如何设置Web日志审计的访问控制？
美国、香港服务器
如何设置Web日志审计的访问控制？
06-30 来源:
Web 日志审计：存储方案 + 日志分析完整部署方案
一、第一层：Linux 本地日志文件访问控制（防止服务器内越权读取、篡改日志）
1. 日志目录 & 文件最小权限加固
bash
运行
# 归属root，仅nginx组可读，其他用户禁止访问
chown root:nginx /var/log/nginx
chmod 700 /var/log/nginx
# 日志文件仅root、nginx可读
chmod 640 /var/log/nginx/*.log
2. 日志防删除、防篡改（审计核心）
bash
运行
# 追加锁定：只能写入，不能删除、修改、覆盖（攻击者无法擦除入侵痕迹）
chattr +a /var/log/nginx/*.log
注意：chattr +a 需要 logrotate 配置 copytruncate 才能正常日志切割，否则轮转失败。
3. 限制系统用户访问
仅运维账号加入nginx用户组可读取日志：
bash
运行
usermod -aG nginx 你的运维用户名
普通业务用户禁止加入该组，杜绝越权查看访问日志、敏感请求参数。
4. 监控日志目录操作行为（auditd 审计）
bash
运行
# 安装审计服务
apt install auditd -y || dnf install auditd -y
# 监控日志目录的读写删除修改行为
auditctl -w /var/log/nginx -p rwxa -k nginx_log_audit
# 查看谁操作过日志
ausearch -k nginx_log_audit -i
二、第二层：轻量方案（GoAccess 可视化页面）Web 访问控制
方式 1：Nginx 账号密码认证（HTTP Basic Auth，必配）
生成密码文件
bash
运行
# CentOS
yum install httpd-tools -y
# Ubuntu
apt install apache2-utils -y
# 创建加密用户（admin自定义，密码自定义）
htpasswd -c /etc/nginx/.log_auth admin
Nginx 站点配置日志页面鉴权 + IP 白名单
nginx
location = /log_audit.html {
# 1.账号密码认证
auth_basic "日志审计访问验证";
auth_basic_user_file /etc/nginx/.log_auth;
# 2.仅允许固定运维IP访问
allow shturl.cc/t8JzGXUa;
deny all;
root /usr/share/nginx/html;
}
# GoAccess实时WebSocket同步端口限制内网/运维IP
location /goaccessws {
allow shturl.cc/t8JzGXUa;
deny all;
proxy_pass http://127.0.0.1:7890;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection "upgrade";
}
配置 HTTPS 访问，避免 Basic Auth 明文传输，重载 Nginx 生效
bash
运行
nginx -t && systemctl reload nginx
方式 2：仅内网部署，禁止公网开放
日志分析页面仅监听127.0.0.1，通过内网跳板机访问，公网直接无法触达。
三、第三层：网络层访问控制（防火墙 + 安全组）
云安全组：日志分析端口（80/443、7890）仅放行运维固定公网 IP，拒绝0.0.0.0/0全网开放。
系统防火墙（iptables/firewalld）
bash
运行
# iptables示例：仅允许运维IP访问日志Web端口
iptables -A INPUT -s 你的运维IP/32 -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP
禁止日志服务器主动出外网，防止日志数据泄露外传。
四、第四层：企业 ELK (Kibana) 集中式日志平台细粒度访问控制
依托 ES X-Pack 安全模块，实现多用户、角色、索引级、字段级权限隔离。
1. 开启 ES 安全认证
elasticsearch.yml添加配置：
yaml
xpack.security.enabled: true
xpack.security.enrollment.enabled: true
初始化内置超级管理员密码：
bash
运行
elasticsearch-reset-password -u elastic
2. 角色精细化权限划分（最小权限原则）
常用内置角色
superuser：超级管理员（仅 1 人使用）
kibana_admin：平台管理、用户、仪表盘配置权限
viewer：只读审计角色（推荐给运维、安全人员，只能查询日志、不能修改配置、删除索引）
自定义只读审计角色
访问 Kibana → 【Stack 管理】→【安全】→【角色】→【创建角色】
索引权限：仅授予read、view_index_metadata，禁止write、delete
Kibana 权限：仅开放 Discover、Dashboard 只读权限，屏蔽系统配置、用户管理功能
可配置文档 / 字段级别权限：比如业务 A 用户只能查看业务 A 日志，无法查看其他业务敏感日志。
3. 多租户空间隔离（Spaces）
创建独立 Space，不同业务日志仪表盘、索引分开存放，跨空间不可见，实现业务数据隔离访问。
4. 访问附加安全策略
Kibana 仅内网部署，Nginx 反向代理增加 IP 白名单 + Basic 二次鉴权；
开启登录失败锁定，多次密码错误封禁 IP；
所有用户操作日志留存审计，记录谁在什么时间查询了哪些日志。
五、云日志平台（阿里云 SLS / 腾讯 CLS）访问控制
子账号 RAM 权限管控：
新建只读子账号，仅授予日志查询、导出权限，禁止日志修改、删除、采集配置变更；
通过 IP 白名单限制子账号只能从企业固定出口 IP 登录控制台。
开启日志不可篡改存储，同时操作行为审计日志，所有检索、导出操作全程留痕。
配置数据脱敏：手机号、Cookie、用户 ID 等敏感字段查询自动脱敏展示。
六、访问控制安全最佳实践（等保合规要求）
三要素防护：身份认证（账号密码）+ 网络白名单（IP）+ 权限最小化（只读），禁止单一防护。
禁止日志审计页面公网全网开放，优先内网 + 跳板机访问。
日志文件、归档文件仅允许只读，任何修改、删除操作必须留审计记录。
多人运维场景：一人一账号，禁止共享管理员账号，所有访问行为可溯源。
定期清理闲置账号、回收离职人员日志访问权限，每季度权限审计。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
