CentOS 中 /var/log/messages 的权限与合规要求
一 基本安全基线
- 文件属主与权限：保持属主为 root，仅允许受控的运维/审计组写入，其他用户只读。常见做法为：将日志文件设置为 640（root:logadmin），或将日志目录设置为 755（root:root） 并对日志文件单独设置 640，以兼顾安全与日志写入需求。示例：chown root:logadmin /var/log/messages；chmod 640 /var/log/messages。
- 扩展属性防护：为日志文件设置不可变属性 i 或仅追加属性 a，可防止被截断或篡改。示例：chattr +i /var/log/messages（或 chattr +a 仅允许追加）。变更前用 lsattr 检查，变更后用 lsattr 复核。
- 父目录约束：文件能否被删除/重命名由父目录权限决定。若需防止日志文件被删除，应同时收紧 /var/log 目录的写权限（例如仅 root 可写），避免普通用户或进程通过目录写权限间接破坏日志。
二 轮转与创建权限
- 使用 logrotate 管理日志轮转，确保轮转后新文件权限与属主符合基线。示例配置（/etc/logrotate.d/rsyslog）：
/var/log/messages {
weekly
rotate 4
create 0664 root utmp
missingok
notifempty
compress
delaycompress
sharedscripts
}
上述示例将新生成的 messages 文件权限设为 0664、属主 root、属组 utmp；实际环境中可按合规要求调整为更严格的 0640 并指定受控组。
三 日志写入进程与访问控制
- 写入主体应为受控的系统日志服务（如 rsyslog）。通过 ps -aux | grep rsyslogd 确认进程运行，并在 /etc/rsyslog.conf 及 /etc/rsyslog.d/ 中仅开放必要的日志规则，避免将日志写入权限扩散至非必要主体。
- 若需授权特定运维人员管理日志（如执行 logrotate），应通过 sudo 精细化授权，仅允许运行必要命令，避免授予不必要的 root 权限。示例（visudo）：%logadmin ALL=(ALL) NOPASSWD: /usr/sbin/logrotate。
四 SELinux 与完整性保护
- 在启用 SELinux 的 CentOS 系统上，日志文件的读写由 SELinux 策略约束。若调整了文件属主/权限或路径，需用 ausearch/audit2allow 分析 AVC 并生成/加载自定义策略模块，确保 rsyslog 等进程对日志文件的访问仍被允许，避免因策略阻断导致日志丢失。
- 结合文件系统扩展属性（如 i/a）与日志轮转策略，形成多层防护，降低日志被篡改或清空的风险。
五 快速核查清单
- 权限与属主：ls -l /var/log/messages 应为 -rw-r----- root ；/var/log 目录应为 drwxr-xr-x root root 或更严格。
- 扩展属性：lsattr /var/log/messages 应显示 i 或 a 标志（如 -----a---------- 或 ----i---------）。
- 轮转配置：/etc/logrotate.d/rsyslog 存在且包含 create 0664 root utmp（或符合你策略的更严格设置）。
- 服务与规则：rsyslog 正在运行（ps -aux | grep rsyslogd），/etc/rsyslog.* 配置仅包含必要的日志路径与规则。