Debian 上 Filebeat 的安全设置清单
一 身份与权限最小化
sudo useradd -r -s /usr/sbin/nologin filebeatsudo chown -R filebeat:filebeat /etc/filebeat /var/lib/filebeat /var/log/filebeatsudo chmod 750 /etc/filebeat /var/lib/filebeat /var/log/filebeat,敏感配置文件建议 600(仅属主可读写)/etc/、/root/ 的路径),必要时通过 sudo 或能力机制由受控进程投递日志,减少直接以高权限读取二 传输加密与认证
output.elasticsearch:
hosts: ["es-secure.example.com:9200"]
username: "filebeat_writer"
password: "${FILEBEAT_ES_PASSWORD}"
ssl.enabled: true
ssl.certificate_authorities: ["/etc/ssl/certs/ca.crt"]
ssl.certificate: "/etc/ssl/certs/filebeat.crt"
ssl.key: "/etc/ssl/private/filebeat.key"
ssl.verification_mode: certificate
三 网络与防火墙
sudo ufw allow from 10.0.0.0/8 to any port 5044 proto tcp四 配置与文件权限
/etc/filebeat/filebeat.yml 建议权限 600,属主 filebeat:filebeatfilebeat.config.modules.path: ${path.config}/modules.d/*.ymlreload.enabled: false(除非明确需要动态模块热加载)/var/log/filebeat/filebeat.log,保留合理历史并限制权限为 640/644(属主 filebeat:filebeat)五 运行监控与维护
logging.level: info
logging.to_files: true
logging.files:
path: /var/log/filebeat
name: filebeat
keepfiles: 7
permissions: 0644
sudo systemctl status filebeat,并结合 journalctl -u filebeat -f 实时查看