Elasticsearch安全审计日志设置与最佳实践

一、Elasticsearch安全审计简介

审计日志(Audit Logging)用于记录Elasticsearch中的安全相关事件,包括认证失败、连接拒绝、数据访问事件以及通过API对安全配置(如用户、角色、API密钥)的变更记录。

注意:审计日志功能仅在特定订阅级别提供。

二、启用审计日志

在所有集群节点的elasticsearch.yml配置文件中启用审计:

yaml 复制代码
xpack.security.audit.enabled: true

开启后,每个节点将生成单独的审计日志文件,命名格式为:

复制代码
<clustername>_audit.json

三、审计事件控制设置

可通过以下动态配置控制审计日志记录哪些事件:

3.1 包含指定事件(动态配置)

默认记录的事件:

  • access_denied(访问拒绝)
  • access_granted(访问允许)
  • anonymous_access_denied(匿名访问拒绝)
  • authentication_failed(认证失败)
  • connection_denied(连接拒绝)
  • tampered_request(篡改请求)
  • run_as_deniedrun_as_granted(以他人身份执行的权限事件)
  • security_config_change(安全配置变更)

配置示例:

json 复制代码
PUT /_cluster/settings
{
  "persistent": {
    "xpack.security.audit.logfile.events.include": [
      "access_denied",
      "authentication_failed",
      "security_config_change"
    ]
  }
}

使用_all记录全部事件(不推荐,会产生大量日志)。

3.2 排除指定事件(动态配置)

排除事件示例:

json 复制代码
PUT /_cluster/settings
{
  "persistent": {
    "xpack.security.audit.logfile.events.exclude": ["connection_denied"]
  }
}

3.3 是否记录完整请求体(动态配置)

记录REST请求完整请求体(如搜索查询),默认关闭:

json 复制代码
PUT /_cluster/settings
{
  "persistent": {
    "xpack.security.audit.logfile.events.emit_request_body": true
  }
}

注意:启用此项可能导致敏感数据明文记录。

四、节点信息记录设置

动态配置是否在每条审计事件中包含节点信息:

参数 描述 默认值
emit_node_name 节点名称 false
emit_node_host_address 节点IP地址 false
emit_node_host_name 节点主机名 false
emit_node_id 节点唯一ID true

配置示例:

json 复制代码
PUT /_cluster/settings
{
  "persistent": {
    "xpack.security.audit.logfile.emit_node_host_address": true,
    "xpack.security.audit.logfile.emit_node_name": true
  }
}

五、事件忽略策略

Elasticsearch支持细粒度地定义审计事件的忽略策略。当事件满足某一策略的所有条件时,该事件将不会被记录。

示例(创建名为internal_users的策略,忽略特定用户的审计事件):

json 复制代码
PUT /_cluster/settings
{
  "persistent": {
    "xpack.security.audit.logfile.events.ignore_filters.internal_users.users": ["kibana_system", "logstash_system"],
    "xpack.security.audit.logfile.events.ignore_filters.internal_users.realms": ["native"],
    "xpack.security.audit.logfile.events.ignore_filters.internal_users.actions": ["indices:data/read/*"],
    "xpack.security.audit.logfile.events.ignore_filters.internal_users.roles": ["superuser"],
    "xpack.security.audit.logfile.events.ignore_filters.internal_users.indices": [".kibana*"]
  }
}
  • users:指定用户名或通配符
  • realms:指定认证域或通配符
  • actions:指定动作(如读、写操作)或通配符
  • roles:指定角色或通配符
  • indices:指定索引名或通配符

六、审计日志最佳实践

  • 开启审计日志可提升安全性和合规性,但需注意日志体积和性能影响。
  • 通常建议记录认证失败、权限拒绝、配置变更等关键事件。
  • 明确排除不必要的频繁事件以减少日志量,如健康检查或系统内部用户操作。
  • 定期审阅审计日志,监控异常访问或操作。

七、常见问题与注意事项

  • 审计日志默认关闭,必须明确启用。
  • 动态设置应通过Cluster Update Settings API在集群层级保持一致。
  • 敏感数据在审计事件中可能以明文存储,需审慎启用请求体记录。

八、总结

通过合理配置Elasticsearch审计日志功能,管理员能够有效监控和审查安全相关事件,及时发现潜在风险,保障集群的安全运行。本文介绍的设置方法与最佳实践,将帮助用户在安全与性能之间找到适当平衡。

相关推荐
pingao1413782 小时前
雨雪雾冰全预警:交通气象站为出行安全筑起“隐形防护网”
安全
kura_tsuki3 小时前
[Linux入门] Linux 远程访问及控制全解析:从入门到实战
linux·服务器·安全
gorgor在码农5 小时前
Elasticsearch 的聚合(Aggregations)操作详解
大数据·elasticsearch·搜索引擎
Lyndon11077 小时前
K8S 九 安全认证 TLS
安全·容器·kubernetes
虚伪的空想家9 小时前
记录es收集日志报错问题as the final mapping would have more than 1 type[XXX,doc]
大数据·elasticsearch·搜索引擎·容器·kubernetes·log-pilot
hqxstudying11 小时前
Java异常处理
java·开发语言·安全·异常
Hello.Reader18 小时前
Go-Elasticsearch v9 安装与版本兼容性
elasticsearch·golang·jenkins
终焉暴龙王19 小时前
CTFHub web进阶 php Bypass disable_function通关攻略
开发语言·安全·web安全·php
mykyle21 小时前
Elasticsearch-ik分析器
大数据·elasticsearch·jenkins