正则掩码）：
- 思路：对如证件号、手机号等按“保留前n位+中间打码+保留后m位”的规则替换；对超长调试信息进行截断保留关键片段。
- 参考实践：在 Logstash filter 中使用 ruby 脚本对指定字段执行正则替换，实现“certNo、mobileNo”等敏感信息的脱敏。
三 文件与进程的最小权限
- 以 非 root 用户运行 Filebeat，使用专用的系统用户与组，遵循最小权限原则。
- 配置文件与密钥文件权限最小化：如 filebeat.yml 建议 600，证书与密钥 600 且仅属 filebeat 用户；证书目录 750。
- 系统加固：启用 SELinux 的适当策略（如日志读取相关域的允许规则），避免直接关闭；通过 firewalld 仅放通必要端口（如到 Logstash 5044/TCP 或到 Elasticsearch 的 9200/TCP）。
四 密钥与凭据的生命周期管理
- 使用 TLS 证书 而非静态口令进行节点间认证；为 Filebeat 创建 最小权限专用账号（如 filebeat_internal），并通过 角色/权限 控制其可写索引与可读范围。
- 证书集中管理、定期轮换；密钥与证书存储在受限目录，部署流程纳入 配置管理/自动化（如 Ansible），避免明文散落与长期不轮换。
五 快速加固清单
- 传输层：启用 TLS/SSL，开启 X-Pack Security 认证；禁用明文协议与端口。
- 采集层：仅启用必要 inputs/modules；在 Logstash 对 PII/PHI 字段脱敏、对超长内容截断。
- 主机层：以 非 root 运行；配置文件/证书 600；目录 750；启用 SELinux 细粒度策略；firewalld 仅放通 5044/9200。
- 运维层：定期 更新 Filebeat 与依赖；审计配置与访问；为证书与凭据设置 轮换周期 与应急撤销流程。