答案：通过GPG签名、TLS加密传输和AIDE监控结合不可变存储，可有效防止Linux日志篡改。具体包括使用GPG对日志文件生成数字签名以验证完整性；配置rsyslog或syslog-ng支持TLS加密，保护日志在传输过程中的机密性与完整性；部署AIDE等HIDS工具定期校验日志文件哈希值，实时检测非法修改；对于高安全需求，将签名后日志推送至WORM设备或云存储锁定状态，从物理层面阻止覆盖。自动化集成至logrotate和cron确保流程可靠，保障安全审计有效性。
在 Linux 系统中，日志是安全审计和事件追溯的重要依据。但默认情况下，日志文件容易被攻击者篡改或删除，从而掩盖入侵痕迹。为了防止这种情况，可以通过签名与加密手段增强日志的完整性与机密性。以下是实用的方法和技术路径。
使用 GPG 进行日志签名以确保完整性
日志签名的核心目标是验证内容是否被修改。GPG（GNU Privacy Guard）可用于对日志文件生成数字签名，确保其来源可信且未被篡改。
- 生成密钥对：运行 gpg --full-generate-key 创建用于签名的密钥，建议选择 RSA 4096 位并设置合理过期时间。
- 导出公钥：使用 gpg --export --armor your-email@domain.com > public.key 导出公钥，供后续验证使用。
- 签名日志文件：当日志轮转后（如 daily.log），执行 gpg --detach-sign daily.log 生成 detached 签名文件 daily.log.sig。
- 验证签名：在审计时运行 gpg --verify daily.log.sig daily.log，确认文件未被修改。
可结合 logrotate 配置，在 postrotate 脚本中自动调用 GPG 签名，实现自动化保护。
通过 TLS 加密日志传输过程
本地日志可能被篡改，集中式日志系统更需防中间人攻击。使用 rsyslog 或 syslog-ng 支持 TLS 加密传输，防止日志在发送过程中被截获或修改。
- 在 rsyslog 客户端和服务端配置证书：使用 openssl 生成 CA 和主机证书，启用 omfwd 模块并通过 streamdriver="gtls" 启用加密连接。
- 配置日志服务器监听 TLS 端口（如 6514），客户端指向该端口发送日志。
- 确保仅接受已认证客户端的连接，避免伪造日志注入。
这样即使网络被监听，攻击者也无法读取或篡改传输中的日志内容。
结合完整性检测工具进行实时监控
签名适用于归档日志，而运行中的日志仍面临风险。AIDE 或 Tripwire 可定期校验日志文件哈希值，发现异常立即告警。
- 安装 AIDE：apt install aide（Debian/Ubuntu）或 yum install aide（RHEL/CentOS）。
- 初始化数据库：aide --init 生成当前文件状态快照。
- 将日志目录（如 /var/log）加入监控规则，例如 /var/log.* p+i+n+u+g+s+b+acl+sha256。
- 定期运行 aide --check 检测变更，并集成到 cron 中每日执行。
一旦日志被非法修改，AIDE 会输出详细差异，便于快速响应。
附加建议：写入不可变存储或 WORM 设备
对于高安全要求场景，可将签名后的日志推送至只读存储或支持 WORM（Write Once, Read Many）的设备。例如：
- 使用云服务如 AWS S3 Object Lock 存储归档日志。
- 通过脚本将压缩并签名的日志上传至锁定状态的存储桶。
- 本地可考虑专用日志服务器挂载为只读 NFS 输出，禁止反向写入。
这类措施从物理层面阻止覆盖，极大提升抗篡改能力。
基本上就这些。签名、加密传输、完整性监控三者结合，能有效防御大多数日志篡改行为。关键是建立自动化流程，避免人为遗漏。安全日志本身必须可信，否则审计将失去意义。
