linux日志文件须设root属主、syslog属组、640权限，/var/log目录设755；关键日志用chattr +a防删（允许追加），归档后可用+a或+i锁定；配合journald权限、logrotate create设置、auditd监控及远程同步实现纵深防护。

Linux系统中关键日志文件（如 /var/log/messages、/var/log/secure、/var/log/auth.log 等）必须严格控制权限，防止未授权读取、篡改或删除，尤其要防范攻击者清除入侵痕迹。

核心权限设置原则

日志文件本身应遵循最小权限原则：

• 属主设为 root，属组建议设为 syslog（或 adm，取决于发行版）
• 文件权限通常设为 640（即 -rw-r-----），确保只有 root 可写，同组用户可读，其他用户无任何权限
• 日志所在目录（如 /var/log）权限建议为 755（drwxr-xr-x），属主和属组均为 root
• 避免设置 777、757 或让非特权用户拥有写权限

防止恶意删除的关键机制：chattr +a 和 +i

仅靠传统 Unix 权限无法阻止 root 用户（或提权后的攻击者）删除文件。需结合 chattr 设置扩展属性：

• chattr +a /var/log/messages：允许以追加模式写入（rsyslog、journalctl 等日志服务仍可正常写日志），但禁止覆盖、截断或删除该文件 —— 推荐用于活跃日志文件
• chattr +i /var/log/messages：使文件不可修改、不可删除、不可重命名、不可链接，连 root 也无法操作 —— 适用于归档日志或审计完成后的只读日志（注意：启用后日志服务会写入失败，慎用）
• 查看属性用 lsattr /var/log/messages
• 撤销属性用 chattr -a 或 chattr -i（需在维护窗口操作）

配合 systemd-journald 与 logrotate 的安全实践

现代系统多采用 journald + rsyslog 混合架构，需协同加固：

• 确认 /var/log/journal 目录存在且属主为 root:systemd-journal，权限为 2755（含 sgid，确保新日志继承组）
• 编辑 /etc/logrotate.d/rsyslog（或对应配置），在 rotate 块中添加 create 640 root syslog，确保轮转后新建日志权限正确
• 对已轮转的压缩日志（如 messages-20240501.gz），可用 chattr +a 锁定（gzip 文件不可追加，实际生效的是防删除；更稳妥做法是归档后 chattr +i 并移至专用审计目录）

补充防护：auditd 与定时校验

主动监控日志文件的异常变动：

• 用 auditctl -w /var/log/messages -p wa -k logfile_watch 监控写入和属性变更事件
• 配置定时任务（如 cron），运行脚本检查关键日志文件是否存在、权限是否被篡改、lsattr 输出是否含预期标志
• 将日志实时同步到远程 syslog 服务器（如 rsyslog over TLS），实现异地留存，从根本上规避本地删除风险