firewalld rich规则支持log动作，可指定prefix、level（emerg–debug）和limit，但日志由rsyslog/journald接收并转发至siem，需通过日志采集器解析prefix等字段实现联动。

Firewalld 本身不支持直接为日志设置 syslog 优先级（如 `LOG_ERR`、`LOG_NOTICE`），也不能将 rich rule 的日志动作与 SIEM（如 Splunk、Elastic Stack、Wazuh）做“原生联动”。它只能通过 `log` 动作触发内核 netfilter 日志，最终由 `rsyslog` 或 `journald` 接收并写入日志文件或转发。所谓“指定 syslog 优先级”和“高级 SIEM 联动”，实际是**分层协作**：firewalld → kernel netfilter → logging daemon（rsyslog/journald）→ SIEM agent/forwarder。 以下是在 Linux（以 RHEL/CentOS 8+ 或 Fedora 为例）中实现该目标的可行路径：

1. 使用 rich rule 添加带日志的过滤规则

firewalld 的 rich rule 支持 log 子句，可指定前缀、级别（仅限 emerg–debug，对应 syslog 优先级数值 0–7）、限速等：

sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.50" port port="22" protocol="tcp" log prefix="sshd-block-" level="warning" limit value="3/m" reject'

说明：

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

• level="warning" → 对应 syslog 优先级 LOG_WARNING（数值 4），会被内核写入 kern.warning 设施+级别；
• prefix 是日志行开头字符串，便于 SIEM 过滤识别；
• limit 防止日志刷屏；
• 该规则拒绝 SSH 访问，同时记录匹配行为。

2. 确保日志被 rsyslog 正确捕获并打标

默认 firewalld 日志走 kern.*，但无结构化字段。需配置 rsyslog 提取 rich rule 信息：

• 确认 /etc/rsyslog.conf 或 /etc/rsyslog.d/01-firewall.conf 启用内核日志模块：
  $ModLoad imklog（旧版）或 module(load="imklog" LogKernel="on")（新版）；
• 添加模板提取 prefix 和 level：
  template(name="FWLogFormat" type="string" string="%TIMESTAMP% %HOSTNAME% firewall: %msg%\n")
if $msg contains 'sshd-block-' then /var/log/firewall.log;FWLogFormat；
• 重启：sudo systemctl restart rsyslog。

3. 将日志接入 SIEM 的关键操作

SIEM 不解析原始内核日志，需结构化或打标签：

• Splunk：用 props.conf 定义 sourcetype，配合 TRANSFORMS 提取 prefix、source_ip（从日志文本中正则抽取）；
• Elastic + Filebeat：在 filebeat.inputs 中启用 multiline.pattern 合并多行，并用 processors.dissect 拆解 sshd-block-192.168.10.50 得到 IP 字段；
• Wazuh：直接监听 /var/log/firewall.log，在 ossec.conf 中定义 decoders 匹配 sshd-block-，再写 rules 触发告警或联动响应。

4. 补充建议：提升可联动性

• 避免只依赖 kern.*：把 firewall 日志单独路由到 local5.* 等自定义 facility，方便 SIEM 按 facility 过滤；
• 启用 journalctl -t kernel 查看原始 netfilter 日志格式，验证 prefix 是否出现；
• 测试时用 logger -p local5.warning "test-firewalld" 对比格式，确保 SIEM 解析逻辑一致；
• 生产环境建议关闭 log 的高频率规则，改用 audit 或 eBPF 工具（如 bpftrace）补全日志细节。

不复杂但容易忽略：firewalld rich rule 的 log level 只影响 syslog 优先级数值，不改变日志内容本身；真正决定 SIEM 能否联动的是后续日志采集端能否稳定获取、解析并映射字段。把 prefix 设计成机器可读格式（如 fw-reject-ssh-192.168.10.50），比调优 level 更有效。