通过 Ubuntu 上的 Node.js 日志提升系统安全性的实践
一 日志采集与结构化
- 使用成熟的日志库并统一为JSON格式，便于检索与聚合：如 Winston、Pino、Bunyan。在记录中始终附带timestamp、level、service、trace_id等关键字段，跨服务追踪同一请求。
- 区分日志级别：生产环境以error、warn、info为主，调试阶段再开启debug/trace，避免性能与信息泄露风险。
- 记录关键安全事件：认证与授权（登录成功/失败、登出、权限变更）、访问控制（越权访问尝试）、输入校验（注入特征）、异常与错误堆栈、配置与密钥加载异常等。
- 避免记录敏感信息：对密码、令牌、密钥、信用卡号等进行脱敏或哈希后再写入日志；必要时对日志进行加密存储。
- 示例（Winston，生产建议仅输出 JSON 到文件/集中系统）：
- 参考结构化与级别控制实践；
- 结合安全事件记录与脱敏原则。
二 存储轮转与访问控制
- 使用 logrotate 做按大小/日期的日志轮转、压缩与保留策略，防止磁盘被日志打满导致服务异常。
- 示例（/etc/logrotate.d/nodejs）：
- /var/log/nodejs/*.log { daily; missingok; rotate 7; compress; notifempty; create 0640 root adm }
- 设置严格的文件权限与属主，仅允许必要用户/组读取日志：
- sudo chmod 640 /var/log/nodejs/*.log
- sudo chown root:adm /var/log/nodejs/*.log
- 将关键日志集中发送到 SIEM/日志平台（如 ELK Stack、Splunk），减少本地可访问面，并便于统一告警与审计。
三 实时监控与告警
- 在 Node.js 侧记录HTTP 请求与错误（如 morgan 记录请求，Winston/Pino 记录错误与审计事件），为后续分析提供完整链路。
- 对暴力破解、高频异常等设置速率限制（如 express-rate-limit），并在日志中记录触发限流的来源与路径，配合告警。
- 将日志接入 ELK/Splunk 或类似平台，配置规则对“短时间内多次登录失败”“异常 UA/Referer”“大量 4xx/5xx”“权限越权尝试”等进行实时告警。
- 结合 auditd 采集系统层关键事件（如文件访问、权限变更），与 Node.js 应用日志关联分析。
四 审计分析与合规
- 建立“谁在何时对何资源做了何操作”的审计基线：用户 ID、源 IP、请求路径、HTTP 方法、UA、响应码、耗时、结果（成功/失败）、trace_id。
- 定期审计与回溯：对登录异常、权限变更、配置修改、密钥轮换失败等进行周期性抽查与异常聚类，必要时触发安全事件响应流程。
- 将日志保留周期与合规要求对齐：例如保留 90 天用于审计与取证，超过期限按策略归档/删除。
- 使用 ELK 等工具进行可视化与报表，便于安全团队与管理层掌握安全态势。
五 快速落地清单
- 日志规范：统一JSON、必含字段（timestamp、level、service、trace_id）、不记录敏感信息。
- 采集与脱敏：Winston/Pino/Bunyan 记录安全事件；对输入与输出进行脱敏。
- 轮转与权限：配置 logrotate（如保留7 天、压缩、权限 0640 root:adm）；关键日志集中化。
- 监控与告警：启用 morgan + rate-limit，在 ELK/Splunk 配置规则对异常登录、越权、暴力请求即时告警。
- 审计与合规：建立审计基线、定期抽查与回溯、保留90 天或按合规要求执行。
