各位 CSDN 的小伙伴们，大家好！博主正在参与 2025 年 CSDN 博客之星的评选活动，非常需要大家的支持！一直以来，博主专注于大数据、云计算、人工智能等融合方向研究，从基础概念到实战技巧，都精心撰写每一篇文章。博主致力于将复杂的技术知识以通俗易懂的方式呈现，帮助众多初学者快速入门，也为有经验的开发者提供新的思路与视角。在这个活动中，您的一票对我意义重大。您的支持 💖💖💖 将激励 🔥 博主输出更多优质内容！！！
投票链接：https://www.csdn.net/blogstar2025/detail/112

《Elasticsearch 审计日志》系列，共包含以下文章：

• 审计日志（一）：General settings
• 审计日志（二）：Compliance settings（合规性审计设置）
• 审计日志（三）：案例实战分析

😊 如果您觉得这篇文章有用 ✔️ 的话，请给博主一个一键三连 🚀🚀🚀 吧 （点赞 🧡、关注 💛、收藏 💚）！！！您的支持 💖💖💖 将激励 🔥 博主输出更多优质内容！！！

本文将为您介绍 Elasticsearch 审计日志设置中各参数的含义和作用。

1.层级设置（Layer settings）

1.1 REST 层设置

• audit:enable_rest
  • 作用：启用或禁用 REST 层的审计事件记录
  • 当前值：Enabled（启用）
  • 说明：启用后，所有通过 REST API 执行的操作都会被审计记录
• audit:disabled_rest_categories
  • 作用：指定在 REST 层忽略的审计类别
  • 当前忽略的类别：
    • AUTHENTICATED（认证事件）
    • GRANTED_PRIVILEGES（授予权限事件）
  • 说明：忽略这些类别可减少审计日志量，但会缺失相关安全事件的记录

1.2 Transport 层设置

• audit:enable_transport
  • 作用：启用或禁用传输层（节点间通信）的审计事件记录
  • 当前值：Disabled（禁用）
• audit:disabled_transport_categories
  • 作用：指定在传输层忽略的审计类别
  • 当前忽略的类别：
    • AUTHENTICATED
    • GRANTED_PRIVILEGES

2.属性设置（Attribute settings）

• audit:resolve_bulk_requests
  • 作用：审计时是否解析批量请求
  • 当前值：Enabled（启用）
  • 说明：启用后会为批量请求中的每个文档生成单独日志，会增加系统开销
• audit:log_request_body
  • 作用：是否在审计日志中包含请求体
  • 当前值：Enabled（启用）
  • 说明：有助于事后分析，但可能包含敏感信息
• audit:resolve_indices
  • 作用：审计时是否解析索引名称
  • 当前值：Enabled（启用）
  • 说明：记录操作涉及的具体索引名称
• audit:exclude_sensitive_headers
  • 作用：是否排除敏感请求头（如授权头）
  • 当前值：Disabled（禁用）
  • 说明：启用后保护敏感凭证信息不被记录

3.忽略设置（Ignore settings）

• audit:ignore_users
  • 作用：指定审计时要忽略的用户
  • 当前忽略的用户：无
  • 默认值：kibanaserver（系统用户）
  • 说明：减少指定用户产生的审计日志量
• audit:ignore_requests
  • 作用：指定要忽略的请求模式
  • 当前值：“ignored requests”（示例值，实际应配置具体模式）
  • 说明：可配置正则表达式模式来忽略特定类型的请求

4.重要注意事项

• 1️⃣ 许多设置旁都有警告 “可能造成显著开销”，因为这些设置会影响：
  • 审计日志量
  • 系统性能
  • 存储需求
• 2️⃣ 最佳实践建议：
  • 生产环境中应平衡安全需求与性能影响。
  • 敏感操作建议保持详细审计。
  • 高频操作可考虑适当忽略以减少日志量。
• 3️⃣ 修改这些设置需要根据组织的安全合规要求进行调整，某些行业标准可能要求特定的审计级别。