CentOS下Filebeat如何實現日志加密

在CentOS下，要實現Filebeat日志加密，你可以使用以下方法：

1. 使用Filebeat的加密功能（自6.0版本起支持）

Filebeat 6.0版本引入了對日志加密的支持。要使用此功能，你需要執行以下步驟：

a. 生成密鑰對

首先，你需要生成一個公鑰和私鑰對。你可以使用OpenSSL或其他工具生成密鑰對。例如，使用OpenSSL生成密鑰對的命令如下：

openssl genrsa -out private_key.pem 2048
openssl rsa -pubout -in private_key.pem -out public_key.pem

這將生成一個名為private_key.pem的私鑰文件和一個名為public_key.pem的公鑰文件。

b. 配置Filebeat

編輯Filebeat配置文件（通常位于/etc/filebeat/filebeat.yml），并添加以下內容：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /path/to/your/log/files/*.log

processors:
- encrypt:
    fields:
      - private_key_path: "/path/to/your/private_key.pem"
      - public_key_path: "/path/to/your/public_key.pem"
      - field: "your_field_to_encrypt"
        method: "AES"
        options:
          key: "your_encryption_key"
          cipher: "GCM"
          tag: "your_tag_for_encrypted_field"

將/path/to/your/log/files/*.log替換為你要監控的日志文件的路徑，將/path/to/your/private_key.pem和/path/to/your/public_key.pem替換為之前生成的密鑰文件路徑，將your_field_to_encrypt替換為要加密的字段名稱，將your_encryption_key替換為用于加密的密鑰。

c. 重啟Filebeat

保存配置文件并重啟Filebeat服務以應用更改：

sudo systemctl restart filebeat

現在，Filebeat將加密指定的字段，并將加密后的值發送到輸出模塊（例如Elasticsearch或Logstash）。

2. 使用Logstash或其他中間件進行加密

如果你使用的是Filebeat的輸出模塊（例如Elasticsearch或Logstash），你可以在將這些數據發送到最終目的地之前，在Logstash或其他中間件中實現加密。

例如，你可以使用Logstash的encrypt插件來實現加密。首先，安裝encrypt插件：

sudo bin/logstash-plugin install logstash-output-encrypt

然后，在Logstash配置文件中添加以下內容：

input {
  beats {
    port => 5044
  }
}

filter {
  # 解析日志數據，提取要加密的字段
}

output {
  encrypt {
    codec => "aes"
    key => "your_encryption_key"
    cipher => "GCM"
    tag => "your_tag_for_encrypted_field"
    private_key_path => "/path/to/your/private_key.pem"
    public_key_path => "/path/to/your/public_key.pem"
  }
  elasticsearch {
    hosts => ["localhost:9200"]
    index => "your_index_name"
  }
}

將your_encryption_key、your_tag_for_encrypted_field、/path/to/your/private_key.pem和/path/to/your/public_key.pem替換為相應的值。

最后，重啟Logstash服務以應用更改：

sudo systemctl restart logstash

這樣，Filebeat將日志數據發送到Logstash，然后Logstash將對指定的字段進行加密，并將加密后的數據發送到Elasticsearch。