CentOS 环境下 Golang 日志安全存储实践
一 安全原则与总体架构
- 采用结构化日志（如 zap、logrus），便于检索、脱敏与集中化；按环境区分日志级别（生产以 WARN/ERROR 为主）。
- 运行身份遵循最小权限原则：应用不以 root 运行；日志目录与文件仅对必要主体可读。
- 存储侧实施访问控制 + 完整性/机密性：目录与文件权限收敛，必要时对日志内容进行加密存储；对敏感字段进行脱敏。
- 生命周期管理：使用 logrotate 或 lumberjack 做轮转、压缩、保留；定期备份与异地归档。
- 可观测与审计：接入 ELK 或 Prometheus/Grafana 做实时监控与告警；开启 auditd 记录关键文件访问。
- 传输安全：日志在落盘前或传输链路中启用加密通道（如 TLS）。
二 文件系统与权限配置
- 目录与文件权限建议：日志目录 0755（root:adm 或应用专属组），日志文件 0640（仅属主与同组可读写），严禁 0666。
- 运行身份：创建专用系统用户（如 myapp）运行服务，避免使用 root。
- 示例（Go 创建目录与文件，权限收敛）：
- 目录：os.MkdirAll(“/var/log/myapp”, 0755)
- 文件：os.OpenFile(“/var/log/myapp/app.log”, O_CREATE|O_WRONLY|O_APPEND, 0640)
- 权限落地与校验：chown myapp:adm /var/log/myapp /var/log/myapp/*.log；定期用 ls -l 与 auditd 审计访问。
三 日志轮转与保留策略
- 使用系统级 logrotate（推荐）：/etc/logrotate.d/myapp
- 示例：
- /var/log/myapp/*.log {
- daily
- rotate 7
- compress
- delaycompress
- missingok
- notifempty
- create 0640 myapp adm
- sharedscripts
- postrotate
- systemctl reload myapp.service >/dev/null 2>&1 || true
- endscript
- }
- 调试：logrotate -d /etc/logrotate.d/myapp；确保 crond 正常调度（通常已内置每日执行）。
- 应用内轮转（备选）：使用 lumberjack.Logger（适合容器或无 systemd 场景）
- 示例：MaxSize 10 MB，MaxBackups 3，MaxAge 28 天，Compress true。
四 加密存储与密钥管理
- 传输加密：日志写入远程或集中收集器时，使用 TLS 加密通道（如 Fluentd/Logstash/Filebeat 到 ES 的链路）。
- 存储加密（按需）：
- 应用内加密写入：实现 io.Writer，写入前用 AES-256（如 CFB/CTR 模式）加密；注意随机 IV、密钥派生（如 PBKDF2/scrypt）与密钥托管。
- 外部加密归档：对已轮转的日志用 GPG 批量加密（gpg --encrypt --recipient user@example.com file.log），密钥集中托管在 KMS/HSM。
- 合规提示：加密会带来检索与性能开销；若需全文检索，优先采用“传输/落盘通道加密”，或“字段级脱敏 + 集中化加密存储”。
五 监控审计与备份恢复
- 实时监控与告警：接入 ELK（Elasticsearch/Logstash/Kibana）或 Prometheus/Grafana，对 ERROR 关键字、日志速率异常、磁盘占用设置告警。
- 审计与完整性：启用 auditd 监控 /var/log/myapp 的读写与重命名事件；定期校验日志一致性（如 sha256sum）。
- 备份与恢复：对归档/加密日志做定期备份（如 rsync/scp 到备份服务器或对象存储），并演练恢复流程；保留策略与合规要求对齐。