debian上filebeat如何加密

在 Debian 上，Filebeat 本身不负责“数据加密存储”，但可以从 传输加密（TLS） 和 日志内容加密 两个层面来做。下面按常见场景说明。

一、Filebeat → Elasticsearch / Logstash 传输加密（最常用）

1️⃣ 使用 TLS 加密传输（推荐）

（1）生成证书（示例用自签）

# 在 ES/Logstash 服务器端生成
openssl req -x509 -newkey rsa:4096 -nodes \
  -keyout filebeat.key -out filebeat.crt -days 365

（2）Filebeat 配置（Debian）

编辑 /etc/filebeat/filebeat.yml：

output.elasticsearch:
  hosts: ["https://es.example.com:9200"]
  ssl.certificate_authorities: ["/etc/filebeat/certs/filebeat.crt"]
  username: "filebeat"
  password: "password"

或输出到 Logstash：

output.logstash:
  hosts: ["logstash.example.com:5044"]
  ssl.certificate_authorities: ["/etc/filebeat/certs/filebeat.crt"]

（3）重启 Filebeat

sudo systemctl restart filebeat

二、Filebeat 本地日志文件加密（较少用）

Filebeat 不能直接加密本地日志文件，但你可以：

方案 A：加密磁盘（LUKS）

# 加密整个分区
cryptsetup luksFormat /dev/sdb1
cryptsetup open /dev/sdb1 secure_log
mkfs.ext4 /dev/mapper/secure_log

然后把 Filebeat 的 path.logs 或采集目录放到加密分区。

方案 B：日志写入前加密（应用层）

• 应用在写日志时先加密
• Filebeat 只负责传输
• Elasticsearch 端解密（或使用 ingest pipeline）

⚠️ Filebeat 不提供“字段级加密”功能

三、字段级敏感信息脱敏（不是加密，但常用）

processors:
  - dissect:
      tokenizer: "%{timestamp} %{level} %{message}"
  - drop_fields:
      fields: ["password"]

或使用 script processor 做哈希：

processors:
  - script:
      lang: javascript
      source: >
        function process(event) {
          event.Put("user", md5(event.Get("user")));
        }

四、Debian 上常见安全建议

✅ 使用 HTTPS
✅ 限制 /etc/filebeat/ 权限

chmod 600 /etc/filebeat/filebeat.yml
chown root:root /etc/filebeat/filebeat.yml

✅ 启用 systemd 保护

[Service]
PrivateTmp=true
NoNewPrivileges=true

总结

如果你能说明：

• 输出到 ES 还是 Logstash
• 是否使用 Elastic Stack 安全功能（X-Pack）

我可以给你一份 可直接用的 Debian 配置文件。