Debian JS日志如何审计

Debian JS日志审计实操指南

一 审计目标与总体架构

• 明确审计范围：前端 JS 异常、Node.js 服务日志、Web 服务器访问与错误日志（如 Nginx/Apache）、以及系统日志（journald/rsyslog）。
• 建立采集链路：应用日志统一输出到 /var/log/（或应用目录），通过 rsyslog/syslog-ng 集中；Node.js 可使用 winston-syslog/bunyan-syslog 写入系统日志；前端异常通过 Sentry/Loggly/Papertrail 等上报。
• 保障完整性与可追溯：启用 auditd 对日志文件做写入/读取/属性变更审计；配置 logrotate 控制保留周期与压缩；必要时对归档日志进行 GPG 加密与异地备份。

二 日志采集与规范化

• 系统与服务日志
  • 使用 rsyslog 集中管理：安装并配置 /etc/rsyslog.conf 或 /etc/rsyslog.d/ 下的配置；为日志文件设置权限 640（仅 root 与 syslog 可读写）；通过 journalctl -u <service_name> 查询服务日志。
• Node.js 应用日志
  • 使用结构化日志库（如 Winston/Bunyan），统一包含 timestamp、level、message、trace_id 等字段；将日志写入 /var/log/myapp/ 并通过 winston-syslog 发送到系统日志，便于集中审计与检索。
• 前端与浏览器日志
  • 前端异常使用 Sentry 等 SDK 上报；开发阶段使用 Chrome DevTools 控制台定位错误；服务端仅记录必要的访问与错误摘要，避免记录敏感信息。
• Web 服务器日志
  • Nginx/Apache 默认写入 /var/log/nginx/ 或 /var/log/apache2/；确保访问日志与错误日志均纳入审计范围。

三 存储轮转与完整性保护

• 日志轮转
  • 为应用日志创建 /etc/logrotate.d/jslogs：设置 daily、rotate 7、compress、missingok、notifempty，并在 postrotate 触发 rsyslog 重新打开日志文件，避免句柄丢失。
• 文件权限与隔离
  • 日志目录与文件权限建议 750/640，属主 root:adm 或 root:syslog；将应用日志与系统日志分区存放，减少相互影响。
• 完整性审计
  • 使用 auditd 监控日志目录：例如执行 sudo auditctl -w /var/log/js/ -p wa -k js_log_access 记录写入与属性更改；必要时审计读取操作（如 -p rwa）。
• 加密与备份
  • 归档或离线存储时对日志进行 GPG 对称加密（如 AES256）；定期用 rsync 将日志同步至 /backup/js/ 或其他安全存储。

四 检索分析与异常监控

• 命令行快速检索
  • 实时查看：tail -f /var/log/myapp/app.log；关键词定位：grep -i “ERROR|Exception” /var/log/；结构化日志用 jq 解析；按时间窗口统计可用 awk。
• 可视化与聚合
  • 小规模用 GoAccess 分析 Nginx/Apache 访问日志并生成 HTML/JSON 报告；中大规模建议 ELK Stack（Elasticsearch/Logstash/Kibana） 或 Graylog 做集中存储、检索、可视化与仪表板。
• 异常监控与告警
  • 在 ELK 或 Splunk 中配置阈值与规则（如 ERROR 激增、5xx 比例异常、登录失败暴增）；结合 Prometheus/Grafana 或 Nagios 发送告警（邮件/企业微信/钉钉/Slack）。

五 自动化审计与合规落地

• 自动化分析脚本
  • 用 Node.js/Python 编写解析脚本，抽取 ERROR/WARN、统计 Top N 错误、关联 trace_id；通过 cron 定时运行并将结果写入审计报表或发送告警。
• 审计策略与留痕
  • 制定日志保留周期（如 ≥90 天 在线、≥1 年 归档）、访问授权清单、加密与备份策略；定期抽检 auditd 日志（如 ausearch -k js_log_access）验证是否有未授权访问或篡改。
• 合规要点
  • 避免记录 密码、令牌、身份证号 等敏感信息；确保日志链路 端到端可追溯（请求 ID、用户 ID、源 IP、时间戳一致）；对外部上报（如 Sentry）启用最小权限与访问控制。