Filebeat日志加密配置方法及操作步骤详解

在当今安全环境下，日志数据的安全传输与存储变得尤为重要。Filebeat 作为一款轻量级日志采集器，提供了多种加密方案以满足不同安全需求。以下梳理两种主流方式：一是利用 Filebeat 自带的字段级加密（从 6.0 版本开始支持），二是通过 TLS/SSL 加密整个数据传输通道。两种方法各有适用场景，下面逐一详细说明。

Filebeat 内置字段级加密详解（自 6.0 版本起支持）

如果仅需对日志中的特定敏感字段（如用户 ID、IP 地址等）进行加密保护，而非加密整个日志内容，Filebeat 内置的 `encrypt` 处理器是非常合适的选择。这一功能尤其适用于需要数据脱敏的合规场景。操作流程分为三步：

1. 生成密钥对
   首先使用 OpenSSL 生成一对 RSA 公私钥，用于后续加密与解密流程。示例命令如下：

   openssl genrsa -out private_key.pem 2048
   openssl rsa -pubout -in private_key.pem -out public_key.pem

2. 配置 Filebeat 处理器
   编辑 Filebeat 配置文件（通常位于 /etc/filebeat/filebeat.yml），在输入配置中添加 `encrypt` 处理器。以下示例展示了如何加密指定字段，并采用 AES-GCM 加密算法：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /path/to/your/log/files/*.log
     processors:
       - encrypt:
           fields:
             - private_key_path: "/path/to/your/private_key.pem"
             - public_key_path: "/path/to/your/public_key.pem"
             - field: "your_field_to_encrypt"
             method: "AES"
             options:
               key: "your_encryption_key"
               cipher: "GCM"
               tag: "your_tag_for_encrypted_field"

   请注意：此处的 key 和 tag 需根据实际安全需求自定义，并确保下游系统（如 Logstash 或自定义解码脚本）能够正确解密。

3. 重启 Filebeat 服务
   保存配置后，重启 Filebeat 使新配置生效：

   sudo systemctl restart filebeat

使用 TLS/SSL 加密实现安全数据传输

如果需要将整个日志内容加密传输（例如从 Filebeat 到 Elasticsearch、Logstash 或 Kafka），TLS/SSL 是更标准、更全面的解决方案。它能够保护整个通信信道的安全，有效防止中间人窃听或篡改。配置步骤如下：

1. 生成证书与私钥
   为 Filebeat 和目标服务器生成一套 SSL 证书和私钥。下面以自签名证书为例（生产环境建议使用权威 CA 签发的证书）：

   mkdir -p /etc/filebeat/pki/tls/certs
   mkdir -p /etc/filebeat/pki/tls/private
   openssl req -subj '/CN=filebeat.example.com/' -x509 -days 365 -batch -nodes -newkey rsa:2048 -keyout /etc/filebeat/pki/tls/private/filebeat.key -out /etc/filebeat/pki/tls/certs/filebeat.crt

2. 配置 Filebeat 输出加密
   在输出配置中指定 SSL 相关证书路径及目标服务器地址。以输出到 Elasticsearch 为例：

   filebeat.inputs:
   - type: log
     enabled: true
     paths:
       - /path/to/your/log/*.log
   output.elasticsearch:
     hosts: ["https://your-elasticsearch-server:9200"]
     ssl.certificate_authorities: ["/etc/filebeat/pki/tls/certs/ca.crt"]
     ssl.certificate: "/etc/filebeat/pki/tls/certs/filebeat.crt"
     ssl.key: "/etc/filebeat/pki/tls/private/filebeat.key"

   注意：ssl.certificate_authorities 必须指向 CA 证书文件；如果目标服务器也使用了自签名证书，则需要将其 CA 证书也放置在此处。

3. 重启 Filebeat 服务
   同样，保存配置后执行重启：

   sudo systemctl restart filebeat

两种方法的关键区别在于：字段级加密只保护日志中的敏感字段，不影响整体日志内容，非常适合合规场景下的数据脱敏需求；而 TLS/SSL 加密则保护整个传输管道，更适用于数据在公网或不可信网络环境下传输的场景。具体选择取决于实际威胁模型与合规要求。本文提供的配置示例为基础模板，实际部署时请根据自身的密钥、证书及路径做相应调整，以确保日志数据安全得到最佳保障。