elastic/auditbeat

Auditbeat Docker镜像文档

镜像概述

Auditbeat Docker镜像是由Elastic官方维护的容器化部署包，用于运行Auditbeat——Elastic Stack中的轻量级审计日志收集器。该镜像旨在简化Auditbeat在容器环境中的部署流程，提供标准化的审计数据采集能力，支持监控系统调用、文件完整性、用户活动及进程行为等关键审计事件。

核心功能与特性

核心功能

• 多维度审计监控：支持系统调用审计（通过auditd或eBPF）、文件完整性监控（FIM）、用户/进程活动追踪及登录事件记录
• 原生Elastic Stack集成：可直接将审计事件发送至Elasticsearch存储，并通过Kibana可视化分析
• 实时事件处理：低延迟采集与处理审计事件，支持事件过滤与 enrichment
• 预定义审计规则：内置常用审计场景规则模板，简化配置流程

关键特性

• 轻量级设计：最小化资源占用，适合容器化与边缘环境部署
• 多架构支持：兼容x86_64、ARM64等主流架构
• 动态配置更新：支持通过环境变量或挂载配置文件实现灵活配置
• 安全合规：符合通用安全审计标准，支持生成合规性报告（如PCI DSS、HIPAA）

使用场景与适用范围

典型使用场景

• 容器化环境审计：在Kubernetes、Docker Swarm等容器编排平台中监控主机与容器的系统活动
• 安全事件监控：实时检测异常系统调用、未授权文件修改、特权用户操作等安全事件
• 合规性管理：满足行业合规要求（如SOX、GDPR），提供可追溯的审计日志
• 多环境日志集中：统一采集物理机、虚拟机及容器环境的审计数据，实现跨平台日志管理

适用范围

• 安全运维团队（SOC）
• 合规审计部门
• 容器平台管理员
• 需要实现审计日志集中管理的组织

部署与使用指南

前提条件

• Docker引擎（20.10+）或兼容容器运行时
• （可选）Elasticsearch集群（7.0+）用于事件存储
• （可选）Kibana（7.0+）用于可视化与分析

基础部署示例（Docker Run）

1. 基本运行（默认配置）

bash
docker run -d \
  --name auditbeat \
  --user root \
  --cap-add AUDIT_CONTROL \
  --cap-add AUDIT_READ \
  --cap-add DAC_READ_SEARCH \
  docker.elastic.co/beats/auditbeat:8.11.3

2. 自定义配置文件部署

将本地配置文件挂载至容器内（推荐生产环境使用）：

bash
docker run -d \
  --name auditbeat \
  --user root \
  --cap-add AUDIT_CONTROL \
  --cap-add AUDIT_READ \
  --cap-add DAC_READ_SEARCH \
  -v /path/to/auditbeat.yml:/usr/share/auditbeat/auditbeat.yml:ro \
  -v /path/to/data:/usr/share/auditbeat/data \
  docker.elastic.co/beats/auditbeat:8.11.3

3. 连接Elasticsearch与Kibana

bash
docker run -d \
  --name auditbeat \
  --user root \
  --cap-add AUDIT_CONTROL \
  --cap-add AUDIT_READ \
  --cap-add DAC_READ_SEARCH \
  -e ELASTICSEARCH_HOSTS="http://elasticsearch:9200" \
  -e KIBANA_HOST="http://kibana:5601" \
  -e ELASTICSEARCH_USERNAME="elastic" \
  -e ELASTICSEARCH_PASSWORD="changeme" \
  docker.elastic.co/beats/auditbeat:8.11.3

Docker Compose部署示例

yaml
version: '3.8'
services:
  auditbeat:
    image: docker.elastic.co/beats/auditbeat:8.11.3
    user: root
    cap_add:
      - AUDIT_CONTROL
      - AUDIT_READ
      - DAC_READ_SEARCH
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200
      - KIBANA_HOST=http://kibana:5601
      - ELASTICSEARCH_USERNAME=elastic
      - ELASTICSEARCH_PASSWORD=changeme
    volumes:
      - ./auditbeat.yml:/usr/share/auditbeat/auditbeat.yml:ro
      - auditbeat_data:/usr/share/auditbeat/data
    depends_on:
      - elasticsearch
      - kibana

  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:8.11.3
    environment:
      - discovery.type=single-node
      - xpack.security.enabled=true
      - ELASTIC_PASSWORD=changeme
    ports:
      - "9200:9200"

  kibana:
    image: docker.elastic.co/kibana/kibana:8.11.3
    environment:
      - ELASTICSEARCH_HOSTS=http://elasticsearch:9200
      - ELASTICSEARCH_USERNAME=elastic
      - ELASTICSEARCH_PASSWORD=changeme
    ports:
      - "5601:5601"
    depends_on:
      - elasticsearch

volumes:
  auditbeat_data:

核心配置参数

环境变量

必要权限说明

容器需以root用户运行，并添加以下Linux capabilities以确保审计功能正常：

• AUDIT_CONTROL：配置内核审计子系统
• AUDIT_READ：读取审计事件
• DAC_READ_SEARCH：绕过文件读权限检查（用于文件完整性监控）

配置文件说明

Auditbeat配置文件（auditbeat.yml）需包含以下核心模块配置：

• auditd：监控系统调用（依赖主机auditd服务或eBPF）
• file_integrity：监控文件创建/修改/删除事件
• system：监控用户登录、进程启动/退出事件
• output.elasticsearch：配置Elasticsearch输出
• setup.kibana：配置Kibana连接以加载仪表板

示例配置片段：

yaml
auditbeat.modules:
- module: auditd
  audit_rules:
    - action: always
      selection:
        syscall:
          - execve
          - execveat

- module: file_integrity
  paths:
    - /usr/bin
    - /usr/sbin
    - /bin
    - /sbin
    - /etc

output.elasticsearch:
  hosts: ["http://elasticsearch:9200"]
  username: "elastic"
  password: "changeme"

setup.kibana:
  host: "http://kibana:5601"

镜像版本与更新

• 镜像标签遵循Elastic Stack版本号（如8.11.3），推荐使用固定版本标签而非latest
• 最新版本可通过Elastic Docker Registry获取：docker.elastic.co/beats/auditbeat
• 更新镜像时需注意配置文件兼容性，参考Elastic官方升级指南

参考链接

• Auditbeat官方文档
• Elastic Docker Registry
• Auditbeat模块配置指南