生产环境日志需满足本地防篡改、传输防窃听、远程归档可验证三重目标：LUKS加密+journal密封实现本地防护；TLS双向认证保障传输安全；GPG签名+WORM存储确保归档不可抵赖；auditd与AIDE强化运行时监控。
生产环境服务日志（如 Nginx、PostgreSQL、Redis 等应用日志，以及系统级 rsyslog/journald 日志）必须同时满足本地存储防篡改、传输过程防窃听/篡改、远程归档可验证三重目标。单靠文件权限或简单轮转远远不够，需分层实施、环环相扣。
本地加密存储：LUKS 分区 + journal 密封双保险
磁盘级加密是防物理泄露的第一道屏障，而 journal 密封是防逻辑篡改的核心机制：
- 对 /var/log 所在分区启用 LUKS 加密（推荐新建专用日志卷），确保即使硬盘被移走也无法直接读取日志明文；若无法重分区，至少将应用日志统一写入 LUKS 加密挂载点（如
/mnt/encrypted-logs） - 启用 systemd-journald 前向安全密封：
编辑/etc/systemd/journald.conf，确认以下三项已设置：Storage=persistentSeal=yesMaxFileSec=900（即 15 分钟，缩短密封间隔提升检测灵敏度）
执行journalctl --setup-keys生成密钥，再重启systemctl restart systemd-journald - 验证密封效果：
journalctl --verify应返回 “PASS”；若某段日志被修改，会明确标出 “FAIL” 及偏移位置
外部防篡改传输：TLS 封装 + 双向认证
明文 syslog（UDP/TCP 514）已被视为高危配置，所有外发日志必须经 TLS 加密，并强制身份校验：
- 使用 syslog-ng（推荐）或 rsyslog + stunnel 实现端到端 TLS：
— syslog-ng 配置中定义 TLS 源/目标时，必须指定ca-dir、cert-file和key-file，并启用tls(peer-verify(yes))实现双向认证
— 若用 rsyslog + stunnel，stunnel 必须监听加密端口（如 6514），rsyslog 仅监听本地 loopback 明文端口（如 127.0.0.1:6514），严禁开放明文 514 给外网 - 证书管理关键点：
— 服务端证书 CN 必须匹配客户端实际访问的域名或 IP
— 私钥权限严格设为600，证书路径属主为root:adm，权限644
— 生产环境禁用自签名证书，应由私有 CA 签发，并将 CA 证书分发至所有客户端 - 禁用所有非 TLS 日志接收端口：检查
netstat -tlnp | grep :514，确保无明文监听；防火墙规则只放行 TLS 端口（如 6514）
防抵赖归档：轮转后自动签名 + 异地 WORM 存储
传输加密解决“途中安全”，签名和 WORM 解决“事后不可否认”——这是合规审计的关键证据链：
- 在 logrotate 的
postrotate脚本中调用 GPG 签名：gpg --detach-sign --armor /var/log/nginx/access.log.1
生成access.log.1.asc文件，与日志同目录存放；签名私钥必须离线保管，禁止部署在日志服务器上 - 归档目标必须具备 WORM（Write Once Read Many）特性：
— 使用对象存储（如 S3 Object Lock、MinIO Retention）启用合规模式，设置保留期（如 90 天）
— 或挂载只读 NFS，每日将签名日志+哈希清单同步至该目录，挂载参数含ro,noexec,nosuid - 每日生成完整性快照：
find /var/log -name "*.log.*" -mtime -1 -exec sha256sum {} \; > /backup/loghash-$(date +%F).txt
将该哈希文件同样上传至 WORM 存储，形成“日志文件 + 签名 + 哈希”三位一体存证
运行时防护：最小权限 + auditd 全链路监控
加固不能只盯静态文件，还要覆盖进程行为与操作痕迹：
- 限制日志服务自身权限：
— rsyslog 配置中启用$PrivDropToUser syslog和$PrivDropToGroup syslog
— journal 目录/var/log/journal权限设为2755（setgid），属主root:systemd-journal，禁止普通用户加入该组 - 用 auditd 监控所有日志相关敏感操作：
在/etc/audit/rules.d/log.rules中添加：-w /var/log/ -p wa -k log_ops-a always,exit -F arch=b64 -S unlink,truncate,ftruncate,rename -F dir=/var/log/ -k log_deletion
执行augenrules --load生效，异常操作可立即通过ausearch -k log_ops追溯 - 定期执行 AIDE 完整性扫描：
初始化数据库后，每天定时运行aide --check，将差异报告发送至独立告警通道（如 Slack 或邮件）
