一、Elasticsearch安全审计简介

审计日志（Audit Logging）用于记录Elasticsearch中的安全相关事件，包括认证失败、连接拒绝、数据访问事件以及通过API对安全配置（如用户、角色、API密钥）的变更记录。

注意：审计日志功能仅在特定订阅级别提供。

二、启用审计日志

在所有集群节点的elasticsearch.yml配置文件中启用审计：

xpack.security.audit.enabled: true

开启后，每个节点将生成单独的审计日志文件，命名格式为：

<clustername>_audit.json

三、审计事件控制设置

可通过以下动态配置控制审计日志记录哪些事件：

3.1 包含指定事件（动态配置）

默认记录的事件：

access_denied（访问拒绝）
access_granted（访问允许）
anonymous_access_denied（匿名访问拒绝）
authentication_failed（认证失败）
connection_denied（连接拒绝）
tampered_request（篡改请求）
run_as_denied、run_as_granted（以他人身份执行的权限事件）
security_config_change（安全配置变更）

配置示例：

PUT /_cluster/settings
{"persistent": {"xpack.security.audit.logfile.events.include": ["access_denied","authentication_failed","security_config_change"]}
}

使用_all记录全部事件（不推荐，会产生大量日志）。

3.2 排除指定事件（动态配置）

排除事件示例：

PUT /_cluster/settings
{"persistent": {"xpack.security.audit.logfile.events.exclude": ["connection_denied"]}
}

3.3 是否记录完整请求体（动态配置）

记录REST请求完整请求体（如搜索查询），默认关闭：

PUT /_cluster/settings
{"persistent": {"xpack.security.audit.logfile.events.emit_request_body": true}
}

注意：启用此项可能导致敏感数据明文记录。

四、节点信息记录设置

动态配置是否在每条审计事件中包含节点信息：

参数	描述	默认值
`emit_node_name`	节点名称	false
`emit_node_host_address`	节点IP地址	false
`emit_node_host_name`	节点主机名	false
`emit_node_id`	节点唯一ID	true

配置示例：

PUT /_cluster/settings
{"persistent": {"xpack.security.audit.logfile.emit_node_host_address": true,"xpack.security.audit.logfile.emit_node_name": true}
}

五、事件忽略策略

Elasticsearch支持细粒度地定义审计事件的忽略策略。当事件满足某一策略的所有条件时，该事件将不会被记录。

示例（创建名为internal_users的策略，忽略特定用户的审计事件）：

PUT /_cluster/settings
{"persistent": {"xpack.security.audit.logfile.events.ignore_filters.internal_users.users": ["kibana_system", "logstash_system"],"xpack.security.audit.logfile.events.ignore_filters.internal_users.realms": ["native"],"xpack.security.audit.logfile.events.ignore_filters.internal_users.actions": ["indices:data/read/*"],"xpack.security.audit.logfile.events.ignore_filters.internal_users.roles": ["superuser"],"xpack.security.audit.logfile.events.ignore_filters.internal_users.indices": [".kibana*"]}
}