debian filebeat如何加密

在 Debian 上，Filebeat 本身不负责“加密存储”，而是负责“加密传输”和“落盘数据的保护”。常见需求一般分三种，下面分别说明做法。

一、Filebeat 传输加密（最常用）

1. 使用 TLS 加密发送到 Elasticsearch / Logstash

Filebeat → ES/Logstash 走 HTTPS（TLS）

示例（Elasticsearch 输出）

output.elasticsearch:
  hosts: ["https://es.example.com:9200"]
  username: "filebeat"
  password: "xxxx"
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"
  ssl.key: "/etc/filebeat/certs/filebeat.key"

Logstash 输出

output.logstash:
  hosts: ["logs.example.com:5044"]
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"
  ssl.key: "/etc/filebeat/certs/filebeat.key"

✅ 这是生产环境推荐方式

二、Filebeat 本地数据加密（较少用）

Filebeat 默认把未发送的数据存在：

/var/lib/filebeat/registry
/var/lib/filebeat/data

方案：用 Linux 层加密

Filebeat 不支持“自带加密磁盘”

推荐方式

• LUKS 全盘/分区加密
• 或 eCryptfs / fscrypt 加密 /var/lib/filebeat

示例（LUKS）：

cryptsetup luksFormat /dev/sdb1
cryptsetup open /dev/sdb1 filebeat
mkfs.ext4 /dev/mapper/filebeat
mount /dev/mapper/filebeat /var/lib/filebeat

三、日志内容加密（高级）

如果日志本身含敏感信息：

方案 1：Filebeat 处理器脱敏

processors:
  - dissect:
      tokenizer: "%{ts} %{level} %{msg}"
  - drop_fields:
      fields: ["msg"]

方案 2：在采集前加密（应用层）

• 应用写日志前 AES 加密
• Filebeat 只传密文

四、Debian 上启停 & 校验

sudo systemctl restart filebeat
sudo filebeat test output
sudo filebeat test config

总结

如果你是 “Filebeat 发到 Elastic”还是“发到 Kafka/Logstash”，我可以给你一份完整配置文件。