Firewalld 日志深度解析从 1 条 FINAL_REJECT 日志看懂 15 个关键字段1. 防火墙日志的价值与挑战在网络安全运维中防火墙日志就像是一台永不间断的监控摄像头记录着所有试图穿越网络边界的流量。但现实中许多工程师面对密密麻麻的日志条目时常常感到无从下手。一条典型的 Firewalld 拒绝日志可能包含超过15个关键字段每个字段都承载着特定的安全信息。以这条日志为例FINAL_REJECT INens192 OUT MACff:ff:ff:ff:ff:ff:00:50:56:84:2f:00:08:00 SRC172.18.130.136 DST172.18.130.255 LEN229 TOS0x00 PREC0x00 TTL128 ID27277 PROTOUDP SPT138 DPT138为什么这些字段如此重要它们能揭示攻击者的行为模式如端口扫描、暴力破解帮助定位内部主机的异常外联行为为事后取证提供关键证据链辅助优化防火墙规则的有效性2. 日志字段全解析2.1 基础网络信息字段字段名示例值技术含义安全分析价值INens192入站接口确定攻击入口点OUT(空)出站接口空值表示未转发MACff:ff:ff...MAC地址组合识别二层设备伪造SRC172.18.130.136源IP地址攻击源定位关键DST172.18.130.255目的IP地址广播地址可能异常MAC字段的隐藏信息 前6字节ff:ff:ff:ff:ff:ff是目标MAC广播地址后6字节00:50:56:84:2f:00是源MACVMware虚拟网卡格式最后的08:00表示以太网类型为IPv4。2.2 协议与包特征# 使用tcpdump验证日志中的协议特征 sudo tcpdump -i ens192 -nn udp and port 138 and host 172.18.130.136字段示例深度解读PROTOUDP无连接协议常用于DoS攻击SPT/DPT138NetBIOS服务易受攻击LEN229异常大的UDP包可能为载荷攻击TTL128Windows系统默认值Linux通常642.3 高级控制字段TOS/PREC组合分析TOS0x00常规服务类型PREC0x00普通优先级 异常值可能表明QoS滥用或特定攻击模式。注意ID字段在IP分片攻击分析中至关重要连续递增的ID值可能表明端口扫描行为。3. 实战日志分析技巧3.1 攻击模式识别案例检测SSH暴力破解grep FINAL_REJECT.*DPT22 /var/log/firewalld.log | awk {print $10} | sort | uniq -c | sort -nr输出示例45 203.0.113.45 32 198.51.100.173.2 自动化监控脚本#!/usr/bin/env python3 from collections import Counter import re log_pattern re.compile( rSRC(?Psrc\d\.\d\.\d\.\d).*PROTO(?Pproto\w).*DPT(?Pport\d) ) def analyze_rejects(logfile): offenders Counter() with open(logfile) as f: for line in f: if FINAL_REJECT not in line: continue match log_pattern.search(line) if match: key (match.group(src), match.group(proto), match.group(port)) offenders[key] 1 return offenders.most_common(10)3.3 关键指标监控表指标计算公式阈值参考响应动作单IP拒绝频率count by SRC5/分钟临时封禁异常端口访问count by DPT知名高危端口规则审查协议分布异常ratio by PROTOUDP突增DDoS检查包大小异常avg(LEN)1500字节分片攻击检查4. 日志优化配置4.1 增强日志信息量# 启用扩展日志记录 firewall-cmd --set-log-deniedall --permanent firewall-cmd --reload # 自定义日志路径 echo :msg,contains,_REJECT /var/log/firewalld_reject.log /etc/rsyslog.d/firewalld.conf systemctl restart rsyslog4.2 日志轮转配置示例# /etc/logrotate.d/firewalld /var/log/firewalld.log { daily rotate 7 compress delaycompress missingok postrotate /usr/bin/systemctl kill -s HUP rsyslog.service /dev/null 21 || true endscript }5. 高级分析技术5.1 时间序列分析使用ELK Stack构建日志分析平台时重点关注攻击时段分布工作时间vs深夜请求频率模式持续低频率vs突发高频率地理位置关联通过SRC IP的GeoIP解析5.2 协议异常检测TCP协议异常特征异常标志位组合如SYNFIN短连接风暴建立后立即断开非常规端口上的标准协议UDP协议风险信号# 检测DNS放大攻击特征 grep PROTOUDP.*DPT53.*LEN[500] /var/log/firewalld.log6. 防御策略优化基于日志分析的规则优化原则对持续攻击源实施富规则封禁firewall-cmd --add-rich-rulerule familyipv4 source address203.0.113.45 reject --permanent对异常协议组合实施限制对内部主机的异常外联进行出站控制规则优化前后对比指标优化前优化后无效日志量1200条/小时200条/小时攻击成功率0.5%0.02%规则匹配效率15ms/包8ms/包在日志分析过程中发现许多工程师常犯的错误是只关注SRC和DPT字段而忽略了TTL、ID等字段的关联价值。实际上通过TTL值可以判断攻击者的操作系统类型而异常的ID序列可能揭示扫描工具的特征。