如何配置Filebeat安全策略

如何配置Filebeat安全策略

在日志采集这条线里，Filebeat是很多人的首选，但部署简单不等于可以忽略安全。很多人刚开始接触时，习惯用root用户直接跑，或者配置里全裸奔，等出了事才知道代价。今天就把一套比较完整的安全加固思路拉出来过一遍，从基础权限到加密传输，再到日常监控，基本覆盖了生产环境该考虑的点。

1. 使用非特权用户运行Filebeat

第一条准则：永远别用root跑Filebeat。创建专用用户，给最小权限，这是最基本的安全习惯。在CentOS或者Debian上操作很简单：

sudo adduser filebeat
sudo chown -R filebeat:filebeat /etc/filebeat /var/lib/filebeat /var/log/filebeat
sudo chmod 644 /etc/filebeat/filebeat.yml

启动的时候指定用户：sudo systemctl start filebeat --user=filebeat。这样即使Filebeat被突破，攻击者拿到的也只是个受限账号，影响面会小很多。

2. 配置TLS/SSL加密传输

日志数据在网络上裸奔是不行的，必须加密。Filebeat和Elasticsearch或者Logstash之间的通信，建议统一走TLS。

先准备证书。以下命令生成自签名证书，生产环境建议用CA签发：

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/filebeat/certs/ca.key -out /etc/filebeat/certs/ca.crt
sudo openssl req -newkey rsa:2048 -nodes -keyout /etc/filebeat/certs/filebeat.key -out /etc/filebeat/certs/filebeat.csr
sudo openssl x509 -req -in /etc/filebeat/certs/filebeat.csr -CA /etc/filebeat/certs/ca.crt -CAkey /etc/filebeat/certs/ca.key -CAcreateserial -out /etc/filebeat/certs/filebeat.crt -days 365

然后在filebeat.yml里启用TLS：

output.elasticsearch:
  hosts: ["https://elasticsearch-host:9200"]
  ssl.certificate_authorities: ["/etc/filebeat/certs/ca.crt"]
  ssl.certificate: "/etc/filebeat/certs/filebeat.crt"
  ssl.key: "/etc/filebeat/certs/filebeat.key"
  ssl.verify_mode: "certificate"

Elasticsearch那边也要打开TLS，在elasticsearch.yml里配置：

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
xpack.security.transport.ssl.verification_mode: certificate
xpack.security.transport.ssl.keystore.path: elastic-certificates.p12
xpack.security.transport.ssl.truststore.path: elastic-certificates.p12

两边配置完后重启服务：sudo systemctl restart filebeat && sudo systemctl restart elasticsearch。这时候传输数据就是加密的了，不会被中间人窃听。

3. 限制文件与目录访问权限

权限控制是个老生常谈的话题，但也是最容易被忽略的。配置文件和目录如果权限过大，内部渗透者可以直接篡改或者窃取敏感信息。

• 配置文件权限：filebeat.yml里可能包含密码、证书路径等，建议只让root用户能读写（chmod 600）。
• 数据目录权限：/var/lib/filebeat存了Filebeat的运行状态，只允许filebeat用户操作。
• 日志目录权限：/var/log/filebeat用于记录Filebeat自身的运行日志，同样只让filebeat用户写入。

这些操作在创建用户时已经顺手做了，但后面如果修改过目录或者配置文件，记得再检查一下权限是否合规。

4. 配置身份验证

如果Elasticsearch启用了X-Pack安全功能，那Filebeat在输出前得先通过身份验证。在filebeat.yml里加上用户名和密码：

output.elasticsearch:
  username: "filebeat_internal"
  password: "your_secure_password"

这里的用户需要在Elasticsearch里提前创建好，权限按需分配。对于其他输入模块（比如Logstash），如果有认证机制，同样得配置上ssl和authentication参数。别让未授权的客户端随便往里推数据。

5. 配置防火墙规则

网络层面也不能放松。只允许特定的IP或网段访问Filebeat监听端口（默认5044或9200）。在CentOS上用Firewalld：

sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="5044" protocol="tcp" accept'
sudo firewall-cmd --reload

在Debian上用UFW：

sudo ufw allow from 192.168.1.0/24 to any port 5044 proto tcp
sudo ufw enable

这个规则的作用是：只有日志源所在的网段才能发数据过来，其他IP一概拒绝。做到这一步，外部扫描工具就很难直接威胁到Filebeat。

6. 定期更新与监控

安全不是一次性工作，需要持久维护。定期更新Filebeat是基本操作：sudo yum update filebeat或sudo apt upgrade filebeat。同时，日常通过systemctl status filebeat查看服务状态，并关注/var/log/filebeat/filebeat日志里有没有异常，比如连接失败、证书过期、频繁重连等信号。

另外，建议用auditd这类工具记录Filebeat配置文件的修改历史，一旦有人动了不该动的地方，第一时间能发现。

7. 高级安全加固（可选）

如果安全等级要求比较高，可以上SELinux或AppArmor。比如在CentOS上启用SELinux：

sudo setenforce 1
sudo semanage permissive -a filebeat_t

生产环境建议设成enforcing模式，测试时可以用permissive先看看影响。另外，在filebeat.yml里把没用的模块（比如mysql、nginx）都注释掉，减少潜在的攻击入口。

安全配置这事儿，做得越多越放心。Filebeat本身不复杂，但把上面这几步走完，基本能挡住绝大多数常见威胁。最后说一点：证书过期别忘了提前更新，否则日志会突然中断，到时候排查起来就头疼了。