Debian 上 Filebeat 的权限管理要点
一 运行身份与最小权限
- 以专用的非 root系统用户运行 Filebeat（Debian 包安装后通常已创建 filebeat 用户/组），避免以 root 身份采集或外发数据。
- 仅授予读取目标日志与写入自身日志目录的权限，遵循最小权限原则。
- 如需写入受保护目录（例如某些应用日志仅对特定组可读），将 filebeat 用户加入对应组，而不是放宽全局权限。
- 对外发连接启用TLS/SSL 加密，并为 Elasticsearch 启用认证与基于角色的访问控制（RBAC），确保只有授权的 Filebeat 实例能写入。
二 文件与目录权限配置
- 配置文件：确保 /etc/filebeat/filebeat.yml 仅对受控账户可读，建议权限为 600，属主 root:root。
- 日志目录：Filebeat 自身日志目录 /var/log/filebeat/ 建议属主 filebeat:filebeat，权限 0755（或更严格的 0700，视审计需求而定）。
- 被采集日志：仅授予 filebeat 对所需日志的读权限；避免 777 或给全局读权限。
- 快速校验与修复示例：
- 校验配置语法：
filebeat -c /etc/filebeat/filebeat.yml validate
- 修复日志目录属主：
sudo chown -R filebeat:filebeat /var/log/filebeat
- 修复日志目录权限：
sudo chmod -R 0755 /var/log/filebeat
- 修复配置文件权限：
sudo chmod 600 /etc/filebeat/filebeat.yml && sudo chown root:root /etc/filebeat/filebeat.yml
三 输入与模块的最小权限实践
- 精简 inputs：仅启用必要的 inputs 与 modules，禁用不需要的功能，降低攻击面与被误用风险。
- 路径最小化：inputs 中仅列出必需的日志路径，避免使用过于宽泛的通配符（例如仅采集 /var/log/myapp/*.log 而非 /var/log/）。
- 处理器与字段：谨慎使用 processors，避免在根级别暴露敏感字段（例如避免不必要的 fields_under_root: true）。
- 模块配置：启用模块时，按需开启子配置，避免加载无关文件集。
四 输出与网络权限控制
- 到 Elasticsearch：启用 TLS/SSL 与用户认证；为 Filebeat 创建最小权限角色（仅允许写入目标索引/数据流、创建索引模板/ILM 策略的必需权限）。
- 到 Logstash：在 Logstash 端进行输入认证与授权，限制来源网段；Filebeat 到 Logstash 的通信建议使用 TLS 加密。
- 防火墙与网络隔离：仅开放必要端口（如 Logstash 5044），将 Filebeat 部署在受控网络/安全域中，减少横向移动风险。
五 运维与审计检查清单
- 服务状态与健康：
- 查看服务：
sudo systemctl status filebeat
- 实时查看日志：
sudo tail -f /var/log/filebeat/filebeat.log
- 配置与权限复核：
- 配置语法：
filebeat -c /etc/filebeat/filebeat.yml validate
- 定期审计 /etc/filebeat/filebeat.yml 权限与属主、被采集日志的访问控制、以及 Filebeat 日志目录权限。
- 变更与更新：
- 变更后重启：
sudo systemctl restart filebeat
- 定期更新 Filebeat 及相关组件以获取安全补丁与漏洞修复。
