Debian上Filebeat的安全设置

Debian上Filebeat的安全设置

一 系统安装与最小权限

• 使用官方APT源安装并导入GPG公钥，保持软件来源可信：sudo apt update && sudo apt install filebeat；导入密钥示例：wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -。完成后执行 sudo systemctl enable --now filebeat 验证服务可用。
• 以最小权限运行：创建专用系统用户并收紧配置与日志目录权限，例如 sudo useradd -r -s /usr/sbin/nologin filebeat；sudo chown -R filebeat:filebeat /etc/filebeat /var/lib/filebeat /var/log/filebeat；sudo chmod -R 750 /etc/filebeat。
• 仅启用必要的模块与功能，禁用不需要的模块（如未使用的 system、nginx 等），降低攻击面；对输入路径采用精确匹配，避免采集敏感文件。

二 传输加密与认证

• 启用TLS/SSL加密传输：在 Filebeat 输出到 Elasticsearch 或 Logstash 时开启 ssl.enabled: true，并正确配置证书与密钥（如 ssl.certificate、ssl.key 或 ca_trusted_fingerprint），确保数据在传输过程中保密与完整。
• 使用强认证与最小权限账号：为 Filebeat 创建具有写入目标索引权限的专用角色（避免使用内置高权限账号），并在 filebeat.yml 中配置 username/password 或 API Key；若 Elasticsearch 启用 xpack.security，需两端同时开启并保持一致的安全域。
• 证书与信任链：生产环境优先使用由受信任CA签发的证书；自签名证书需将CA证书分发到所有 Filebeat 节点并配置为受信任。
• 示例（Elasticsearch 直连）：
  output.elasticsearch:
  hosts: [“es-secure.example.com:9200”]
  username: “filebeat_writer”
  password: “StrongPassword!”
  ssl.enabled: true
  ssl.certificate_authorities: [“/etc/ssl/certs/ca.crt”]
  ssl.verification_mode: certificate
  完成后重启服务并校验：sudo systemctl restart filebeat && sudo systemctl status filebeat。

三 网络与防火墙

• 最小化暴露面：将 Filebeat 与 Elasticsearch/Logstash 部署在受控网络或 VPC/VLAN 中，避免公网直连；仅开放必要端口。
• 主机防火墙：使用 iptables/ufw 限制访问，例如仅允许来自受控网段的 5044（Logstash/Beat协议）与 9200（Elasticsearch，若直连）访问；示例（ufw）：sudo ufw allow from 10.0.0.0/8 to any port 5044 proto tcp；sudo ufw enable。
• 服务绑定与监听：确保服务仅监听内网接口（如 network.host 绑定内网地址），并禁用未使用的输入插件与端口。

四 日志、密钥与运行监控

• 日志与审计：启用文件日志与轮转，限制保留天数与访问权限，便于审计与故障排查。示例：
  logging.level: info
  logging.to_files: true
  logging.files:
  path: /var/log/filebeat
  name: filebeat
  keepfiles: 7
  permissions: 0644
• 密钥与凭据管理：避免在代码中硬编码密码，优先使用安全的凭据存储（如 HashiCorp Vault、Kubernetes Secret 或文件权限受控的凭据文件），并在部署流程中注入。
• 运行监控与告警：启用 Filebeat 自身监控（如 xpack.monitoring 或指标导出），结合 Prometheus/Grafana 或 Elastic Stack 监控采集延迟、丢失率与异常重启等指标，并设置告警。

五 维护与合规

• 持续更新与补丁：定期执行 sudo apt update && sudo apt upgrade filebeat，及时修复已知漏洞；变更配置遵循灰度与回滚计划。
• 配置合规与审计：定期审查 filebeat.yml 与模块配置，禁用不必要功能（如 ILM、不必要的处理器），并对关键变更进行审计留痕。
• 基线检查清单：
  • 仅以 filebeat 系统用户运行，配置与日志目录权限为 750/640 或更严格；
  • 全部输出启用 TLS，证书由受信任CA签发或正确分发；
  • 防火墙仅放行必要端口与来源网段；
  • 启用日志轮转与保留策略，集中收集与告警；
  • 凭据集中管理，避免明文存放；
  • 持续更新与版本对齐（Filebeat 与 Elasticsearch/Kibana 版本兼容）。