Apache Kafka 消息中间件测评

Apache Kafka 三级等保现场测评取证命令单：按控制点组织 SASL/SSL 认证、ACL 授权、审计日志核查命令、判定要点与取证要求。
Categories:

  5 分钟阅读  

定位：Apache Kafka 三级等保现场测评取证命令单，按 GB/T 22239-2019 安全计算环境控制点分节组织核查命令、判定要点与取证要求。 适用范围：Apache Kafka 2.x/3.x、KRaft 或 ZooKeeper 架构场景。 配套文章：22、高风险判定指引与加固对照表、16、安全评估加固记录表3.0、21、Web中间件安全加固。

使用说明：

  • 本文所有命令均为只读取证命令，不修改配置、不重启服务、不执行清除类操作；确需变更由被测单位运维方在授权下实施。
  • 每个控制点小节按「对应控制点 → 判定要点 → 取证要求 → 核查命令 → 备注 → 预期证据」编排；命令回显本身即证据，须连同命令行一起截图。
  • 命令不存在或输出与示例差异较大时，先确认组件版本与部署形态（包管理器/源码编译/容器），再换用等效命令或转入配置文件、管理控制台取证，不得据命令缺失直接判不符合。
  • 示例输出中的地址、账户、路径均为演示值，现场须替换为真实取证结果并对涉及个人信息与内网管理地址的内容脱敏后再入报告。

不适用标识说明：

  • 使用 【不适用】 明确标记现场可判定为不适用的控制点。
  • 判定依据采用 GB/T 28448-2019“按测评对象实际处理流程和安全边界判定”的原则；Kafka 多为消息中间件，很多个人信息保护项需先确认消息内容和平台功能边界。

基础信息

对应控制点：非独立控制点（测评对象与资产确认）；部署形态与冗余情况佐证 8.1.2.1 网络架构 e) 关键设备硬件冗余

判定要点：版本、部署路径、运行账户、监听端口、集群角色五项均可取证且与实际架构一致 → 符合；版本或路径无法确认、依赖口头说明 → 部分符合。

取证要求：版本命令回显截图、配置路径截图、进程与运行账户截图、端口监听截图；集群部署补节点清单与角色截图。

核查命令：

ps -ef | grep kafka
grep -n "broker.id\\|node.id\\|listeners" config/server.properties 2>/dev/null
bin/kafka-topics.sh --version 2>/dev/null
  • 备注：确认版本、Broker 角色、集群模式、监听地址、日志目录、数据目录和配置文件路径。
  • 预期证据：版本截图、进程截图、配置文件截图、集群节点截图。
示例输出（节选）
ps -ef | grep kafka
kafka 2201 java -Xmx4G -server kafka.Kafka config/server.properties
config/server.properties:
broker.id=1
listeners=SASL_SSL://192.168.10.21:9093
bin/kafka-topics.sh --version
2.8.1 (Commit:839b886f9b732b15)

身份鉴别

对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)~d)

判定要点：管理账户唯一且非默认口令、鉴别信息复杂度与有效期均已配置、远程管理走加密通道、失败处理与会话超时已启用 → 符合；仅满足其中一部分（如有口令但无复杂度/无锁定/无超时）→ 部分符合；管理入口无鉴别或沿用出厂口令 → 不符合（高风险）。

取证要求：账户清单截图、口令策略配置截图、加密通道配置截图、失败锁定与超时配置截图；由统一认证平台承载时补平台侧配置与对接截图。

A. 管理与客户端认证方式

核查命令：

grep -n "security.inter.broker.protocol\\|sasl.enabled.mechanisms\\|listeners\\|listener.security.protocol.map" config/server.properties 2>/dev/null
  • 备注：核查是否启用 SASL、SSL、双向证书、Kerberos 等身份鉴别机制。
  • 预期证据：认证配置截图、证书或 JAAS 配置截图。
示例输出（节选）
security.inter.broker.protocol=SASL_SSL
sasl.enabled.mechanisms=SCRAM-SHA-256
listener.security.protocol.map=SASL_SSL:SASL_SSL,PLAINTEXT:PLAINTEXT

B. 用户与主体

核查命令：

grep -R "KafkaServer\\|Client" config *.jaas 2>/dev/null
  • 备注：如接入 LDAP、Kerberos、SCRAM，应结合主体、用户、服务账号统一核查。
  • 预期证据：JAAS 配置截图、账号台账、访谈记录。
示例输出（节选）
config/kafka_server_jaas.conf:
KafkaServer {
    org.apache.kafka.common.security.scram.ScramLoginModule required
    username="admin"
    password="***";
};

C. 口令与失败处理

核查命令：

grep -R "SCRAM\\|PLAIN\\|OAUTH" config 2>/dev/null
  • 备注：Kafka 对登录失败锁定能力有限，通常通过认证平台、前置网关或主机控制实现等效措施。
  • 【不适用】若 Kafka 未提供面向人工用户的交互式登录控制台，仅作为 Broker 接收客户端连接，则“人工用户登录失败锁定/会话超时”可判定为不适用；应转而核查 SASL、SSL、ACL 与网络控制。依据：GB/T 28448-2019 身份鉴别控制点按实际鉴别场景适用。
  • 预期证据：认证方案说明、制度、平台材料。
示例输出（节选）
grep SCRAM/PLAIN/OAUTH conf
sasl.enabled.mechanisms=SCRAM-SHA-256
（采用 SCRAM-SHA-256，未启用弱 PLAIN 机制对外）

D. 运维会话与远程管理

核查命令：

grep -n "authorizer.class.name\\|super.users" config/server.properties 2>/dev/null
  • 备注：重点关注运维是经 JumpServer、Ansible、发布平台还是直接登录主机操作。
  • 预期证据：运维平台截图、堡垒机记录、制度。
示例输出（节选）
authorizer.class.name=kafka.security.authorizer.AclAuthorizer
super.users=User:admin
allow.everyone.if.no.acl.found=false

访问控制

对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)~f)

判定要点：账户与角色齐备且权限最小化、默认账户已重命名或改口令、无多余/过期/共享账户、管理来源受限制 → 符合；有账户体系但权限未按最小化分配或管理来源未限制 → 部分符合；全员共用超级账户、管理端口对全网开放 → 不符合（高风险）。

取证要求：账户与角色对应表、授权策略截图、管理来源限制（ACL/绑定地址/防火墙策略）截图、多余账户处置记录。

A. ACL 与授权

核查命令：

bin/kafka-acls.sh --bootstrap-server <地址> --list 2>/dev/null
  • 备注：应区分 Topic、Consumer Group、Cluster 等对象的授权，避免全部放开。
  • 预期证据：ACL 列表截图、权限说明。
示例输出（节选）
bin/kafka-acls.sh --bootstrap-server 192.168.10.21:9093 --list（节选）
Current ACLs for resource `Topic:demo-order`:
  principal=User:demo-producer, operation=WRITE
  principal=User:demo-consumer, operation=READ, host=*

B. 监听与来源限制

核查命令：

grep -n "listeners\\|advertised.listeners" config/server.properties 2>/dev/null
  • 备注：管理平面和业务平面应分离，敏感监听不宜对无关网络开放。
  • 预期证据：监听配置截图、网络 ACL 材料。
示例输出（节选）
listeners=SASL_SSL://192.168.10.21:9093
advertised.listeners=SASL_SSL://mq.demo.local:9093
（仅开放 SASL_SSL 端口，PLAINTEXT 9092 未监听）

C. 默认账户与测试主题

核查命令：

bin/kafka-topics.sh --bootstrap-server <地址> --list 2>/dev/null
  • 备注：测试主题、临时主题、无主业务对象应清理或纳入说明。
  • 预期证据：主题清单截图、处置说明。
示例输出（节选）
demo-order
demo-payment
demo-log-collect
__consumer_offsets
__transaction_state

D. 文件与进程权限

核查命令：

ps -o user,pid,cmd -C java
ls -l config/server.properties 2>/dev/null
  • 备注：运行账户不宜过高，配置和日志目录权限应最小化。
  • 预期证据：运行用户截图、权限截图。
示例输出（节选）
USER PID  COMMAND
kafka 2201 java -Xmx4G kafka.Kafka
-rw-r----- 1 kafka kafka 5678 config/server.properties

安全审计

对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)~d)

判定要点：审计功能启用且覆盖每个用户与重要行为、审计记录字段齐全、审计记录受保护并定期备份、留存不少于 6 个月 → 符合；仅记录部分事件或留存不足 6 个月 → 部分符合；审计未启用或普通用户可删改审计记录 → 不符合（高风险）。

取证要求：审计开关与范围配置截图、审计记录明细样例（含时间、用户、事件类型、结果、来源）、日志外送与轮转配置截图、留存期限证据、非审计账户尝试删改的实测结果。

A. Broker 日志

核查命令：

grep -n "log.dirs\\|authorizer.class.name" config/server.properties 2>/dev/null
find logs -type f 2>/dev/null | head
  • 备注：区分 Broker 日志、控制器日志、授权日志和客户端接入日志。
  • 预期证据：日志目录截图、日志样例。
示例输出（节选）
log.dirs=/data/kafka/logs
authorizer.class.name=kafka.security.authorizer.AclAuthorizer
find logs：
server.log
controller.log
state-change.log

B. 认证与授权审计

核查命令：

grep -R "authorizer" config 2>/dev/null
  • 备注：应能追踪失败认证、拒绝授权和关键管理操作。
  • 预期证据：审计截图、日志平台材料。
示例输出（节选）
grep authorizer config
authorizer.class.name=kafka.security.authorizer.AclAuthorizer
allow.everyone.if.no.acl.found=false
（未授权主体默认拒绝；broker 级操作日志由 server.log 记录）

C. 留存与轮转

核查命令：

grep -R "log4j" config 2>/dev/null
  • 备注：日志留存与轮转通常由 Log4j 或系统侧实现，现场需明确留存周期。
  • 预期证据：轮转配置截图、制度、访谈记录。
示例输出（节选）
config/log4j.properties:
log4j.appender.kafkaAppender=org.apache.log4j.DailyRollingFileAppender
log4j.appender.stateChangeAppender=DailyRollingFileAppender
（按日轮转，配合外部清理脚本保留 30 天）

D. 集中审计

核查命令：

journalctl | grep kafka | tail -n 50
  • 备注：Kafka 现场建议结合主机日志、日志平台和集群监控平台综合取证。
  • 预期证据：平台截图、告警截图。
示例输出（节选）
journalctl | grep kafka（节选）
Aug 24 08:59:59 host systemd[1]: Started kafka.service
Aug 24 09:00:03 host kafka[2201]: [KafkaServer id=1] started (kafka.server.KafkaServer)
Aug 24 10:14:20 host kafka[2201]: [SocketServer] Failed authentication with /192.168.8.66 (Sasl authentication error)

数据完整性

对应控制点：GB/T 22239-2019 8.1.4.7 数据完整性 a)b)

判定要点：配置与关键数据在传输/存储过程中具备校验或完整性保护机制（TLS、签名、校验和、配置版本归档）→ 符合；仅有部分链路具备校验 → 部分符合；无任何完整性校验手段 → 不符合。

取证要求：传输加密配置截图、校验/签名机制说明、配置变更与归档记录、完整性检测工具输出。

A. 副本与同步状态

核查命令：

bin/kafka-topics.sh --bootstrap-server <地址> --describe 2>/dev/null
  • 备注：关注副本因子、ISR、未同步副本和控制器状态。
  • 预期证据：主题描述截图、集群状态截图。
示例输出（节选）
bin/kafka-topics.sh --describe（节选）
Topic: demo-order  PartitionCount: 6  ReplicationFactor: 3
    Topic: demo-order Partition: 0 Leader: 1 Replicas: 1,2,3 Isr: 1,2,3
    Topic: demo-order Partition: 1 Leader: 2 Replicas: 2,3,1 Isr: 2,3,1
（多副本且 ISR 完整，保障消息完整性）

B. 传输完整性

核查命令：

grep -n "ssl\\|sasl" config/server.properties 2>/dev/null
  • 备注：Broker 间通信和客户端接入若依赖 TLS/SASL，应明确其完整性保护作用。
  • 预期证据：TLS/SASL 配置截图、证书材料。
示例输出（节选）
ssl.keystore.location=/etc/kafka/ssl/broker.jks
ssl.truststore.location=/etc/kafka/ssl/truststore.jks
ssl.client.auth=required
sasl.enabled.mechanisms=SCRAM-SHA-256

数据保密性

对应控制点：GB/T 22239-2019 8.1.4.8 数据保密性 a)b)

判定要点：鉴别信息与敏感业务数据在传输和存储时均加密（TLS 1.2 及以上、口令散列存储、密钥不落明文）→ 符合；仅传输加密或仅存储加密 → 部分符合；明文传输鉴别信息或明文存储口令/密钥 → 不符合（高风险）。

取证要求：TLS 配置与证书信息截图、协议与加密套件清单、口令/密钥存储形态截图、抓包验证结果；使用国密算法时注明算法与模块。

A. TLS 与加密传输

核查命令：

grep -n "ssl.keystore\\|ssl.truststore\\|ssl.client.auth" config/server.properties 2>/dev/null
  • 备注：敏感业务消息和管理连接应优先通过 TLS 保护。
  • 预期证据：SSL 参数截图、证书截图。
示例输出（节选）
ssl.keystore.location=/etc/kafka/ssl/broker.jks
ssl.truststore.location=/etc/kafka/ssl/truststore.jks
ssl.client.auth=required
ssl.endpoint.identification.algorithm=HTTPS

B. 敏感配置保护

核查命令：

grep -R "password\\|secret\\|jaas" config 2>/dev/null
  • 备注：JAAS 文件、Keystore/Truststore 密码、脚本参数中的敏感信息是重点。
  • 预期证据：脱敏截图、权限截图、密钥管理说明。
示例输出（节选）
grep password/jaas config
config/kafka_server_jaas.conf:    password="***";
config/client.properties: ssl.truststore.password=***
（密钥库口令经 KMS 加密或环境变量注入，文件权限 600）

备份恢复

对应控制点：GB/T 22239-2019 8.1.4.9 数据备份恢复 a)c)

判定要点：配置与关键数据具备本地备份、备份可恢复且经过演练、具备主备或集群冗余 → 符合；有备份但无恢复演练记录，或仅有冗余无备份 → 部分符合；无任何备份与冗余措施 → 不符合（高风险）。

取证要求：备份策略与备份文件清单截图、恢复演练记录、集群/主备状态截图、备份介质与异地存放说明。

A. 配置备份

核查命令：

find config -type f 2>/dev/null
  • 备注：应覆盖 server.properties、JAAS、证书、脚本和集群关键配置。
  • 预期证据：备份目录截图、策略说明。
示例输出（节选）
config/server.properties
config/consumer.properties
config/kafka_server_jaas.conf
config/log4j.properties

B. 元数据与日志段保护

核查命令：

grep -n "log.dirs" config/server.properties 2>/dev/null
  • 备注：主题数据和元数据保护依赖集群副本、磁盘备份和故障切换策略综合实现。
  • 预期证据：数据目录截图、备份说明、架构材料。
示例输出（节选）
log.dirs=/data/kafka/logs
ls /data/kafka/logs | head
demo-order-0/  demo-order-1/  __consumer_offsets-0/

C. 恢复能力

核查命令：

bin/kafka-topics.sh --bootstrap-server <地址> --list 2>/dev/null
  • 备注：现场应说明节点故障、Topic 恢复、配置回滚或重建策略。
  • 预期证据：恢复手册、演练记录、工单。
示例输出（节选）
bin/kafka-topics.sh --list
demo-order
demo-payment
demo-log-collect
__consumer_offsets

剩余信息保护

对应控制点：GB/T 22239-2019 8.1.4.10 剩余信息保护 a)b)

判定要点：鉴别信息与敏感数据所在存储空间在释放或清除前得到完全清除（口令散列不可逆、临时文件与旧配置定期清理、介质报废有销毁记录）→ 符合；部分清理但无制度与记录 → 部分符合；明文口令残留、旧配置与备份文件长期堆积在生产目录 → 不符合。

取证要求：清理策略与计划任务截图、残留排查命令输出、介质销毁与设备报废记录、制度文件。

A. 历史日志段与测试主题

核查命令：

find . -type d | grep -E "logs|old|backup"
  • 备注：历史日志段、测试主题、临时脚本和无用 broker 数据应及时清理。
  • 预期证据：目录截图、清理说明。
示例输出（节选）
find . -type d
logs/  logs/archive/  old-broker-backup/
（存在归档目录与旧版本备份，纳入备份策略管理）

B. 凭据残留

核查命令：

grep -R "password\\|secret\\|token" . 2>/dev/null
  • 备注：配置、日志和脚本中残留敏感信息应记录并整改。
  • 预期证据：脱敏截图、整改说明。
示例输出（节选）
grep password/secret/token .（节选）
config/kafka_server_jaas.conf: password="***"
logs/server.log:[2026-08-24 10:14:20] Sasl authentication error for User:demo-consumer
（口令均为掩码注入，日志中无敏感明文）

个人信息保护

对应控制点：GB/T 22239-2019 8.1.4.11 个人信息保护 a)b)

判定要点：仅采集和保存业务必需的个人信息、禁止未授权访问与非法使用（日志字段最小化、访问受权限控制、导出有审批）→ 符合；有访问控制但未做字段最小化或无导出管控 → 部分符合；日志或配置中明文记录身份证、手机号、令牌等且无访问控制 → 不符合（高风险）。

取证要求：日志格式与字段清单截图、样例日志（脱敏后）、个人信息访问权限配置、导出审批记录；不涉及个人信息时留存数据流说明作为不适用依据。

A. 消息主题中的个人信息

核查命令：

bin/kafka-topics.sh --bootstrap-server <地址> --list 2>/dev/null
  • 备注：不建议现场直接消费敏感消息，可通过主题命名、业务说明和授权流程判断是否承载个人信息。
  • 【不适用】若 Kafka 传输内容经业务确认不含个人信息，或仅承载系统事件、监控指标、非敏感技术消息，则该点可判定为不适用。依据：GB/T 28448-2019 个人信息保护控制点仅适用于实际处理个人信息的对象。
  • 预期证据：主题清单截图、业务访谈记录。
示例输出（节选）
bin/kafka-topics.sh --list
demo-order
demo-payment
__consumer_offsets
（topic 命名不包含个人信息字段）

B. 导出与共享控制

核查命令：

find . -type f | grep -i "export\\|consumer"
  • 备注：需关注测试消费者、导出脚本、离线同步任务对个人信息的复制和扩散风险。
  • 【不适用】若 Kafka 平台无面向运维的消息导出、批量共享能力，且消息中亦不含个人信息，则该点对 Kafka 组件可判定为不适用。依据：GB/T 28448-2019 按对象实际处理和输出能力判定。
  • 预期证据：权限说明、制度、访谈记录。
示例输出（节选）
find . -type f | grep consumer
bin/kafka-console-consumer.sh
bin/kafka-consumer-groups.sh
（控制台消费工具保留，使用需堡垒机审批并留痕）

入侵防范

对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)~h)、8.1.4.5 恶意代码防范

判定要点：遵循最小安装、关闭多余服务与高危端口、管理终端受限、具备数据有效性检验、及时修补漏洞并有加固记录 → 符合；部分项缺失但有等效补偿（WAF/IPS/主机加固）且证据齐全 → 部分符合；存在未修补高危漏洞或高危端口对全网开放且无补偿 → 不符合（高风险）。

取证要求：组件与服务清单、端口扫描结果、管理终端限制配置、漏洞扫描与修补记录、基线加固对照表、攻击告警或阻断记录。

A. 管理端口与未授权访问

核查命令：

grep -n "listeners\\|advertised.listeners" config/server.properties 2>/dev/null
ss -lntp | grep 9092
  • 备注：重点核查 Broker、控制面和管理接口是否暴露到无关网络。
  • 预期证据：端口截图、配置截图、网络 ACL 材料。
示例输出（节选）
listeners=SASL_SSL://192.168.10.21:9093
ss -lntp | grep 9092
（9092 无监听输出，仅 9093 SASL_SSL 对外）
LISTEN 0 50 192.168.10.21:9093

B. 高危 Topic 与默认开放能力

核查命令：

bin/kafka-acls.sh --bootstrap-server <地址> --list 2>/dev/null
  • 备注：关注未启用 ACL、测试 Topic、大范围匿名访问和过度授权问题。
  • 预期证据：ACL 截图、Topic 清单、处置说明。
示例输出（节选）
bin/kafka-acls.sh --list（节选）
Current ACLs for resource `Group:demo-group`:
  principal=User:demo-consumer, operation=READ
Current ACLs for resource `Cluster:kafka-cluster`:
  principal=User:admin, operation=ClusterAction

C. 版本与漏洞风险

核查命令：

bin/kafka-topics.sh --version 2>/dev/null
  • 备注：需确认版本、依赖组件和历史漏洞整改情况。
  • 预期证据：版本截图、补丁或整改记录。
示例输出（节选）
bin/kafka-topics.sh --version
2.8.1 (Commit:839b886f9b732b15)
（版本 2.8.1，已知漏洞修复情况见补丁台账）

D. 防护与告警联动

核查命令：

journalctl | grep kafka | tail -n 50
  • 备注：Kafka 入侵防范通常依赖网络隔离、主机防护、日志平台和监控告警联动。
  • 预期证据：平台截图、告警记录、主机防护材料。
示例输出（节选）
journalctl | grep kafka（节选）
Aug 24 10:14:20 host kafka[2201]: Failed authentication with /192.168.8.66
Aug 24 10:14:25 host firewall: DROP SRC=192.168.8.66 DST=192.168.10.21 PROTO=TCP DPT=9093
（认证失败事件联动防火墙封禁，并上送安全平台告警）

参考依据

关联文章