Ubuntu 上提升 Filebeat 日志安全的实用清单
一 身份与权限最小化
- 使用非 root专用系统用户运行 Filebeat（如创建系统用户并禁止登录），仅授予读取日志与必要目录的权限。
- 将配置与证书目录权限收紧：例如将 /etc/filebeat 设为 750，属主为 filebeat:filebeat，防止未授权读取与篡改。
- 仅启用必要的输入与模块，禁用不需要的功能与输出，减少攻击面。
二 传输加密与双向认证
- 到 Elasticsearch 的链路启用 TLS/HTTPS：在 output.elasticsearch 中配置 ssl.verification_mode、ssl.certificate_authorities、ssl.certificate、ssl.key，确保证书链可信与主机名校验。
- 到 Logstash 的链路启用 TLS 双向认证（mTLS）：
- Logstash 侧：input.beats 开启 ssl: true，设置 ssl_certificate / ssl_key，通过 ssl_certificate_authorities 指定信任的 CA，并将 ssl_verify_mode 设为 force_peer 强制校验客户端证书。
- Filebeat 侧：output.logstash 配置 ssl.certificate_authorities / ssl.certificate / ssl.key 指向 CA 与客户端证书，实现双向校验。
- 证书建议：使用私有 CA 签发服务器/客户端证书，证书中包含必要的 SAN（IP/DNS），并设置合理有效期与定期轮换策略。
三 网络与系统加固
- 通过 UFW/iptables 仅开放必要端口（如到 Logstash 的 5044、到 Elasticsearch 的 9200），对管理口（如 22）限制来源网段，默认拒绝其他入站。
- 将采集器与后端服务部署在隔离网络/安全域，必要时通过 VPC/ACL 限制源/目的地址，减少横向移动风险。
四 配置与密钥管理
- 保护私钥与配置：私钥文件权限设为 600，仅 filebeat 用户可读；配置文件中避免明文密码，优先使用 keystore/凭据文件 或安全的密钥管理方案。
- 精细化采集：仅采集必要的日志路径与字段，避免收集敏感信息；对输出到 ES 的索引与权限按最小权限原则进行隔离与管控。
五 运行监控与维护
- 启用 Filebeat 自身日志与运行状态监控：设置 logging.level: info、输出到文件并配置 keepfiles，便于审计与故障排查。
- 保持 Filebeat 与依赖组件 的及时更新，修补已知漏洞；结合系统审计与进程/连接监控，及时发现异常行为。