需结合acl、chattr、审计与远程日志实现防篡改：1. 用setfacl限制非特权用户写入；2. 设default acl确保新日志继承权限；3. 对关键日志用chattr +a/+i加固；4. 配合auditd监控、selinux约束及远程转发。

要防止 /var/log 目录下的日志被未授权篡改，仅靠默认的 POSIX 权限（如 drwxr-xr-x）远远不够——普通用户或恶意进程仍可能删除、覆盖或清空日志文件。ACL（Access Control List）可提供更精细的控制，但需配合其他机制才能真正防篡改。核心思路是：**限制写入 + 防止删除 + 审计留痕**。

1. 为关键日志目录和文件设置只读 ACL（对非特权用户）

ACL 可以精确拒绝特定用户或组的写权限，即使他们属于 root 组或有父目录执行权。例如，禁止普通用户 alice 修改 /var/log/syslog：

• 先确认文件系统支持 ACL（通常 ext4/xfs 默认启用）：tune2fs -l /dev/sda1 | grep "Default mount options"，应含 acl
• 设置 ACL 拒绝写入：setfacl -m u:alice:- /var/log/syslog
• 若需批量限制多个用户：setfacl -m u:alice:rx,u:bob:rx,u:audit:rx /var/log/*.log
• 注意：ACL 对目录本身生效时，不自动继承到新创建的日志文件；需配合 default ACL 或日志轮转工具（如 logrotate）配置 umask 和 create 指令

2. 启用 default ACL 确保新日志文件自动继承安全策略

日志服务（如 rsyslog、journald）或 logrotate 创建的新文件默认不受已有 ACL 影响。必须为 /var/log 目录设置 default ACL：

• 设置默认读+执行（禁止写）给常见用户组：setfacl -d -m g:users:rx /var/log
• 显式拒绝特定用户写权限（default 模式下不支持 deny 条目，故推荐用 mask 控制最大有效权限）：setfacl -d -m mask::rx /var/log
• 验证：getfacl /var/log 应显示 default: 开头的条目；新建文件后运行 getfacl 确认继承生效

3. 结合 chattr + immutable 标志实现强防护（关键日志文件）

ACL 可被 root 用户修改或绕过，对高敏感日志（如 auth.log、secure），建议叠加文件属性锁：

• 临时锁定（需 root）：chattr +a /var/log/auth.log（仅允许追加）或 chattr +i /var/log/auth.log（完全不可修改/删除，连 root 也需先 -i）
• 注意：+i 会阻止日志服务写入，仅适用于归档后的只读日志；生产中常用 +a 配合日志轮转
• 自动化脚本示例（logrotate 后追加）：postrotate\n chattr +a /var/log/auth.log\nendscript

4. 配合审计与监控形成闭环

权限设置只是第一道防线。必须检测异常行为：

• 启用 auditd 监控关键路径：auditctl -w /var/log/ -p wa -k log_access，记录所有写、属性修改事件
• 检查 SELinux/AppArmor 策略是否限制日志服务以外的进程写入 /var/log
• 定期校验日志完整性（如用 aide 或 tripwire 监控文件哈希变化）
• 将重要日志实时转发到远程 syslog 服务器，实现异地留存

ACL 是增强日志安全的有效手段，但不能单独“防篡改”。它需与文件属性锁、审计机制、最小权限原则及集中日志管理协同使用。实际部署时，优先保护高频篡改目标（如 auth.log、messages），并确保运维操作（如 logrotate）仍能正常执行。