linux防火墙策略审计、违规预警与日志分析构成闭环：审计验证规则实效性，预警基于日志触发响应，分析聚焦五元组与动作字段。
Linux 防火墙的策略审计、违规预警与日志分析，不是三件独立的事，而是一个闭环：规则是否合理，靠审计验证；异常是否及时发现，靠预警触发；所有判断依据，都来自真实、完整、可追溯的日志。
策略审计：从配置到生效的全链路验证
审计不是翻看配置文件，而是确认“写的规则，真正在拦什么”。重点检查三件事：
-
默认策略是否真正生效：firewalld 执行
firewall-cmd --get-default-zone，确认不是 public；iptables 查iptables -L INPUT -v -n，看 policy 是否为 DROP；nftables 看nft list chain inet filter input中的 default policy。别信“设过就等于启用”。 -
规则顺序与命中计数是否匹配预期：用
iptables -L INPUT -v --line-numbers或nft list chain inet filter input，观察 DROP/REJECT 规则前是否有更宽泛的 ACCEPT 规则提前放行；同时关注每条规则的 packet 计数——长期为 0 的规则，大概率是冗余或写错了条件。 -
服务开放是否最小化且可溯源：禁用直接写端口（如
--add-port=8080/tcp），改用--add-service=http；自定义服务必须定义在/etc/firewalld/services/下的 XML 文件中；所有变更需通过auditctl -w /etc/firewalld/ -p wa -k firewalld_config审计，确保每次修改都有操作人、时间、文件路径记录。
违规预警：基于日志的轻量级主动响应
预警不依赖复杂平台，核心是把日志变成可触发动作的信号源：
-
日志分级打标，便于过滤：firewalld 开启
firewall-cmd --set-log-denied=all；iptables/nftables 添加 LOG 规则时强制加--log-prefix "ALERT-SSH-BRUTE:"或log prefix "DROP-SCAN"；这样后续 grep 或 rsyslog 过滤成本极低。 -
用原生工具做阈值告警：例如，每分钟统计
/var/log/firewalld.log中含SRC=的行数，对单 IP 出现超过 10 次_DROP的自动执行firewall-cmd --add-rich-rule='rule family="ipv4" source address="X.X.X.X" reject' --permanent；脚本可配合 cron 每 60 秒跑一次，无需部署额外服务。 -
联动 fail2ban 做协议层闭环：fail2ban 的 jail 必须指向真实日志路径（如
logpath = /var/log/auth.log），且其 filter 要匹配 sshd 日志中的失败登录 + 防火墙日志中的对应源 IP DROP 行，避免仅靠 auth.log 就封禁——防止误封 NAT 后的真实用户。
日志分析：聚焦关键字段，拒绝信息过载
日志不是越多越好，而是要快速定位“谁、想干什么、被怎么处理”：
-
先分离再分析：用 rsyslog 将防火墙日志单独落盘，比如 firewalld 拒绝日志写入
/var/log/firewalld-deny.log，iptables LOG 写入/var/log/iptables.log；避免混在 messages 里被其他服务日志淹没。 -
提取五元组与动作字段：一条典型 firewalld DROP 日志含
SRC=192.168.1.100 DST=10.0.2.5 PROTO=TCP SPT=52342 DPT=22；用awk '{for(i=1;i 直接列出高频攻击源。 -
按业务维度交叉比对：比如 HTTP 服务只应开放 80/443，若日志中大量出现
DPT=3306或DPT=22的 DROP 记录，说明存在端口扫描；若某业务 IP 段频繁被 DROP，需检查其是否误配了网关或 DNS，而非单纯认为是攻击。
日志留存与防篡改：审计可信的前提
没有防删改的日志，等于没有日志：
-
本地加固：
chown root:adm /var/log/firewalld-deny.log；chmod 640 /var/log/firewalld-deny.log；chattr +a /var/log/firewalld-deny.log（仅追加，不可删除或覆盖）。 - 远程归集：配置 rsyslog 使用 TLS 加密转发至独立日志服务器，且该服务器禁止交互式登录、仅开放 syslog UDP/TCP 端口；日志路径中禁用明文传输参数。
-
完整性校验：用 AIDE 对
/var/log/目录初始化签名库，每周 cron 执行aide --check，异常结果邮件告警——一旦日志被删改，立刻可知。
