01. 建立可观测的日志体系以防御Linux攻击
01.1 统一日志源与采集策略
统一日志源是实现有效防御的前提，涵盖系统级别、内核、认证、应用与容器日志。通过集中采集，能够快速建立全局视图，发现异常模式的能力显著提升。
在实践中，推荐将本地日志管道与远端日志服务器结合，避免单点损坏导致的信息丢失。通过统一的日志传输通道与认证机制，可以降低日志被篡改的风险。
一组可行的实现包括使用rsyslog或syslog-ng作为客户端，将日志汇聚到集中日志平台，并在传输层启用TLS，确保在网络中不会泄漏敏感信息。
# rsyslog 客户端示例（TLS 传输到日志服务器）
*.* @@logserver.example.com:514;RSYSLOG_SyslogProtocol23Format
01.2 日志字段与数据模型
为提升日志分析的可控性，需要规范化字段，如时间戳、主机名、进程名、PID、事件级别、事件ID、来源文件等。
引入结构化日志（如JSON格式）可以使后续的自动化解析更高效，便于与SIEM/EDR系统对接。标准化字段有助于跨主机的模式识别与关联分析。
在设计数据模型时要关注时间同步，避免因时钟漂移导致的事件错序，常用的做法是启用NTP并在所有节点保持一致的时区设置。
{"@timestamp": "2025-08-20T12:34:56.789Z","hostname": "host01","service": "sshd","level": "WARN","event_id": "AUTH_FAILED","user": "root","src_ip": "192.0.2.45"
}
01.3 日志保留与完整性保护
日志保留策略应覆盖不同生命周期需求：短期用于实时检测，长期用于合规与取证。通过轮转与归档，可以避免单个日志文件过大导致的性能问题。
为了防止日志被篡改，需在只读存储与文件校验层面建立保护，常用做法是配置日志完整性检查与⼀致性验证机制。
在实现中，可以部署AIDE或Tripwire等主机完整性检测工具，对关键日志文件定期进行哈希、比对与告警。
# logrotate 示例，保持最近 30 天的日志
/var/log/*.log {dailyrotate 30compressmissingoknotifemptycreate 0640 root adm
}
02. 常用日志源的防御价值与落地方案
02.1 系统日志与认证日志
系统日志与认证相关日志是检测异常行为的第一道屏障，包含登录、sudo、su、crontab、内核警告等事件。
通过建立规则基线，能够在出现重复失败、异常提权、未授权访问等场景时触发告警。
将认证日志与容器/应用日志关联，可以发现横向移动的证据，提升早期告警能力。
# 登录失败次数告警（示意，需结合实际日志源）
# 假设使用 journald 的日志
journalctl _SYSTEMD_UNIT=sshd.service -p err -n 20
02.2 应用日志与容器日志
应用日志提供业务层面的攻击线索，容器日志则有助于发现容器逃逸、镜像篡改、未授权访问等风险。
在微服务架构中，建议统一对应用程序日志、网络流量日志、容器运行时日志进行聚合，以便进行跨维度的因果分析。
对关键应用，启用结构化日志与事件ID，并建立基于聚合查询的告警规则，提高误报的可控性。
# 容器日志聚合配置（示例，假设使用 fluentd 收集）
@logserver.example.com:24224
03. 基于审计与告警的入侵检测流程
03.1 审计守则与审计规则
审计制度是底层保障，通过记录对系统安全相关资源的访问与变更，为后续分析提供线索。
在Linux下，auditd可实现细粒度的访问审计，规则应覆盖关键文件、敏感配置、用户权限变更等。
持续性的审计意味着日志不应被简单删除，应具备不可避免的留存与可检索性。
# auditd 规则示例：监控 /etc/passwd 的写操作
auditctl -w /etc/passwd -p wa -k passwd_changes
ausearch -k passwd_changes -i
03.2 告警策略与告警渠道
告警策略应基于事件相关性与阈值设定，避免过于泛化或错报。
常见渠道包括邮件、短信、消息队列、SLA 级别的工单系统等，确保在不同场景下都能迅速得到关注。
在企业级场景中，基于策略的响应流程与自动化处置脚本相结合，可以缩短检测到威胁后的响应时间。
# fail2ban 简单示例：对 SSH 尝试次数过多的源地址进行阻断
[sshd]
enabled = true
port = ssh
logpath = /var/log/auth.log
maxretry = 5
bantime = 600
actions = iptables[name=SSH, port=ssh, protocol=tcp]
04. 日志防御的自动化与合规性实践
04.1 日志轮转与存储策略
轮转策略决定了日志文件的可管理性与检索效率，避免单日日志过大导致的性能下降。
同时，存储分区分离与冷/热数据分层能提升系统稳定性与成本控制。
在合规环境中，确保日志保留期符合行业标准与法规要求，并对不可更改性进行审计记录。
# logrotate 配置片段
logrotate:- /var/log/*.log:daily: truerotate: 90compress: truemissingok: true
04.2 日志完整性与不可变性
日志的不可变性对取证至关重要，通常通过只读存储、时间戳一致性与哈希链实现。
通过AIDE、Tripwire等工具对关键日志进行定期比对，可以快速发现篡改行为并触发告警。
不可变性策略应覆盖日志目录、归档文件以及备份介质，确保即使在系统被攻破后仍能追溯。
# 使用 aide 进行日志文件的完整性检查
aide --init
# 将生成的数据库放置在只读位置，后续定期更新与比对
05. 在云原生环境中的日志防御要点
05.1 Kubernetes 日志与审计
在云原生架构中，Kubernetes 提供了丰富的日志与事件，需要将节点、容器、网络和调度相关信息整合到统一视图中。
开启 kube-audit 与容器运行时的日志输出，并将其转发到集中日志平台，能够实现跨集群的一致安全态势感知。
对于集群内的异常行为，如 未授权 API 调用、异常调度，应设定明确的告警阈值与响应流程。
# Kubernetes 审计策略示例
apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: Metadataresources:- group: ""resources: ["pods", "secrets"]
05.2 弹性与跨云的日志路由
跨云环境需要在网络、格式、时钟和权限方面实现一致性，确保日志能够在多云环境中被有效收集与分析。
采用集中化日志管道与跨区域备份，并统一加密、认证、和时间同步策略，可以提升可观测性和应急能力。
在容器化与服务器化混合环境中，建议使用统一的日志代理栈，确保各组件的日志格式和字段保持一致，以便快速进行事件关联分析。
# Fluent Bit 设置跨区域输出到日志中心（示意）
[OUTPUT]
name es
match *
host logserver.global
port 9200
