Linux防火墙如何监控与日志分析

一、防火墙状态监控

• 查看防火墙状态
  • iptables：sudo iptables -L -n -v（查看规则及流量统计）。
  • firewalld：sudo firewall-cmd --state（查看运行状态），sudo firewall-cmd --list-all（查看规则详情）。
• 实时流量监控
  • 使用 iftop、nload 工具查看网络带宽使用情况。

二、日志配置与管理

• 启用日志记录
  • iptables：添加 LOG 规则，如 iptables -A INPUT -j LOG --log-prefix "IPTABLES: " --log-level info，指定日志前缀和级别。
  • firewalld：sudo firewall-cmd --set-log-denied=all（记录所有拒绝日志）。
• 日志文件位置
  • iptables：默认存入 /var/log/syslog 或 /var/log/messages（Ubuntu/CentOS差异）。
  • firewalld：通过 journalctl -u firewalld 查看。

三、日志分析方法

• 基础分析工具
  • grep 过滤关键信息，如 sudo grep "DENIED" /var/log/syslog（查找被拒绝连接）。
  • awk 提取特定字段，如 sudo awk '{print $3, $5}' /var/log/syslog | grep -Eo "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b"（提取IP地址）。
• 自动化工具
  • logwatch：生成每日/每周日志报告，分析异常流量。
  • fail2ban：自动封禁多次攻击的IP地址。
• 高级分析
  • 使用 Zeek（原Bro）进行深度流量分析，识别异常协议或攻击模式。
  • 通过 logrotate 定期轮转日志，避免文件过大。

四、安全响应

• 异常处理
  • 发现恶意IP后，通过 iptables -A INPUT -s <恶意IP> -j DROP 自动封禁。
  • 定期审计规则有效性，删除冗余或过时规则。
• 合规性检查
  • 确保日志包含时间戳、源/目的IP、端口、协议等关键信息，满足审计需求。

参考来源：