3. 准入门禁概念：什么是日志准入门禁、为什么需要Agent、准入策略模型
3.1 日志准入门禁的定义
日志准入门禁（Log Access Gateway）是部署在日志采集端与日志存储/检索集群之间的一层安全控制组件。它并非传统意义上的物理门禁，而是一种逻辑安全边界，负责对每一笔进入ELK体系的日志数据进行身份验证、完整性校验、策略匹配和访问控制。
核心职责可概括为：
- 验证来源：确认日志发送方是否为已注册的合法Agent。
- 校验完整性：检测日志在传输过程中是否被篡改或截断。
- 执行策略：根据预定义的准入规则，决定日志是否允许进入、是否需要脱敏、是否需要丢弃。
- 记录审计：对所有准入决策进行全量审计，形成不可篡改的准入日志。
关键认知：日志准入门禁不是防火墙或WAF的替代品，而是专门针对日志数据流设计的应用层安关，工作在日志协议层（如Syslog、HTTP/HTTPS、Kafka协议）。
3.2 为什么需要Agent
在准入门禁架构中，Agent是门禁策略的第一执行单元。没有Agent，门禁将退化为一个被动接收的过滤器，无法实现以下关键能力：
| 能力维度 | 无Agent（纯服务端门禁） | 有Agent（客户端+服务端协同） |
|---|---|---|
| 身份绑定 | 仅依赖IP/端口，易伪造 | 基于证书+硬件指纹+，强身份 |
| 完整性证明 | 无法验证日志是否被中间人篡改 | Agent计算日志哈希并签名，服务端验证 |
| 本地策略预执行 | 所有日志必须到达服务端才能过滤 | Agent可在本地丢弃/脱敏/缓存，降低带宽 |
| 心跳与保活 | 服务端无法感知采集端是否存活 | Agent定期发送心跳，门禁可感知离线 |
| 动态策略下发 | 策略变更需重启采集器或修改配置 | 门禁可实时推送策略至Agent，热生效 |
因此，Agent是准入门禁体系中不可或缺的“门禁卡”，它承载了身份凭证、策略引擎和本地执行环境。
3.3 准入策略模型
准入策略模型定义了门禁系统如何对日志流进行决策。一个完整的策略模型包含三个层次：
3.3.1 策略模型层次结构
- 身份层（Who）：验证Agent身份是否合法、证书是否有效、是否在允许列表中。
- 内容层（What）：对日志内容进行正则匹配、关键字检测、敏感数据识别。
- 行为层（How）：检测日志发送频率、数据量、时间窗口等行为特征。
策略决策结果：
✅ 放行（Allow）—— 日志正常进入ELK管道
⚠️ 脱敏（Mask）—— 替换敏感字段后放行
🚫 丢弃（Drop）—— 拒绝日志进入，记录审计
🔄 暂存（Hold）—— 日志暂存于Agent本地，等待二次确认
✅ 放行（Allow）—— 日志正常进入ELK管道
⚠️ 脱敏（Mask）—— 替换敏感字段后放行
🚫 丢弃（Drop）—— 拒绝日志进入，记录审计
🔄 暂存（Hold）—— 日志暂存于Agent本地，等待二次确认
3.3.2 策略模型结构图
3.3.3 策略模型关键参数
| 参数类别 | 参数名称 | 说明 | 示例值 |
|---|---|---|---|
| 身份层 | Agent ID | 全局唯一标识 | agent-srv-001 |
| 证书指纹 | SHA256哈希值 | a1b2c3d4... |
|
| 有效期 | 过期时间 | 3600s |
|
| 内容层 | 敏感字段正则 | 匹配身份证、手机号等 | (身份证|手机号|银行卡) |
| 黑名单关键字 | 禁止出现的词汇 | password, secret |
|
| 日志格式模板 | 必须匹配的JSON结构 | {"timestamp":"...","level":"...","message":"..."} |
|
| 行为层 | 最大发送频率 | 每秒最多日志条数 | 1000条/s |
| 单日数据量上限 | Agent每日最大发送量 | 10GB |
|
| 异常时间窗口 | 非业务时段告警 | 02:00-05:00 |
3.4 Agent与门禁的协同工作流
结合上述策略模型，Agent与门禁服务端的典型交互流程如下：
- 注册握手：Agent启动后，向门禁服务端发起注册请求，携带证书和硬件指纹。
- 策略拉取：注册成功后，Agent拉取当前生效的准入策略（身份层+内容层+行为层）。
- 本地预执行：Agent在本地对日志进行内容层和行为层预检，减少无效传输。
- 加密传输：通过TLS加密通道将日志发送至门禁服务端。
- 服务端复核：门禁服务端对日志进行身份层复核和完整性校验。
- 最终决策：门禁服务端做出最终准入决策，并将结果返回Agent（用于本地缓存清理或重试）。
重要设计原则：Agent本地预执行的结果不能替代服务端复核。Agent可能被篡改或绕过，因此服务端必须保留完整的策略执行能力。Agent的本地策略仅用于性能优化和带宽节省，而非安全信任。
3.5 本章小结
日志准入门禁是ELK安全体系的第一道防线，Agent则是这道防线的前哨节点。通过三层策略模型（身份层、内容层、行为层），门禁系统能够对日志流进行细粒度的准入控制。Agent的存在使得策略可以前移执行，在降低服务端压力的同时，增强了整个系统的安全韧性和可审计性。