CentOS中Filebeat如何進行日志加密

在CentOS系統中，使用Filebeat進行日志加密可以通過以下步驟實現：

1. 安裝Filebeat

首先，確保你已經在CentOS上安裝了Filebeat。如果還沒有安裝，可以使用以下命令進行安裝：

sudo yum install filebeat -y

2. 配置Filebeat

編輯Filebeat的配置文件/etc/filebeat/filebeat.yml，添加或修改以下內容以啟用日志加密。

2.1 啟用TLS/SSL

為了加密Filebeat與Elasticsearch之間的通信，你需要配置TLS/SSL。

生成證書

你可以使用OpenSSL生成自簽名證書：

# 生成CA證書
openssl genrsa -out ca-key.pem 2048
openssl req -new -x509 -days 365 -key ca-key.pem -out ca-cert.pem -subj "/CN=MyCA"

# 生成服務器證書
openssl genrsa -out server-key.pem 2048
openssl req -new -key server-key.pem -out server-csr.pem -subj "/CN=localhost"

# 生成服務器證書簽名請求
openssl x509 -req -in server-csr.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 365

# 生成客戶端證書
openssl genrsa -out client-key.pem 2048
openssl req -new -key client-key.pem -out client-csr.pem -subj "/CN=client"

# 生成客戶端證書簽名請求
openssl x509 -req -in client-csr.pem -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 365

配置Filebeat

在/etc/filebeat/filebeat.yml中添加以下配置：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log

output.elasticsearch:
  hosts: ["https://localhost:9200"]
  ssl.certificate_authorities: ["/etc/filebeat/ca-cert.pem"]
  ssl.certificate: "/etc/filebeat/server-cert.pem"
  ssl.key: "/etc/filebeat/server-key.pem"

setup.template.settings:
  index.number_of_shards: 1

xpack.monitoring.collection.enabled: true

2.2 配置日志加密

如果你需要對日志文件本身進行加密，可以使用Linux的gpg工具。

加密日志文件

在Filebeat的輸入配置中，添加一個處理器來加密日志文件：

processors:
- add_cloud_metadata: ~

- decrypt_logs:
    fields: ["log"]
    secret_key: "your-secret-key"
    output_mode: "copy"

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/*.log
  processors:
    - decrypt_logs:
        fields: ["log"]
        secret_key: "your-secret-key"
        output_mode: "copy"

3. 啟動Filebeat

保存配置文件后，啟動Filebeat服務：

sudo systemctl start filebeat
sudo systemctl enable filebeat

4. 驗證配置

確保Filebeat能夠正常發送加密的日志到Elasticsearch。你可以檢查Elasticsearch的日志和Filebeat的日志來驗證配置是否正確。

sudo tail -f /var/log/filebeat/filebeat
sudo tail -f /var/log/elasticsearch/elasticsearch.log

通過以上步驟，你可以在CentOS系統中使用Filebeat進行日志加密，確保日志在傳輸和存儲過程中的安全性。