Ubuntu 上 Filebeat 的安全配置清单
一 身份与权限最小化
- 创建专用的非特权系统用户与组（禁止登录、无家目录），仅授予读取日志与必要目录的权限；将 Filebeat 配置与日志目录的所有者设为该用户，权限收紧到仅属主与属组可读写。示例：
- 创建用户：sudo useradd filebeat -r -M -s /usr/sbin/nologin
- 配置文件权限：sudo chown filebeat:filebeat /etc/filebeat/filebeat.yml && sudo chmod 640 /etc/filebeat/filebeat.yml
- 日志目录权限：sudo chown -R filebeat:filebeat /var/log/filebeat
- 若系统启用 AppArmor/SELinux，为 Filebeat 配置最小权限的 profile，仅允许访问采集路径、证书目录与日志目录，避免越权访问其他敏感文件。
二 传输加密与认证
- 启用 TLS 双向认证（mTLS）保护到 Elasticsearch 或 Logstash 的链路，配置 CA、客户端证书与私钥，并开启证书校验：
- 示例（输出到 ES，开启证书校验与双向认证）：
- output.elasticsearch:
- hosts: [“https://es.example.com:9200”]
- ssl.enabled: true
- ssl.verification_mode: certificate
- ssl.certificate_authorities: [“/etc/filebeat/certs/ca.crt”]
- ssl.certificate: “/etc/filebeat/certs/client.crt”
- ssl.key: “/etc/filebeat/certs/client.key”
- 若经由 Logstash 转发，同样在 Logstash 的 Beats 输入启用 TLS，Filebeat 侧配置 output.logstash 使用 https 与证书。
- 证书生成要点（示例）：
- 生成 CA：openssl req -x509 -newkey rsa:4096 -keyout ca.key -out ca.crt -days 3650 -nodes -subj “/CN=YourCA”
- 生成客户端证书：openssl req -newkey rsa:4096 -keyout client.key -out client.csr -nodes -subj “/CN=filebeat_client”
- 签发客户端证书：openssl x509 -req -in client.csr -CA ca.crt -CAkey ca.key -CAcreateserial -out client.crt -days 3650
- 若输出到启用安全特性的 Elasticsearch，需配置用户名/密码或 API Key，并开启 HTTPS：
- output.elasticsearch:
- hosts: [“https://es.example.com:9200”]
- username: “filebeat_writer”
- password: “<strong_password>”
- ssl.enabled: true
- ssl.verification_mode: certificate
- ssl.certificate_authorities: [“/etc/filebeat/certs/ca.crt”]
- 网络层加固：仅允许 Filebeat 所在主机与受控网段访问 9200/5044 等端口（UFW/iptables 白名单）。
三 输入与数据处理最小化
- 仅采集必要的日志路径与事件类型，禁用不需要的模块与输入；在 filebeat.inputs 中明确 include/exclude 规则，减少攻击面与数据泄露风险。
- 谨慎使用处理器（processors）：仅启用必要的 add_host_metadata / add_cloud_metadata 等；避免将敏感字段明文输出，必要时在处理器中进行脱敏或哈希处理。
四 运行环境与系统加固
- 保持 Filebeat 与依赖组件为最新稳定版本，及时修补漏洞；启用系统服务的安全选项（如 systemd 的 ProtectKernelTunables、RestrictAddressFamilies 等），并限制容器/命名空间逃逸风险。
- 启用 Seccomp 与 Linux 能力（Capabilities） 的最小权限策略，避免以 root 运行；如运行在 glibc ≥ 2.35 且早期版本 Filebeat 出现 seccomp 报错，优先升级版本（如 ≥7.17.2 已修复相关 syscall 问题），而非直接关闭 seccomp。
五 运维与审计
- 配置 logrotate 对 Filebeat 日志进行轮转与压缩，限制保留天数，防止日志被篡改或占满磁盘；示例（/etc/logrotate.d/filebeat）：
- /var/log/filebeat/*.log {
- daily
- missingok
- rotate 7
- compress
- notifempty
- create 640 filebeat filebeat
- }
- 集中监控 Filebeat 自身状态与日志（如通过 systemd journal、Elastic Stack 监控），对异常重启、连接失败、证书即将过期等告警；定期审计配置与证书有效期，执行最小权限复核与密钥轮换。