Tomcat日志中的哪些信息有助于安全审计

Tomcat日志中可用于安全审计的关键信息

一 核心日志类型与审计价值

• 访问日志 AccessLog：记录每一次HTTP请求的元数据，是识别扫描、暴力尝试、异常流量与业务异常的直接证据。常见字段包含：客户端IP/主机名、时间、请求方法、请求URI/查询串、协议、状态码、响应字节数、请求耗时、会话ID、本地端口等。
• 错误日志 catalina.out / localhost.yyyy-MM-dd.log：记录Servlet/JSP异常、HTTP错误码、配置/类加载错误、连接超时等，有助于发现漏洞利用迹象（如异常堆栈、路径遍历、SQL报错泄露）与稳定性问题。
• 应用日志：业务系统自定义的登录/登出、权限变更、关键操作、越权尝试、输入校验失败等，是用户行为与业务合规审计的关键补充。
• 启动与控制台日志：Tomcat启动/关闭时间、加载应用、JVM启动参数等，可用于核查未授权变更、异常重启、可疑启动参数。
• 管理控制台日志 manager/host-manager：记录对Tomcat Manager/Host Manager的访问与操作，是后台运维与暴力破解的高价值审计源。
• JVM GC日志（可选）：虽用于性能，但频繁/异常GC可反映资源耗尽攻击或异常负载。
  以上日志类型与用途，可覆盖等保2.0对“开启审计、覆盖重要用户行为与重要安全事件、记录时间/用户/事件类型/结果等要素”的要求。

二 访问日志应采集的关键字段与pattern示例

• 建议采集的字段与目的
  • %a / %h（远程IP/主机）：溯源与黑名单比对；注意反向解析与代理场景。
  • %t（时间）：事件时序、关联分析。
  • %m（方法）：识别非常用方法（如PUT/DELETE/TRACE/OPTIONS）与异常行为。
  • %U / %r / %q（路径/首行/查询串）：发现敏感路径遍历、SQL注入、XSS、文件包含等攻击特征。
  • %s（状态码）：定位4xx/5xx异常潮；如大量404常伴随扫描。
  • %b / %B（响应字节数）：识别数据外泄（异常大响应）或错误页面泄露。
  • %D / %T（处理耗时ms/s）：发现慢速攻击/DoS、后端异常。
  • %S（会话ID）：会话劫持/固定分析、横向关联。
  • %u（认证用户）：用户级审计与越权核查。
  • %p（本地端口）：多实例/多端口环境下的精准溯源。
• 推荐的 AccessLogValve pattern（示例）
  • 组合字段：
    • 基础合规：%a %l %u %t “%r” %s %b
    • 增强审计：%a %t “%r” %s %b %D “%{User-Agent}i” “%{Referer}i” %S
  • 说明：pattern在server.xml的AccessLogValve中配置；默认文件为localhost_access_log.yyyy-MM-dd.txt，位于**$CATALINA_HOME/logs**。必要时可加入请求头/会话等扩展字段。

三 错误日志与应用日志的审计要点

• 错误日志：关注异常堆栈、HTTP错误码分布、路径/权限类报错、连接异常，用于识别暴力访问、漏洞利用尝试、配置错误导致的暴露面扩大等。
• 应用日志：记录认证成功/失败、权限变更、关键数据访问/导出、管理操作等，支撑用户级行为与重要安全事件的审计与合规。
• 安全事件线索：对认证失败激增、越权访问、敏感资源访问异常、异常User-Agent/Referer等进行告警与追踪。

四 日志合规保护与留存要求

• 日志保护：
  • 文件权限建议不高于640，所属用户/组合理；对日志目录与传输链路实施访问控制与完整性保护。
  • 审计进程与中间件关联，防止未经授权中断；对管理控制台（manager/host-manager）实施最小权限与强口令。
• 留存周期：重要设备日志建议留存不少于6个月，并建立定期备份/异地备份与快速恢复机制。
• 时间与同步：确保服务器时间准确（如NTP同步），保证审计时序与取证有效性。

五 快速核查清单

• 是否已启用AccessLogValve，pattern是否覆盖时间、客户端IP、方法、URI/查询串、状态码、字节数、耗时、会话ID、User-Agent/Referer等关键字段。
• 是否记录错误日志与应用自定义审计日志，且级别与输出路径符合策略。
• manager/host-manager是否按需启用、是否产生日志、是否限制访问来源与强认证。
• 日志权限、备份、留存周期是否满足等保2.0与内部合规要求。