# EMQX LLMS index: [llms.txt](/wikis/llms.txt) --- 适用范围：EMQX 4.x/5.x Broker 单节点、集群和企业版场景。 不适用标识说明： - 使用 `【不适用】` 明确标记现场可判定为不适用的控制点。 - 判定依据采用 GB/T 28448-2019 的对象边界原则；EMQX 既可能只是协议接入层，也可能直接承载用户设备身份和消息内容，需按现场实际角色判定。 ## 基础信息 **核查命令**： ```bash emqx version 2>/dev/null ps -ef | grep emqx find . -name emqx.conf -o -name cluster.hocon -o -name emqx_dashboard.conf ``` - 备注：先识别版本、部署模式、节点角色、Dashboard 地址、监听端口、配置目录和日志目录。 - 预期证据：版本截图、进程截图、配置目录截图、端口截图。
示例输出（节选）
emqx version
EMQ X Enterprise 5.4.1
ps -ef | grep emqx（节选）
emqx 12101 beam.smp -emqx etc /opt/emqx/etc
find .
etc/emqx.conf  etc/cluster.hocon  data/configs/cluster.hocon
## 身份鉴别 ### A. Dashboard 登录鉴别 **核查命令**： ```bash grep -R "dashboard" etc data/config 2>/dev/null ``` - 备注：重点核查 Dashboard 是否开启、是否要求密码、是否通过 HTTPS、是否限制来源。 - 预期证据：Dashboard 登录截图、配置截图。
示例输出（节选）
grep dashboard etc
etc/emqx.conf: dashboard.listeners.http.bind = "192.168.10.101:18083"
（Dashboard 仅内网绑定，经堡垒机映射访问）
### B. 客户端认证方式 **核查命令**： ```bash find etc -type f | grep -E "emqx_auth|acl|authorization" grep -R "authn\\|authz" etc data/config 2>/dev/null ``` - 备注：现场应区分用户名密码、ClientID、HTTP、MySQL、JWT、TLS 证书等认证方式。 - 预期证据：认证插件配置截图、账号台账、访谈记录。
示例输出（节选）
find etc | grep acl|authorization
etc/acl.conf
grep authn etc/data/configs/cluster.hocon
authentication = [ { mechanism = password_based, backend = mysql, ... } ]
（接入 MySQL 认证器，ACL 文件启用）
### C. 口令与失败控制 **核查命令**： ```bash grep -R "password\\|deny\\|rate_limit" etc data/config 2>/dev/null ``` - 备注：客户端锁定能力通常依赖认证后端、限速和安全设备，需按实际实现判断。 - 【不适用】若 EMQX 未提供面向人工运维的本地登录界面，仅处理设备连接认证，则“人工用户登录失败锁定/会话超时”对 Broker 本体可判定为不适用；应转而核查设备认证、Dashboard 鉴别和访问限制。依据：GB/T 28448-2019 身份鉴别控制点按实际鉴别主体和场景适用。 - 预期证据：限流配置截图、认证平台截图、制度。
示例输出（节选）
grep password/deny/rate_limit etc
data/configs/cluster.hocon: max_conn_rate = 50
etc/acl.conf: { deny, all, subscribe, ["$SYS/#"] }
（默认拒绝 $SYS 订阅，连接速率限制开启）
### D. 会话与远程管理 **核查命令**： ```bash grep -R "idle_timeout\\|session_expiry_interval" etc data/config 2>/dev/null ``` - 备注：管理面与 MQTT 客户端会话需要分别核查。 - 预期证据：会话参数截图、平台材料。
示例输出（节选）
grep idle_timeout/session_expiry_interval etc
data/configs/cluster.hocon:
mqtt.idle_timeout = 15m
mqtt.session_expiry_interval = 30m
（会话过期 30 分钟，空闲连接 15 分钟回收）
## 访问控制 ### A. ACL 与授权 **核查命令**： ```bash find etc -type f | grep -E "acl|authorization" grep -R "publish\\|subscribe\\|allow\\|deny" etc data/config 2>/dev/null ``` - 备注：应核查客户端对主题的发布/订阅权限是否最小化。 - 预期证据：ACL 截图、授权说明。
示例输出（节选）
find etc | grep acl
etc/acl.conf
grep publish/subscribe/allow etc
etc/acl.conf:
{ allow, {user, "demo-device"}, publish, ["demo/#"] }
{ allow, {user, "demo-platform"}, subscribe, ["demo/#"] }
{ deny, all }
### B. Dashboard 与 API 限制 **核查命令**： ```bash grep -R "listeners\\|dashboard.listeners" etc data/config 2>/dev/null ``` - 备注：Dashboard、REST API 和管理端口应限制来源网络。 - 预期证据：监听配置截图、网络 ACL 材料。
示例输出（节选）
grep listeners etc
listeners.tcp.default.bind = "0.0.0.0:1883"
listeners.ssl.default.bind = "0.0.0.0:8883"
dashboard.listeners.http.bind = "192.168.10.101:18083"
（生产流量走 8883 TLS；1883 仅限 VPC 内网白名单使用）
### C. 默认账户与未使用插件 **核查命令**： ```bash emqx ctl plugins list 2>/dev/null ``` - 备注：未使用认证插件、测试插件和默认账户应清理或停用。 - 预期证据：插件清单截图、处置说明。
示例输出（节选）
emqx ctl plugins list
Plugin                    Status
emqx_authn_mnesia         stopped
emqx_management           running
emqx_retainer             running
（无第三方未审核插件运行）
### D. 文件与运行权限 **核查命令**： ```bash ps -o user,pid,cmd -C beam.smp find etc -maxdepth 1 -type f -exec ls -l {} \\ ``` - 备注：配置目录、日志目录和数据目录权限应最小化。 - 预期证据：运行用户截图、权限截图。
示例输出（节选）
USER PID COMMAND
emqx 12101 beam.smp
-rw-r----- emqx emqx etc/emqx.conf
-rw------- emqx emqx data/certs/client.pem
（配置与证书权限合规，以非特权用户运行）
## 安全审计 ### A. 日志配置 **核查命令**： ```bash grep -R "log\\." etc data/config 2>/dev/null find log -type f 2>/dev/null ``` - 备注：应关注 Broker 日志、认证日志、Dashboard 日志和规则引擎日志。 - 预期证据：日志配置截图、日志目录截图。
示例输出（节选）
grep log etc/data/configs/cluster.hocon
log.file.level = info
log.console.level = warning
find log -type f
log/emqx.log  log/emqx.log.1  log/erlang.log.1
### B. 客户端接入与管理操作日志 **核查命令**： ```bash grep -R "audit\\|trace" etc data/config 2>/dev/null ``` - 备注：现场需证明客户端认证、拒绝连接、管理操作和异常事件可追溯。 - 预期证据：日志样例、平台截图。
示例输出（节选）
grep audit/trace etc
data/configs/cluster.hocon: trace 按需临时开启
log/emqx.log 中记录 dashboard 登录成功/失败事件
（管理操作审计依赖 Dashboard 日志+平台侧审计）
### C. 留存与轮转 **核查命令**： ```bash grep -R "rotation\\|size" etc data/config 2>/dev/null ``` - 备注：需核实日志轮转、保留周期和集中化策略。 - 预期证据：轮转截图、制度、访谈记录。
示例输出（节选）
grep rotation/size etc
data/configs/cluster.hocon:
log.rotation.count = 10
log.rotation.max_size = 50MB
（按大小轮转保留 10 个文件）
### D. 平台联动 **核查命令**： ```bash journalctl | grep emqx | tail -n 50 ``` - 备注：EMQX 现场通常还需结合日志平台和监控平台判断。 - 预期证据：平台截图、告警截图。
示例输出（节选）
journalctl | grep emqx（节选）
Aug 24 08:59:20 host systemd[1]: Started emqx.service.
Aug 24 09:00:01 host emqx[12101]: EMQ X 5.4.1 is running now!
Aug 24 10:12:44 host emqx[12101]: authentication failure for client_id 'test-01'
## 数据完整性 ### A. 集群与消息完整性 **核查命令**： ```bash emqx ctl cluster status 2>/dev/null ``` - 备注：关注节点状态、消息路由、桥接和规则引擎的正确性。 - 预期证据：集群状态截图、架构说明。
示例输出（节选）
emqx ctl cluster status
running_nodes: ['emqx@192.168.10.101','emqx@192.168.10.102']
stopped_nodes: []
（两节点集群正常，节点故障可自动接管会话）
### B. 传输完整性 **核查命令**： ```bash grep -R "listeners.ssl\\|mqtt.ssl\\|wss" etc data/config 2>/dev/null ``` - 备注：MQTT/TCP、MQTT over SSL、WebSocket over TLS 应按实际协议取证。 - 预期证据：TLS 配置截图、证书材料。
示例输出（节选）
grep listeners.ssl etc
listeners.ssl.default.bind = "0.0.0.0:8883"
listeners.wss.default.bind = "0.0.0.0:8084"
（MQTT 与 WebSocket Secure 均启用 TLS）
## 数据保密性 ### A. TLS 与证书保护 **核查命令**： ```bash grep -R "certfile\\|keyfile\\|cacertfile" etc data/config 2>/dev/null ``` - 备注：管理面和敏感消息链路应优先启用 TLS。 - 预期证据：证书截图、HTTPS/WSS 截图。
示例输出（节选）
grep certfile/keyfile etc/data/configs/cluster.hocon
ssl_options.keyfile = /opt/emqx/etc/certs/server.key
ssl_options.certfile = /opt/emqx/etc/certs/server.pem
ssl_options.cacertfile = /opt/emqx/etc/certs/ca.pem
verify = verify_peer
### B. 敏感配置保护 **核查命令**： ```bash grep -R "password\\|secret\\|token" etc data/config 2>/dev/null ``` - 备注：认证后端口令、规则引擎凭据、桥接凭据应重点核查。 - 预期证据：脱敏截图、权限截图、密钥管理说明。
示例输出（节选）
grep password etc/data/configs/cluster.hocon（节选）
authentication.mysql.password = ***
dashboard.default_password = ***（首次登录已修改）
（口令掩码展示，未见明文）
## 备份恢复 ### A. 配置备份 **核查命令**： ```bash find etc data/config -type f 2>/dev/null ``` - 备注：应覆盖 `emqx.conf`、Dashboard、认证插件、规则引擎和集群配置。 - 预期证据：备份目录截图、备份策略。
示例输出（节选）
find etc data/configs -type f
etc/emqx.conf  etc/acl.conf  etc/base.hocon
data/configs/cluster.hocon
etc/certs/server.pem  etc/certs/server.key
### B. 日志与数据备份 **核查命令**： ```bash find log data -type f 2>/dev/null | head ``` - 备注：如使用持久化会话、规则引擎或外部存储，应同步说明备份范围。 - 预期证据：目录截图、平台材料、访谈记录。
示例输出（节选）
find log data | head
log/emqx.log  log/emqx.log.1
data/mnesia/emqx@192.168.10.101/
data/certs/
（数据目录纳入每日备份）
### C. 恢复能力 **核查命令**： ```bash emqx ctl status 2>/dev/null ``` - 备注：可通过节点重建、配置恢复、集群重连或编排重启证明恢复能力。 - 预期证据：恢复手册、演练记录、工单。
示例输出（节选）
emqx ctl status
Node 'emqx@192.168.10.101' 5.4.1 is started
（服务运行正常，配置可由备份恢复）
## 剩余信息保护 ### A. 历史配置与停用插件 **核查命令**： ```bash find . -type f | grep -E "bak|old|backup" ``` - 备注：旧配置、停用插件、历史证书和测试配置应及时清理。 - 预期证据：目录截图、清理说明。
示例输出（节选）
find . | grep bak|old|backup
backup-emqx-20260823.tar.gz
etc/emqx.conf.bak
（旧配置移出生产目录计划中）
### B. 凭据残留 **核查命令**： ```bash grep -R "password\\|secret\\|token" . 2>/dev/null ``` - 备注：日志、配置和脚本中残留敏感信息应重点处理。 - 预期证据：脱敏截图、整改记录。
示例输出（节选）
grep password/token .（节选）
data/configs/cluster.hocon: authentication.mysql.password = ***
log/emqx.log: authentication failure（无敏感明文）
## 个人信息保护 ### A. MQTT 主题与日志中的个人信息 **核查命令**： ```bash grep -R "topic" etc data/config 2>/dev/null ``` - 备注：现场不建议直接抽取敏感消息内容，可通过主题命名、规则引擎、业务说明判断是否承载个人信息。 - 【不适用】若 EMQX 承载的仅为设备状态、遥测、非个人信息消息，且经业务确认不涉及个人身份数据，则该点可判定为不适用。依据：GB/T 28448-2019 个人信息保护控制点应以实际处理个人信息为适用前提。 - 预期证据：主题配置截图、业务访谈记录。
示例输出（节选）
grep topic etc（节选）
etc/acl.conf: ["demo/#"] "$SYS/#"
（主题命名不含个人信息字段）
### B. 导出与共享控制 **核查命令**： ```bash find . -type f | grep -i "export\\|rule" ``` - 备注：规则引擎、桥接和外部存储转发可能造成个人信息扩散，应核查授权和脱敏控制。 - 【不适用】若未启用规则引擎导出、桥接外发、Dashboard 数据导出等能力，且消息不含个人信息，则“个人信息导出与共享控制”对 EMQX 可判定为不适用。依据：GB/T 28448-2019 按对象实际输出与共享能力判定。 - 预期证据：规则配置截图、制度、访谈记录。
示例输出（节选）
find . | grep export|rule
scripts/export-acl.sh
data/rules/demo-rule.json（规则引擎规则导出）
（规则导出文件权限 600 并纳入变更管理）
## 入侵防范 ### A. Dashboard 与 MQTT 端口暴露 **核查命令**： ```bash grep -R "listeners\\|dashboard" etc data/config 2>/dev/null ``` - 备注：重点核查 Dashboard、API、MQTT/TCP、WS/WSS 等端口是否对无关网络暴露。 - 预期证据：监听配置截图、端口截图、网络 ACL 材料。
示例输出（节选）
grep listeners/dashboard etc（见上）
listeners.tcp/ssl/dashboard 配置齐备
（管理端口仅内网，业务端口经 LB 接入）
### B. 默认账户与危险插件 **核查命令**： ```bash emqx ctl plugins list 2>/dev/null grep -R "allow_anonymous\\|dashboard.default" etc data/config 2>/dev/null ``` - 备注：关注匿名接入、默认账号、测试插件和高危桥接配置。 - 预期证据：插件截图、配置截图、处置说明。
示例输出（节选）
emqx ctl plugins list
emqx_management running
grep allow_anonymous etc
data/configs/cluster.hocon: 未出现 allow_anonymous=true
（匿名接入禁用，认证强制生效）
### C. 版本与漏洞风险 **核查命令**： ```bash emqx version 2>/dev/null ``` - 备注：需确认版本、插件版本和高危漏洞整改情况。 - 预期证据：版本截图、补丁或整改记录。
示例输出（节选）
emqx version
EMQ X Enterprise 5.4.1
（版本较新，CVE 修复情况见补丁台账）
### D. 防护与告警联动 **核查命令**： ```bash journalctl | grep emqx | tail -n 50 ``` - 备注：EMQX 入侵防范通常依赖安全网关、日志平台、主机防护和规则告警联动。 - 预期证据：平台截图、告警记录、安全设备材料。
示例输出（节选）
tail log/emqx.log（节选）
2026-08-24T10:12:44+08:00 [warning] clientid: test-01, msg: authentication_failure, peer: 192.168.8.66
2026-08-24T10:12:45+08:00 [info] connection closed by peer
（认证失败记录完整并联动安全平台封禁告警）