Debian下Filebeat安全设置指南

Debian下Filebeat安全设置指南

一、安装Filebeat

通过Debian官方源或Elastic官方源安装Filebeat，推荐使用Elastic源以确保版本兼容性。

添加Elastic GPG密钥和源：

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch | sudo apt-key add -
echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | sudo tee -a /etc/apt/sources.list.d/elastic-7.x.list

更新软件包并安装Filebeat：

sudo apt update && sudo apt install filebeat

二、配置文件权限管理

限制配置文件及日志文件的访问权限，避免未授权读取或修改。

创建专用用户（若未创建）：

sudo useradd -r -s /sbin/nologin filebeat  # 创建无登录权限的系统用户

修改文件所有权及权限：

sudo chown -R filebeat:filebeat /etc/filebeat  # 配置文件归专用用户所有
sudo chmod -R 750 /etc/filebeat                # 限制配置文件访问权限（所有者可读写执行，组用户可读执行，其他用户无权限）
sudo chown -R filebeat:filebeat /var/log/filebeat  # 日志文件归专用用户所有
sudo chmod -R 750 /var/log/filebeat            # 日志文件权限设置

三、启用TLS/SSL加密传输

保护日志数据在传输过程中的安全，防止数据泄露或篡改。

获取或生成SSL证书（如自签名证书或由CA签发的证书），保存至/etc/ssl/certs/目录（例如filebeat.crt和filebeat.key）。

修改/etc/filebeat/filebeat.yml配置文件，启用TLS：

output.elasticsearch:
  hosts: ["elasticsearch.example.com:9200"]
  username: "elastic"  # 替换为Elasticsearch用户名
  password: "your_secure_password"  # 替换为Elasticsearch密码
  ssl.enabled: true
  ssl.certificate_authorities: ["/etc/ssl/certs/ca.crt"]  # CA证书路径（验证Elasticsearch证书）
  ssl.certificate: "/etc/ssl/certs/filebeat.crt"  # Filebeat客户端证书
  ssl.key: "/etc/ssl/certs/filebeat.key"  # Filebeat私钥

四、使用非特权用户运行

避免以root用户运行Filebeat，降低权限提升风险。

修改Filebeat服务文件（/etc/systemd/system/filebeat.service），指定用户：
```
[Service]
User=filebeat
Group=filebeat
```

重新加载systemd并重启Filebeat：

sudo systemctl daemon-reload
sudo systemctl restart filebeat

五、配置防火墙限制访问

通过防火墙规则限制对Filebeat和Elasticsearch的访问，仅允许可信IP或网络。

使用ufw（推荐）配置防火墙：

sudo ufw allow from 192.168.1.0/24 to any port 5044  # 允许内网IP访问Logstash端口（若使用）
sudo ufw allow from 127.0.0.1 to any port 9200      # 仅允许本地访问Elasticsearch
sudo ufw enable                                     # 启用防火墙

或使用iptables：

sudo iptables -A INPUT -p tcp --dport 5044 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 9200 -s 127.0.0.1 -j ACCEPT
sudo iptables-save > /etc/iptables/rules.v4  # 保存规则

六、禁用不必要的模块与功能

减少攻击面，仅启用必需的输入模块和功能。

编辑/etc/filebeat/filebeat.yml，注释或删除未使用的模块（如system模块若无需收集系统日志）：

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/nginx/*.log  # 仅保留需要的日志路径
# - type: system  # 注释掉未使用的系统模块
#   enabled: true

禁用索引生命周期管理（ILM）若无需自动管理索引：
```
setup.ilm.enabled: false
```

七、启用监控与日志记录

跟踪Filebeat运行状态，及时发现异常。

配置Filebeat自身日志：

logging.level: info  # 日志级别（info/warning/error）
logging.to_files: true
logging.files:
  path: /var/log/filebeat
  name: filebeat.log
  keepfiles: 7  # 保留7天日志
  permissions: 0640  # 日志文件权限

启用Elastic Stack监控（若使用Elasticsearch和Kibana）：

xpack.monitoring.enabled: true
xpack.monitoring.elasticsearch.hosts: ["elasticsearch.example.com:9200"]

八、定期更新与审计

保持Filebeat版本最新，修复已知安全漏洞。

定期更新Filebeat：

sudo apt update && sudo apt upgrade filebeat

定期审计配置文件：
- 检查/etc/filebeat/filebeat.yml是否有未授权的修改（如新增不必要的模块或输出）。
- 查看Filebeat日志（/var/log/filebeat/filebeat.log）是否有异常错误或警告。

九、使用Seccomp限制系统调用（可选）

进一步限制Filebeat可执行的系统调用，减少潜在的安全风险。

编辑/etc/filebeat/filebeat.yml，配置Seccomp：

seccomp.default_action: deny  # 默认拒绝所有系统调用
seccomp.allowed_syscalls:
  - read
  - write
  - open
  - close
  - stat
  - fstat
  - lseek
  - mmap
  - mprotect
  - munmap
  - brk
  - rt_sigaction
  - rt_sigprocmask
  - exit_group

重启Filebeat使配置生效：
```
sudo systemctl restart filebeat
```

通过以上步骤，可在Debian系统上实现Filebeat的安全配置，覆盖权限管理、加密传输、访问控制、功能限制等多个维度，保障日志收集与传输过程的安全性。