如何在CentOS上使用Filebeat进行日志审计

在CentOS上使用Filebeat进行日志审计的步骤如下：

1. 安装Filebeat

首先，你需要安装Filebeat。你可以从Elastic官方网站下载最新版本的Filebeat，并按照以下步骤进行安装：

# 下载Filebeat
wget https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.15.0-amd64.deb

# 安装Filebeat
sudo dpkg -i filebeat-7.15.0-amd64.deb

# 启动Filebeat服务
sudo systemctl start filebeat

# 设置Filebeat开机自启
sudo systemctl enable filebeat

2. 配置Filebeat

Filebeat的配置文件通常位于/etc/filebeat/filebeat.yml。你需要根据你的日志文件路径和审计需求进行配置。

示例配置

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log
  fields:
    type: audit

processors:
  - add_fields:
      targets: ["message"]
      fields:
        audit_level: "INFO"

output.elasticsearch:
  hosts: ["localhost:9200"]
  index: "audit-%{+yyyy.MM.dd}"

在这个示例中：

• filebeat.inputs定义了Filebeat要监控的日志文件路径。
• processors部分添加了一个字段audit_level，你可以根据需要自定义这个字段。
• output.elasticsearch定义了Elasticsearch的输出地址和索引名称。

3. 启动和检查Filebeat

启动Filebeat服务并检查其状态：

sudo systemctl start filebeat
sudo systemctl status filebeat

4. 验证日志发送到Elasticsearch

你可以通过Kibana或者直接访问Elasticsearch来验证日志是否已经发送成功。

使用Kibana

1. 打开Kibana界面（通常是http://<your_elasticsearch_host>:5601）。
2. 导航到“Discover”页面。
3. 选择你配置的索引（例如audit-*）。
4. 查看日志数据。

直接访问Elasticsearch

你可以使用curl命令来检查Elasticsearch中是否有数据：

curl -X GET "localhost:9200/audit-*/_search?pretty" -H 'Content-Type: application/json' -d'
{
  "query": {
    "match_all": {}
  }
}'

5. 设置日志轮转

为了确保日志文件不会无限增长，你可以设置日志轮转。CentOS通常使用logrotate来管理日志文件。

创建一个logrotate配置文件：

sudo nano /etc/logrotate.d/filebeat

添加以下内容：

/var/log/*.log {
    daily
    missingok
    rotate 7
    compress
    notifempty
    create 640 root root
}

这个配置文件会每天轮转日志文件，并保留最近7天的日志。

6. 定期审计

你可以定期检查Elasticsearch中的日志数据，以确保审计日志的完整性和准确性。你也可以设置警报，当检测到异常日志时及时通知相关人员。

通过以上步骤，你可以在CentOS上使用Filebeat进行日志审计，并将日志数据发送到Elasticsearch进行进一步的分析和存储。