如何利用Filebeat进行安全审计

安全审计这事儿，说简单也简单，说复杂是真复杂。但不管怎么着，日志收集永远是地基——地基没打好，后面分析、告警全是空中楼阁。而Filebeat作为Elastic Stack里那个轻量级的日志采集器，干的就是这么件事：把散落在各台机器上的安全日志，规规矩矩地送到Elasticsearch里，再让Kibana帮你盯梢。下面就把整个流程拆成六步，每一步都有操作细节，照着来就行。

1. 安装与基础配置

不管是CentOS还是Debian，先把Filebeat装上。官方提供了YUM/APT仓库，也可以直接下RPM或DEB包手动装。举个例：CentOS上跑一句 sudo rpm -ivh filebeat-7.14.0-x86_64.rpm，Debian上就是 sudo apt-get install filebeat。装好之后，核心动作是编辑 /etc/filebeat/filebeat.yml——这里面要干三件事：定义日志采集路径（比如安全常用的 /var/log/secure、/var/log/auth.log 或者审计框架的 /var/log/audit/audit.log），指定输出目标（比如Elasticsearch的地址），以及定好索引命名规则（例如 security-logs-%{yyyy.MM.dd}）。这几步做扎实了，Filebeat才知道该从哪儿读、往哪儿写、按什么规则存。

2. 监控关键安全日志文件

安全审计的核心在于盯住几个关键文件。具体来说，通过 filebeat.inputs 配置，可以精准捕获以下三类事件：

• 系统认证日志：CentOS上盯着 /var/log/secure，Debian上盯着 /var/log/auth.log，用户登录、sudo使用、SSH连接都能被记录。
• 审计框架日志：如果系统启用了Linux auditd（很多安全基线都要求开启），那就配置 paths: - /var/log/audit/audit.log，权限变更、文件访问这些更细粒度的事件一个都跑不掉。
• 应用安全日志：别光看系统层，应用层也得管。根据实际需求把Nginx错误日志（/var/log/nginx/error.log）、MySQL错误日志（/var/log/mysql/error.log）等路径加进去，监控应用层面的异常访问。

3. 启用传输与存储安全

日志本身如果明文传输，那跟裸奔没区别。所以这一步必须做，而且得做到位。

传输加密：用TLS/SSL把Filebeat和Elasticsearch之间的数据传输保护起来。提前给Elasticsearch生成SSL证书（或者用可信CA签发的证书），然后在 filebeat.yml 里配上：

output.elasticsearch:
  hosts: ["https://elasticsearch-host:9200"]
  username: "elastic"
  # 若启用X-Pack安全
  password: "your_password"
  ssl.certificate_authorities: ["/path/to/ca.crt"]
  ssl.certificate: "/path/to/filebeat.crt"
  ssl.key: "/path/to/filebeat.key"

认证机制：借助Elasticsearch的X-Pack安全功能，给Filebeat配置用户名和密码（比如用 elastic 用户），确保只有授权的Filebeat实例才能往Elasticsearch里写数据。这一步能有效防止“有人偷偷搭个假Filebeat往你ES里灌脏数据”的情况。

4. 利用模块简化安全审计配置

Filebeat自带了几个模块，专门针对安全场景做了优化。用上它们，能省掉很多手写解析规则的麻烦。

auditd模块：针对Linux审计日志。先启用：

sudo filebeat modules enable auditd

然后编辑 /etc/filebeat/modules.d/auditd.yml，配置日志路径和字段映射（比如把 type 设为 auditd）。模块会自动解析审计日志里的关键字段，像 user_name、event_type、object_path 这些，拿来就能直接用。

系统模块：针对系统日志。同样先启用：

sudo filebeat modules enable system

配置 /etc/filebeat/modules.d/system.yml，模块会自动提取 sshd、sudo 等安全相关事件。两步下来，大部分常见的安全日志解析工作就自动完成了。

5. 日志分析与可视化（Kibana集成）

数据进了Elasticsearch，接下来就是用Kibana把数据变成“看得见”的东西。顺序是这样的：

• 创建索引模式：在Kibana里找到“Stack Management”→“Index Patterns”，输入安全日志索引名称（比如 security-logs-*），创建索引模式。这样Kibana才知道怎么查询这些日志。
• 构建仪表板：用Kibana的“Visualize Library”创建可视化组件——比如“失败的SSH尝试次数”柱状图、“未授权访问趋势”折线图。然后把它们组合到一个“Dashboard”里，实时刷新，安全事件的变化一目了然。
• 设置告警：光有图表还不够，得在出事时能第一时间知道。通过Kibana的“Alerting”功能，配置条件触发的告警（比如“1小时内失败登录次数超过5次”），然后指定通知方式：邮件、Slack、钉钉等等，随你选。

6. 强化自身安全性

Filebeat本身也要做好防护，不能让它成为新的攻击入口。下面三条是基本操作：

• 最小权限运行：专门建一个低权限用户（比如 elkuser）来跑Filebeat，别用root。命令参考：sudo useradd -r -s /sbin/nologin elkuser，然后在 filebeat.yml 里把 run_as_user 设成 elkuser。
• 配置文件权限：filebeat.yml 里保存了连接凭证等敏感信息，必须限制访问。执行 sudo chmod 600 /etc/filebeat/filebeat.yml，只有文件所有者能读写。
• 定期更新：Filebeat和它依赖的组件（Elasticsearch、Kibana）要保持最新版本。安全漏洞很多时候就是版本没跟上导致的，别在这上面栽跟头。