EFK架构的数据安全性

EFK架构（Elasticsearch + Filebeat + Kibana）的数据安全性需通过‌传输加密、访问控制、存储保护‌三层措施保障，其核心风险与加固方案如下：

一、数据传输安全风险与加固
‌明文传输风险‌

Filebeat → Elasticsearch 的日志传输默认未加密，易被中间人攻击窃取数据。

‌解决方案‌：

复制代码

# Filebeat 配置 SSL/TLS
output.elasticsearch:
  hosts: ["https://es-host:9200"]
  ssl.certificate_authorities: ["/path/to/ca.crt"]
  ssl.verification_mode: full

Kibana 暴露风险

未加密的 Kibana 端口（5601）可能被直接访问，导致可视化数据泄露。

‌ 解决方案‌：

通过 Nginx 或‌极限网关‌代理 Kibana，强制启用 HTTPS 并添加 Basic Auth 认证12

配置 IP 白名单限制访问来源。

二、数据存储与访问控制

|--------------|--------------------------------------------------------------|
| 风险点‌ | 加固措施 |
| ES 未授权访问 | 启用 Elasticsearch ‌安全插件‌（如 Search Guard/X-Pack），配置 RBAC 权限模型。 |
| ‌敏感日志明文存储‌ | ES 磁盘级加密（TDE）+ 日志字段脱敏（Logstash 过滤或 Filebeat 预处理） |
| 索引越权操作 | Kibana 空间隔离（Spaces）+ 索引级权限（如限制用户仅访问 nginx-* 索引） |

三、架构局限性及应对方案

‌耦合性导致数据丢失风险

Filebeat 直接写入 ES 时，若 ES 故障可能导致日志积压丢失。‌优化架构‌：

复制代码

Filebeat --> Kafka --> Logstash/ES_Ingest_Node --> Elasticsearch

引入 Kafka 作为缓冲层，提升可靠性。

‌资源耗尽引发安全瘫痪

Filebeat 高频传输可能耗尽网络带宽或磁盘 I/O2 → 限制 spool_size 队列大小。

ES 分片过多导致内存溢出 → 控制分片数（number_of_shards: 3），启用 ILM 自动滚动索引。

四、最佳实践总结

‌基础加固‌：

ES/Kibana 强制开启 TLS + 账号密码认证。

Filebeat 使用 SSL 证书连接 ES。
‌敏感数据处理‌：

日志采集阶段过滤敏感字段（如身份证、手机号）。

ES 启用冷热分层存储，敏感日志存于加密冷节点。
‌运维监控‌：

Kibana 审计日志跟踪用户操作。

定期扫描未加密的 ES 节点端口（9200/9300）。