防日志擦除需结合权限与扩展属性：/var/log目录设750、日志文件设640，属主root、属组syslog/adm；关键日志用chattr +a锁定只追加；logrotate需配置create继承权限；归档日志建议chattr +i锁定，并辅以auditd监控和远程日志同步。
日志目录不能只靠 chmod 限制写入，因为 root 或提权后的攻击者仍可直接删除或覆盖文件。真正防擦除的关键是让日志文件“只允许追加、禁止覆盖和删除”，这需要结合权限设置与扩展属性协同实现。
核心配置：属主、属组、基础权限
/var/log 目录及其关键日志文件（如 messages、secure、auth.log）应统一设为：
- 属主：root
- 属组：syslog（Ubuntu/Debian）或 adm（RHEL/CentOS），保持与日志服务一致
- 目录权限：750（drwxr-x---），禁止其他用户进入和列目录
- 日志文件权限：640（-rw-r-----），仅 root 可写，同组可读，其他用户无权限
关键防护：chattr +a 实现只追加
执行以下命令，锁定活跃日志文件，使其只能被追加写入（rsyslog、journald 等服务照常工作），但无法覆盖、截断或删除：
- sudo chattr +a /var/log/messages
- sudo chattr +a /var/log/secure
- sudo chattr +a /var/log/auth.log
验证是否生效：lsattr /var/log/messages 应显示类似 ----a---------e---（含小写 a）；若误用 +i，会导致日志写入失败，切勿在运行中启用。
配套加固：logrotate 与 journald 协同
轮转和归档环节容易破坏 +a 属性，必须显式保障：
- 在 /etc/logrotate.d/rsyslog 的 rotate 块中添加：
create 640 root syslog —— 确保新建日志继承正确权限 - 对 /var/log/journal 目录，确认其属主为 root:systemd-journal，权限为 2755（含 sgid，确保新日志自动归属该组）
- 归档完成的压缩日志（如 messages-20260720.gz），建议移至专用审计目录后执行 chattr +i 锁定，彻底防篡改
额外防线：审计与远程同步
仅靠本地防护不够，需叠加可见性与冗余：
- 用 auditd 监控关键路径：
sudo auditctl -w /var/log/ -p wa -k log_dir_write - 配置 rsyslog 或 journalctl --send-to 将日志实时同步至远程 SIEM 或独立日志服务器
- 定期校验日志完整性（如用 sha256sum 记录归档前哈希值）
