*本文原创作者：chuanwei，本文属FreeBuf原创奖励计划，未经许可禁止转载

前言

笔者使用ELK日志系统搭建了日志系统，由于ELK日志系统默认是没有认证功能，日志存储安全无法保证，ELK自身的漏洞也可能增加风险。本文中笔者采用nginx进行代理认证，写此文希望用自己的实验成果能帮到需要的人，提高安全管理人员安全意识。

1.背景

由于网络安全法要求信息系统运营单位的网络日志保留时间不低于6个月，在信息安全等级保护中也有相应要求，日志记录的保存也是执法检查部门近年的关注的重点，原因即是为了安全事件的事后追查，因此信息系统产生的各种日志必须进行安全的保存，规避违法违规风险，尽到作为信息系统运营单位安全保护责任。

因笔者在某政府单位驻场安全运维，该单位没有日志系统，因此决定使用著名的ELK日志系统搭建了日志系统，用于收集全网日志，包括网络设备syslog、操作系统syslog、apahce、tomcat、iis、was、weblogic等。由于ELK日志系统默认是没有认证功能，日志存储安全无法保证，ELK自身的漏洞也可能增加风险，很多人忽略了这一点，网上也没有文章强调认证。本文中我采用了nginx进行代理认证，写此文希望用自己的实验成果能帮到需要的人，提高安全管理人员安全意识。

2. 运行环境

windows 2008 R2 两台作为日志系统服务端， 安装Elasticsearch 5.6.9、Logstash 5.6.9、Nginx1.14.0、JDK1.8+。

centos 6.9 一台作为日志系统客户端，安装filebeat 5.6.9

3. 方案

filebeat：作为客户端采集网站A 网站B....的apache、tomcat、nginx等中间件log文件，并配置tags（用于区分日志类型）和fields:service（用于区分日志来源网站建立不同索引）参数，不使用logstash作为客户端的原因是logstash太占用资源了，还需要java环境。filebeat接收syslog和filebeat发来的日志在filter中根据tags类型格式化，在output中根据fields:service配置索引输出到Elasticsearch不同网站建立不同索引。客户端不会直接请求Elasticsearch的9200端口，确保安全。

Elasticsearch：安装到windows服务器，作日志存储处理，所在服务器开启防火墙：

策略1：允许集群节点之间tcp9200、tcp9300端口、ping通信。

策略2：允许filebeat客户端访问服务器tcp54320和udp514端口（logstash中定义）。策略3：允许管理员ip访问经过nginx代理认证后的head插件端口tcp19100（nginx中自定义）、Elasticsearch的tcp19200端口和kibana的tcp15601端口，方便管理员远程管理。所有策略配置好后客户端无法直接访问Elasticsearch的9100、9200、9300端口和kibana的5601端口，仅管理员可访问代理后的19100、19200、15601端口，对应9100、9200、5601端口。

Kibana：安装到windows服务器，作为日志展示和查询。

Elasticsearch-head：Elasticsearch的图形管理插件。

Nginx：安装到主windows服务器节点，因为Elasticsearch默认是无认证的，日志可被恶意删除，无论在内网还是公网都是非常危险的，因此有必要采用nginx进行反向代理认证。

Nssm：将免安装的logstah、kibana、nginx安装为服务，配置为自动启动。

*对于性能有需求的可考虑使用redis，非本文关注重点，不再介绍了。

4. 下载必要软件和版本选择

*ELK5.6.9支持到windows server 2008 操作系统，更高版本需要windows server 2012操作系统。资源下载地址：

Elasticsearch 5.6.9：https://artifacts.elastic.co/downloads/elasticsearch/elasticsearch-5.6.9.zip

Logstash 5.6.9：https://artifacts.elastic.co/downloads/logstash/logstash-5.6.9.zip

filebeat 5.6.9 Linux：https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-5.6.9-x86_64.rpm

filebeat 5.6.9 Windows：https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-6.3.2-windows-x86_64.zip

Kibana 5.6.9：https://artifacts.elastic.co/downloads/kibana/kibana-5.6.9-windows-x86.zip

JDK（1.8以上）：http://download.oracle.com/otn-pub/java/jdk/8u171-b11/512cd62ec5174c3487ac17c61aaa89e8/jdk-8u171-windows-x64.exe

elasticsearch-head：https://github.com/mobz/elasticsearch-head#running-with-built-in-server

nginx 1.14.0：http://nginx.org/download/nginx-1.14.0.zip

nssm：http://www.nssm.cc/release/nssm-2.24.zip

5. 安装ELK

5.1 Elasticsearch安装配置

解压修改配置文件即可运行。

请注意有一个坑：elasticsearch必须是两个组成集群，不然会出现错误，也可在同一台服务器运行两个elasticsearch，如果启动报错，是因为复制两个elasticsearch时data目录已有数据，造成冲突，清空data里面的数据即可启动两个elasticsearch。本文采用两台服务器搭建，配置如下：

主节点配置文件elasticsearch.yml

#禁用虚拟内存，提高性能
bootstrap.memory_lock: true
#节点名称自定义：
cluster.name: elasticsearch
#数据通信端口：
http.port: 9200
#监听网卡ip
network.host: 192.168.1.1
#是否是数据节点：
node.data: true
#关闭即可：
node.ingest: true
#是否是主节点,不定义的话先启动的是主节点：
node.master: true
#最大存储节点：
node.max_local_storage_nodes: 1
#节点名字自定义：
node.name: Win-Master-1
#数据文件路径
path.data: D:\elk\elasticsearch\data
path.logs: D:\elk\elasticsearch\logs
#节点间通信端口：
transport.tcp.port: 9300
#节点ip，节点之间要允许ping和9300端口通信
discovery.zen.ping.unicast.hosts: ["192.168.1.1", "192.168.1.2"]
#head插件相关：
http.cors.enabled: true
http.cors.allow-origin: "*"

备节点配置文件elasticsearch.yml

#禁用虚拟内存，提高性能
bootstrap.memory_lock: true
#节点名称自定义：
cluster.name: elasticsearch
#数据通信端口：
http.port: 9200
#监听网卡ip
network.host: 192.168.1.2
#是否是数据节点：
node.data: true
#关闭即可：
node.ingest: true
#是否是主节点,不定义的话先启动的是主节点：
node.master: false
#最大存储节点：
node.max_local_storage_nodes: 1
#节点名字自定义：
node.name: Win-salve-1
#数据文件路径
path.data: D:\elk\elasticsearch\data
path.logs: D:\elk\elasticsearch\logs
#节点间通信端口：
transport.tcp.port: 9300
#节点ip，节点之间要允许ping和9300端口通信
discovery.zen.ping.unicast.hosts: ["192.168.1.1", "192.168.1.2"]
#head插件相关：
http.cors.enabled: true
http.cors.allow-origin: "*"

安装服务

进入bin目录在cmd中运行：

elasticsearch-service.bat install
#图形服务管理工具或windows服务中启动服务
elasticsearch-service-mgr.exe

安装head插件

1.下载安装node.js ,网址：https://nodejs.org/en/2.nodejs安装目录下运行：

npm install -g grunt-cli

3.下载head插件，网址：https://github.com/mobz/elasticsearch-head/archive/master.zip4.解压到elasticsearch下，自定义目录名称head，修改以下源码：

head/Gruntfile.js

connect: {
    server: {
        options: {
            port: 9100,
            hostname: '*',
            base: '.',
            keepalive: true
        }
    }
}

head/_site/app.js

this.base_uri = this.config.base_uri || this.prefs.get("app-base_uri") || "http://192.168.1.1:19100/elasticsearch/";
#这里的地址和第六章nginx代理配置对应。

5.2 logstash 安装配置

解压修改配置文件即可。

新建配置文件logstash.conf

input{
    stdin{
    }
    #配置端口，接收syslog日志：
    syslog {
        type => syslog
        port => 514
    }
    #配置端口，接收filebeat发来的日志。
    beats {
        port => 54320

    }
    #logstash做客户端时的配置举例，本方案不采用，故注释掉。
    #file {
    #    path => "D:/log/apache/access-*.log"
    #    type => "apache_access"
    #    start_position => "beginning"
    #    ignore_older => 0 #读取已有的日志文件
    #}

}
filter {
    #logstash做客户端时的配置举例，本方案不采用，故注释掉。
    #if [type] == "apache_access" {
    #    grok {
    #    match => {"message" => "%{COMBINEDAPACHELOG}" }
    #    }
    #}

    #filebeat做客户端时的配置
    #filter其实也可以不配置，但不利于根据字段搜索和分析日志。
    if "apache_access" in [tags] {
        grok {
        match => {"message" => "%{COMBINEDAPACHELOG}" }
        }
        #%{COMBINEDAPACHELOG}内置的apcahe日志匹配规则。
    }
    if "nginx_access" in [tags] {
        grok {
        match => {"message" => "%{COMBINEDAPACHELOG} %{QS:x_forwarded_for} %{HOSTNAME:server_name}" }
        }
        #为了便于搜索多二级域名的网站，这里修改nginx默认日志字段后，添加了{HOSTNAME:server_name}规则，nginx比apahce增加了一个{QS:x_forwarded_for}这里也加上了。
    }
    if "tomcat_access" in [tags] {
        grok {
        match => {"message" => "%{COMBINEDAPACHELOG}" }
        }
        #%{COMBINEDAPACHELOG}内置的日志匹配规则，可自定义。
    }

}

output{
    #logstash做客户端时的配置，输出到elasticsearch，，本方案不采用，故注释掉。
    #if [type] == "apache_access" {
    #    elasticsearch{
    #        hosts => ["10.0.21.194:9200"]
    #        index => "apache-%{+YYYY.MM.dd}"
    #    }
    #}

    #syslog到elasticsearch
    if [type] == "syslog" {
        elasticsearch{
            hosts => ["192.168.1.1:9200"]
            index => "syslog-%{+YYYY.MM.dd}"
        }
    }
    #根据filebeat中service不同域名建立不同索引，输出到elasticsearch
    if [fields][service] == "www.a.com" {
        elasticsearch{
            hosts => ["192.168.1.1:9200"]
            index => "www.a.com-%{+YYYY.MM.dd}"
        }
    }
    #根据filebeat中service不同域名建立不同索引，输出到elasticsearch
    if [fields][service] == "www.b.com" {
        elasticsearch{
            hosts => ["192.168.1.1:9200"]
            index => "www.c.com-%{+YYYY.MM.dd}"
        }
    }
    #其他日志
    elasticsearch{
        hosts => ["192.168.1.1:9200"]
        index => "other-%{+YYYY.MM.dd}"
    }
    #输出到屏幕
    stdout{
        codec=>rubydebug
    }
}

#提示：如果你想在业务服务器上使用logstash做客户端,但服务器是低版本java，logstash又需要以JDk1.8以上运行，可在logstash/startup.option配置文件中的set参数指定高版本JAVACMD路径，亲测可用。

安装服务

在bin目录新建一个logstash-start.bat文件写入：

logstash.bat logstash.conf

在cmd中使用nssm安装服务，选择logstash-start.bat路径，并配置启动依赖于“elasticsearch-service”服务（确保开启自启动正常）：

nssm install logstash

关于filter的grok正则处理，单独说一下：

1.apahce日志Logstash 默认自带了 apache 标准日志的 grok 正则:

COMMONAPACHELOG %{IPORHOST:clientip} %{USER:ident} %{NOTSPACE:auth} \[%{HTTPDATE:timestamp}\] "(?:%{WORD:verb} %{NOTSPACE:request}(?: HTTP/%{NUMBER:httpversion})?|%{DATA:rawrequest})" %{NUMBER:response} (?:%{NUMBER:bytes}|-)
COMBINEDAPACHELOG %{COMMONAPACHELOG} %{QS:referrer} %{QS:agent}

nginx 标准日志的 grok 正则定义是：

MAINNGINXLOG %{COMBINEDAPACHELOG}

2.对于 nginx 标准日志格式默认的nginx的log_format配置可能是下面这样：

log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for"';

nginx比Apache多了一个 $http_x_forwarded_for 变量，所以 nginx 标准日志的 grok 正则定义是：

MAINNGINXLOG %{COMBINEDAPACHELOG} %{QS:x_forwarded_for}

3.为了便于搜索日志，在可日志中加一个server name字段，也即网站的域名，适用于网站群的情况，便于区分不同网站日志。

log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$http_x_forwarded_for" $server_name';

添加server_name后的grok 正则定义：

MAINNGINXLOG %{COMBINEDAPACHELOG} %{QS:x_forwarded_for} %{HOSTNAME:server_name}

对于默认正则的修改可以这样在默认正则后面追加，前提是x_forwarded_for、server_name的正则在默认正则中是存在的：

match => {"message" => "%{COMBINEDAPACHELOG} %{QS:x_forwarded_for} %{HOSTNAME:server_name}" }

4.如何自定义规则。

默认的grok正则定义文件在下面路径：logstash/vendor/bundle/jruby/1.9/gems/logstash-patterns-core-0.3.0/patterns下。如果要自定义新的，在logstah.conf中指定规则文件路径即可，自定义规则优先级大于默认规则，举例如下：

grok {
            patterns_dir => "/usr/local/logstash/patterns"        //设置自定义正则路径
            match => {
                        "message" => "%{NGINXACCESS}"
                    }
    }

5.3 kibana 安装配置

解压修改配置文件即可。

修改配置文件config/kibana.yml

因为采用了nginx进行本地代理，只允许localhost本地访问即可。

server.port: 5601
server.host: "localhost"
elasticsearch.url: "http://192.168.1.1:9200"

安装服务

在bin目录新建一个kibana-start.bat文件写入：

kibana.bat

在cmd中使用nssm安装服务，选择kibana.bat路径，并配置启动依赖于“logstash”服务（确保开机自启动正常）：

nssm install kibana

6. filebeat 安装配置

6.1 filebeat安装

仅介绍linux下安装，windows同理。

rpm -ivh filebeat-5.6.9-x86_64.rpm

6.2 修改配置文件filebeat.yml

filebeat.prospectors:
- input_type: log
  paths:
    - /usr/local/nginx/logs/*.log
  tags: ["nginx_access"]
  fields:
      service : www.a.com
output.logstash:
  hosts: ["192.168.1.1:54320"]
#参数说明：
#tages是标记日志类型，便于logstah进行filter格式化，对应logstah配置。
#service 是为了在logstash中根据不同网站发来的日志建立不同的Elasticsearch索引，方便日志查询，建议填写系统域名或别名，对应logstah配置。
#yml格式是根据缩进判断参数，相同缩进为一类参数，注意缩进。

6.3 自启动

systemctl enable filebeat或chkconfig filebeat on

6.4 logrotate 配置

由于我们将日志远程存储，本地日志就没有必要一直保留，占用存储空间，apahce自带日志分割功能，不再写具体方法了，默认情况下nginx、tomcat等产生的日志一直保存，我们可以使用logrotate分割日志，logrotate的配置文件在/etc/logrotate.conf。

举例配置如下：/usr/local/nginx/logs/*.log位置是新添加的，前面的可注释掉。

# see "man logrotate" for details
# rotate log files weekly
weekly

# keep 4 weeks worth of backlogs
rotate 4

# create new (empty) log files after rotating old ones
create

# use date as a suffix of the rotated file
dateext

# uncomment this if you want your log files compressed
compress

# RPM packages drop log rotation information into this directory
include /etc/logrotate.d

# no packages own wtmp and btmp -- we'll rotate them here
#/var/log/wtmp {
#    monthly
#    create 0664 root utmp
#     minsize 1M
#    rotate 1
#}

#/var/log/btmp {
#    missingok
#    monthly
#    create 0600 root utmp
#    rotate 1
#}
/usr/local/nginx/logs/*.log{
daily
rotate 90
missingok
notifempty
dateext
compress
delaycompress
create 600 root root
sharedscripts
postrotate
    if [ -f /usr/local/nginx/logs/nginx.pid ]; then
        kill -USR1 `cat /usr/local/nginx/logs/nginx.pid`
    fi
endscript
}
# system-specific logs may be also be configured here.

logrotate主要参数如下表：

参数 功能
compress 通过gzip 压缩转储以后的日志
nocompress 不需要压缩时，用这个参数
copytruncate 用于还在打开中的日志文件，把当前日志备份并截断
nocopytruncate 备份日志文件但是不截断
create mode owner group 转储文件，使用指定的文件模式创建新的日志文件
nocreate 不建立新的日志文件
delaycompress 和 compress 一起使用时，转储的日志文件到下一次转储时才压缩
nodelaycompress 覆盖 delaycompress 选项，转储同时压缩。
errors address 专储时的错误信息发送到指定的Email 地址
ifempty 即使是空文件也转储，这个是 logrotate 的缺省选项。
notifempty 如果是空文件的话，不转储
mail address 把转储的日志文件发送到指定的E-mail 地址
nomail 转储时不发送日志文件
olddir directory 转储后的日志文件放入指定的目录，必须和当前日志文件在同一个文件系统
noolddir 转储后的日志文件和当前日志文件放在同一个目录下
prerotate/endscript 在转储以前需要执行的命令可以放入这个对，这两个关键字必须单独成行
postrotate/endscript 在转储以后需要执行的命令可以放入这个对，这两个关键字必须单独成行
daily 指定转储周期为每天
weekly 指定转储周期为每周
monthly 指定转储周期为每月
rotate count 指定日志文件删除之前转储的次数，0 指没有备份，5 指保留5 个备份
tabootext [+] list 让logrotate 不转储指定扩展名的文件，缺省的扩展名是：.rpm-orig, .rpmsave, v, 和 ~ 
size size 当日志文件到达指定的大小时才转储，Size 可以指定 bytes (缺省)以及KB (sizek)或者MB (sizem).

7. 配置nginx反向代理及认证

7.1 修改配置文件nginx.conf

    upstream kibana {
                server  127.0.0.1:5601;
        }

    upstream head {
                server  127.0.0.1:9100;
        }
    upstream elasticsearch {
                server  192.168.1.1:9200;            
        }
    server  {
                    listen          15601;
                    server_name     192.168.1.1;
                    location / {
                        proxy_set_header Host $host;
                        proxy_set_header X-Real-IP $remote_addr;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

                        #配置帐号密码,在linux上使用命令，生成一个密码文件#命令：htpasswd -bc ./password admin 123456
                        #复制到windows上D:\elk\head-nginx\conf\password
                        auth_basic "login";#提示信息
                        auth_basic_user_file D:\elk\head-nginx\conf\password; #密码文件（写绝对路径，注意\n转义）
                        autoindex on;
                        proxy_pass http://kibana;

                    }
                    error_log           logs/kinaba._route_error.log;
                    access_log          logs/kinaba._route_access.log main;    

            }
    server  {
                    listen          19100;
                    server_name     192.168.1.1 localhost;

                    #配置帐号密码，同上
                    auth_basic "login";#提示信息
                    auth_basic_user_file D:\elk\head-nginx\conf\password; #密码文件（写绝对路径，别相对路径，注意转义）
                    autoindex on;

                    location / {
                        proxy_pass http://head/;
                        proxy_set_header Host $host;
                        proxy_set_header X-Real-IP $remote_addr;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                    }
                    #这里使用http://192.168.1.1:19100/elasticsearch/请求9200服务，因此在head插件中配置elasticsearch服务路径是http://192.168.1.1:19100/elasticsearch/。
                    location /elasticsearch/ {
                        proxy_pass http://elasticsearch/;
                        proxy_set_header Host $host;
                        proxy_set_header X-Real-IP $remote_addr;
                        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                    }
                    error_log           logs/kinaba._route_error.log;
                    access_log          logs/kinaba._route_access.log main;    

            }

7.2 安装服务

在根目录新建一个nginx-start.bat文件写入：

nginx.exe

在cmd中使用nssm安装服务，选择nginx.exe路径：

nssm install nginx

参考连接：

https://blog.csdn.net/yx1214442120/article/details/55102298

https://blog.csdn.net/pilihaotian/article/details/52452010

*本文原创作者：chuanwei，本文属FreeBuf原创奖励计划，未经许可禁止转载