通过 Node.js 日志提升 CentOS 服务器安全性的落地方案
一 架构与总体思路
- 在 CentOS 上以 Node.js 运行安全日志采集、解析与告警脚本，统一处理两类日志：系统安全日志（如 /var/log/secure、/var/log/messages）与应用日志（Node.js 服务输出）。
- 使用 rsyslog 保证系统日志可靠落盘与集中转发；用 logrotate 控制日志体积与保留周期；用 ELK/Fluentd 或远程日志服务做集中化存储、检索与可视化。
- 建立“采集 → 解析 → 检测 → 告警 → 处置”闭环，并遵循最小权限、访问控制、脱敏与审计等安全基线。
二 日志采集与权限基线
- 系统日志与权限
- 确认 rsyslog 正常运行，关键安全事件写入 /var/log/secure（如 SSH 登录审计），通用系统事件写入 /var/log/messages。
- 设置最小权限与隔离：Node.js 程序以非 root专用用户运行；日志目录与文件权限建议为 750/640，属主属组指向服务账户与日志组，避免 Web 可访问路径。
- 示例：
- 创建日志目录与授权：
mkdir -p /var/log/myapp && chown myapp:myapp /var/log/myapp && chmod 750 /var/log/myapp
- 应用日志文件：
touch /var/log/myapp/app.log && chown myapp:myapp /var/log/myapp/app.log && chmod 640 /var/log/myapp/app.log
- 日志轮转
- 使用 logrotate 管理 Node.js 与应用日志，控制单文件大小与保留份数，启用压缩与延迟压缩，避免磁盘被占满。
- 示例（/etc/logrotate.d/myapp）：
/var/log/myapp/*.log { daily rotate 7 compress delaycompress missingok notifempty create 640 myapp myapp postrotate systemctl reload myapp >/dev/null 2>&1 || true endscript }
- 集中化与远程转发
- 在 rsyslog 中配置将关键日志（如 authpriv）通过 UDP/TCP 514 发送到 ELK 或日志网关；在 ELK 侧用 Logstash 解析与安全场景相关的字段，便于检索与告警。
三 用 Node.js 解析与检测安全事件
- 读取与解析系统日志
- 以 readline 逐行读取 /var/log/secure、/var/log/messages，用正则或 Grok 模式抽取时间、主机、进程、IP、用户、结果等字段，重点关注：
- SSH 登录成功/失败（如 “Accepted password”“Failed password”）
- sudo 提权与使用
- 异常服务重启、端口变化、关键文件变更迹象
- 示例（核心片段）
- 读取 auth.log 并识别失败登录：
const fs = require('fs'); const readline = require('readline'); const rl = readline.createInterface({ input: fs.createReadStream('/var/log/secure'), crlfDelay: Infinity }); for await (const line of rl) { if (line.includes('Failed password')) console.warn('[SEC] Failed login:', line); }
- 统计与阈值告警
- 对失败登录按 IP 计数，超过阈值触发告警并自动封禁（示例为演示逻辑，生产请加去重、冷却与审批）：
const { exec } = require('child_process'); function blockIP(ip){ exec(iptables -A INPUT -s ${ip} -j DROP, (e)=>{ e&&console.error('Block failed:',e); }); }
- 实时性与可靠性
- 采用“文件尾追踪 + 异常重启恢复 + 幂等写入/告警”策略，避免漏报与重复封禁；将告警推送至 邮件、企业微信、Slack 等通道。
四 告警处置与联动防护
- 处置动作清单
- 自动封禁：对持续失败的来源 IP 临时加入 iptables DROP 规则，设置合理过期与白名单；
- 账户安全：触发异常时强制下线相关会话、要求关键账户改密、限制 sudo 使用；
- 取证留痕：将告警事件写入安全审计日志，并同步至 ELK 仪表盘进行溯源与复盘。
- 集中化与可视化
- 在 ELK 建立安全索引与可视化面板，展示：SSH 失败趋势、TOP 攻击源、异常时段与地域、关键命令执行统计等；结合 Kibana 告警规则实现近实时监测。
五 安全加固与运维要点
- 日志安全
- 仅记录必要信息，避免记录 密码、密钥、令牌 等敏感数据；对必须记录的敏感字段进行脱敏；
- 使用具备安全特性的日志库（如 winston、pino），合理设置日志级别与输出目标；
- 对离线归档或跨域传输的日志启用加密（如 GPG），并定期备份与校验完整性。
- 系统与网络
- 通过 logrotate 严格控制日志保留周期与压缩；
- 优化 SSH 安全基线：如禁用 root 远程登录、限制登录尝试、启用密钥登录与 MFA；
- 持续更新系统与依赖，修补漏洞，减少被利用面。
