检测与 SIEM

这一课你将能做到

1. 解释 SIEM、IDS、IPS、EDR 四者的分工与互补关系
2. 为本站（Nginx + Spring Boot + MySQL + Redis）设计一套日志收集方案，明确哪些日志必须采集
3. 写出 3 条可落地的检测规则（暴力破解、异常流量、权限变更），并配置告警

为什么要学

没有 100% 的安全。防火墙会被绕过、漏洞会被发现、凭证会泄漏。问题不是「会不会被攻破」，而是「被攻破后多久能发现」。全球统计：入侵平均驻留时间（dwell time）以「月」计——攻击者在系统里潜伏数月才被发现。

人话：检测是「监控系统」，SIEM 是「把所有监控数据汇总的指挥中心」。没有检测，入侵者在你数据库里拷了三个月数据你都不知道。有了检测，可能 5 分钟内就收到告警并自动封锁。

先建立图像

检测层技术栈：

日志源                    采集                     存储/分析                  响应
─────────────    ──────────────────    ─────────────────────    ──────────────
Nginx access.log  ──┐                                     │
App 应用日志       ──┼──→ Filebeat ──→ Elasticsearch ──→ Kibana │
MySQL binlog      ──┤    (采集)        (索引)          (可视化) │
Redis slowlog     ──┘                                     │
                                                          │
Spring Boot 审计日志 ────────────────────────────┐         │
                                                  │         │
                                        检测规则引擎 ←──────┘
                                        (ElastAlert/Wazuh)
                                                  │
                                                  ▼
                                        告警: Slack/钉钉/邮件
                                        自动化: 封 IP/改密/隔离

关键日志清单（必须采集）：

Nginx:
  access.log      —— 谁、什么时间、访问了什么、状态码、User-Agent
  error.log       —— 4xx/5xx 异常、后端超时

Spring Boot:
  application.log —— 登录成功/失败、权限变更、敏感操作
  audit.log       —— 管理员操作审计（不可篡改）
  security.log    —— 401/403、JWT 过期、限流触发

MySQL:
  general log     —— 谁执行了什么 SQL（采样，性能考虑）
  slow log        —— 慢查询（可能是注入扫描）
  binlog          —— 数据变更（溯源）

Redis:
  slowlog         —— 危险命令调用
  monitor         —— 实时命令流（仅诊断时开）

系统:
  auth.log / secure —— SSH 登录成功/失败、sudo 使用
  cron.log          —— 定时任务执行

跟着做

步骤 1：统一日志格式（Spring Boot）

让日志机器可读（JSON），不要靠人眼扫：

<!-- logback-spring.xml -->
<appender name="JSON" class="ch.qos.logback.core.ConsoleAppender">
    <encoder class="net.logstash.logback.encoder.LogstashEncoder">
        <includeMdcKeyName>traceId</includeMdcKeyName>
        <includeMdcKeyName>userId</includeMdcKeyName>
    </encoder>
</appender>

自定义 MDC 过滤器注入 userId：