关键在于将Nginx日志结构化并提炼安全信号：通过JSON日志或grok解析、ES打标建模、Kibana告警联动SOAR/WAF，实现扫描、爆破等威胁的实时识别与闭环响应。
用 Nginx 日志驱动 ELK Stack 做安全态势感知，关键不在堆组件，而在让日志“说话”——把原始访问行为转化成可判断、可关联、可响应的安全信号。Nginx 是流量入口，它的 access.log 就是第一道“哨兵日志”，配合 ELK 的采集、解析与可视化能力，能低成本实现对扫描、爆破、CC 攻击等常见威胁的实时识别和告警。
从 Nginx 日志中提取真正有用的安全字段
Nginx 默认日志是纯文本，直接扔进 ES 搜索效率低、分析困难。必须在 Logstash 或 Filebeat 阶段完成结构化解析：
- 启用 JSON 格式日志（推荐）：在 nginx.conf 中配置 log_format json '{"@timestamp":"$time_iso8601","remote_addr":"$remote_addr","host":"$host","url":"$request_uri","status":"$status","body_bytes_sent":"$body_bytes_sent","http_referer":"$http_referer","http_user_agent":"$http_user_agent","request_time":$request_time,"upstream_response_time":"$upstream_response_time"}';，再用 access_log /var/log/nginx/access.log json;
- 若无法改 Nginx 配置，用 Logstash 的 grok 插件匹配标准格式（如 %{COMBINEDAPACHELOG}），再加 geoip 补充 IP 归属地，useragent 解析浏览器/爬虫类型
- 重点提取并标记可疑字段：如 request_uri 中含
.php?cmd=、/wp-admin/admin-ajax.php、/shell.php等路径；http_user_agent 包含sqlmap、nuclei、dirsearch等工具指纹
在 Elasticsearch 中建模威胁特征，支撑精准过滤
结构化之后，要在索引设计和查询逻辑上体现安全意图，不能只做“日志仓库”：
- 为高频分析场景建立 别名索引（如
nginx-security-*），配合 ILM 策略自动滚动与冷热分层 - 用 ingest pipeline 在写入时打标：例如，当
status == 404 && url =~ "/\.(php|jsp|asp)/"，添加字段event.risk: "path-traversal-scan"；当单 IP 5 分钟内请求 > 200 次且status == 200，标记为"brute-force-probe" - 保留原始字段的同时，计算衍生指标：如
client_ip的请求频次（用 Kibana Lens 或 ES aggregation）、url的 TOP 异常参数组合、user_agent的非常规长度或编码特征（如含大量%或 Base64 片段）
用 Kibana 做轻量但有效的实时告警
Kibana 不只是看板工具，结合 Alerting 功能（X-Pack 或 OpenSearch Dashboards Alerting），能落地闭环：
- 创建基于 ES 查询的规则：例如，“过去 1 分钟内，同一
client_ip触发event.risk: 'sql-injection-attempt'≥ 3 次”，触发钉钉/企业微信通知 - 避免误报的关键：加入白名单过滤（如 CDN 回源 IP 段、内部运维出口 IP）、时间窗口控制（攻击行为需满足‘短时高频+异常模式’双条件）、排除静态资源（
url: *.(js|css|png|jpg)） - 告警内容要带上下文：不只是“IP 异常”，而是附上最近 5 条原始日志、地理位置、首次出现时间、关联的 URL 和 UA，方便一线快速研判
扩展联动：让报警不止于“看”和“收”
真正的态势感知需要动作闭环。ELK 可作为中枢，对接其他系统提升响应效率：
- 通过 Webhook 将高置信告警推送到 SOAR 平台（如 TheHive + Cortex），自动执行封禁 IP、调取终端进程信息、查 IOC 关联等动作
- 将恶意 IP 实时同步到 Nginx 的 geo 或 map 模块，或通过 API 更新云 WAF 黑名单，实现秒级拦截
- 把攻击者画像（IP 所属地区、常用工具、攻击路径）沉淀为 Kibana 对象，供安全团队复盘使用，形成“检测→响应→学习”正向循环
