安全加固与审计

RabbitMQ安全加固通过禁用默认账号、限制IP访问、启用操作日志等措施，构建完整的安全防护与审计体系。

默认账号处理

禁用 guest 账号

RabbitMQ默认安装后会创建一个guest/guest账号，该账号具有完整管理员权限，生产环境必须禁用或删除。

# 删除 guest 账号
rabbitmqctl delete_user guest

# 或禁用 guest 账号（修改配置限制仅本地登录）
# rabbitmq.conf
loopback_users = none

创建最小权限管理员

# 创建新的管理员账号
rabbitmqctl add_user admin strong_password_here
rabbitmqctl set_user_tags admin administrator

# 创建应用账号（仅应用所需权限）
rabbitmqctl add_user app_user app_password
rabbitmqctl set_permissions -p / app_user ".*" ".*" ".*"

生产环境禁止使用默认账号，所有账号必须使用强密码。

IP 访问控制

使用 Firewall 插件

# 启用 firewall 插件
rabbitmq-plugins enable rabbitmq_firewall

# 配置 IP 白名单（rabbitmq.conf）
firewall.allowed_cidrs = 10.0.0.0/8,172.16.0.0/12,192.168.0.0/16
firewall.denied_cidrs = 0.0.0.0/0

使用 HTTP API 动态配置

import com.rabbitmq.client.ConnectionFactory;
import com.rabbitmq.client.Connection;
import com.rabbitmq.client.Channel;

import java.io.IOException;
import java.io.OutputStream;
import java.net.HttpURLConnection;
import java.net.URL;
import java.nio.charset.StandardCharsets;
import java.util.Base64;
import java.util.concurrent.TimeoutException;

/**
 * RabbitMQ IP 访问控制配置示例
 */
public class IPAccessControl {

    private static final String MANAGEMENT_URL = "http://localhost:15672";
    private static final String USERNAME = "admin";
    private static final String PASSWORD = "admin123";

    public static void main(String[] args) throws Exception {
        // 通过 HTTP API 配置 IP 白名单
        configureIPWhitelist();
    }

    private static void configureIPWhitelist() throws IOException {
        String endpoint = MANAGEMENT_URL + "/api/parameters/firewall";
        URL url = new URL(endpoint);
        HttpURLConnection conn = (HttpURLConnection) url.openConnection();
        conn.setRequestMethod("PUT");
        conn.setRequestProperty("Content-Type", "application/json");
        
        // Basic Auth
        String auth = USERNAME + ":" + PASSWORD;
        String encodedAuth = Base64.getEncoder().encodeToString(auth.getBytes(StandardCharsets.UTF_8));
        conn.setRequestProperty("Authorization", "Basic " + encodedAuth);
        conn.setDoOutput(true);

        String payload = "
            {
              "vhost": "/",
              "component": "firewall",
              "name": "ip_whitelist",
              "value": {
                "allowed_cidrs": ["10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16"]
              }
            }
            ";

        try (OutputStream os = conn.getOutputStream()) {
            os.write(payload.getBytes(StandardCharsets.UTF_8));
        }

        int responseCode = conn.getResponseCode();
        if (responseCode == 204 || responseCode == 200) {
            System.out.println("IP 白名单配置成功");
        } else {
            System.err.println("IP 白名单配置失败，HTTP " + responseCode);
        }
    }
}

IP白名单应结合网络层防火墙使用，实现多层防护。

操作日志审计

启用审计日志

# 启用 RabbitMQ 审计插件（如可用）
rabbitmq-plugins enable rabbitmq_auth_backend_http

# 配置日志级别为 info，记录关键操作
# rabbitmq.conf
log.console.level = info
log.file.level = info
log.dir = /var/log/rabbitmq

日志分析示例

import java.io.BufferedReader;
import java.io.FileReader;
import java.io.IOException;
import java.time.LocalDateTime;
import java.time.format.DateTimeFormatter;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

/**
 * RabbitMQ 日志审计分析示例
 */
public class LogAuditor {

    private static final String LOG_FILE = "/var/log/rabbitmq/rabbit@hostname.log";
    private static final Pattern LOGIN_PATTERN = Pattern.compile(
        "accepting AMQP connection \\((.*?)\\) from (\\d+\\.\\d+\\.\\d+\\.\\d+)"
    );
    private static final Pattern AUTH_FAILURE = Pattern.compile(
        "Error on AMQP connection \\((.*?)\\): LOGIN_FAILED"
    );

    public static void main(String[] args) throws IOException {
        auditLog();
    }

    private static void auditLog() throws IOException {
        int loginCount = 0;
        int failureCount = 0;

        try (BufferedReader reader = new BufferedReader(new FileReader(LOG_FILE))) {
            String line;
            while ((line = reader.readLine()) != null) {
                Matcher loginMatcher = LOGIN_PATTERN.matcher(line);
                if (loginMatcher.find()) {
                    String connectionId = loginMatcher.group(1);
                    String ip = loginMatcher.group(2);
                    System.out.println("[LOGIN] " + LocalDateTime.now() + 
                        " - 连接: " + connectionId + " 来自: " + ip);
                    loginCount++;
                }

                Matcher failureMatcher = AUTH_FAILURE.matcher(line);
                if (failureMatcher.find()) {
                    System.err.println("[AUTH_FAILURE] " + LocalDateTime.now() + 
                        " - 登录失败: " + line);
                    failureCount++;
                }
            }
        }

        System.out.println("审计完成 - 登录: " + loginCount + ", 失败: " + failureCount);
        
        // 失败次数超过阈值触发告警
        if (failureCount > 10) {
            System.err.println("[ALERT] 登录失败次数过多，可能存在暴力破解攻击");
        }
    }
}

安全加固清单

安全加固必须定期审查与更新，配合漏洞扫描与渗透测试。

要点总结

• 禁用默认账号：生产环境必须删除或禁用guest账号
• IP访问控制：通过防火墙插件或网络层限制访问来源
• 操作日志审计：记录关键操作，定期分析异常行为
• 最小权限原则：每个账号仅分配必要的权限
• 定期安全审查：结合自动化扫描与手动审计，持续改进安全基线