Nginx安全性能监控与异常检测方案

一、基础监控指标

1. 性能指标监控

• 请求速率：requests per second (req/s)
• 连接数：active connections (活跃/等待连接)
• 请求处理时间：request_time 和 upstream_response_time
• 流量监控：bytes_sent/received (入站/出站流量)

2. 错误状态监控

• HTTP状态码：重点关注4xx和5xx错误
• 连接错误：accept() failed、connect()失败等

二、监控工具配置

1. Nginx状态模块

location /nginx_status {
    stub_status on;
    access_log off;
    allow 127.0.0.1;
    deny all;
}

2. Prometheus + Grafana方案

• 安装nginx-prometheus-exporter
• 配置Prometheus抓取指标
• Grafana仪表盘示例：
  • 请求率、错误率、响应时间
  • 连接数热力图
  • 上游服务器健康状态

3. ELK Stack日志分析

log_format json_analytics escape=json
    '{"timestamp":"$time_iso8601",'
    '"remote_addr":"$remote_addr",'
    '"status":"$status",'
    '"request_time":$request_time,'
    '"upstream_response_time":"$upstream_response_time",'
    '"request":"$request",'
    '"http_referrer":"$http_referer",'
    '"http_user_agent":"$http_user_agent"}';

三、安全异常检测

1. 常见攻击模式检测

• DDoS攻击：突发高流量、异常请求速率
• 暴力破解：同一IP的频繁401响应
• 扫描探测：大量404状态码
• SQL注入/XSS：异常请求参数模式

2. 实时检测方案

# 检测异常请求速率
tail -f access.log | awk '{print $1}' | sort | uniq -c | sort -nr

# 查找可疑请求
grep -E 'select|union|eval\(|base64_decode' access.log

3. Fail2Ban集成

[nginx-http-auth]
enabled = true
filter = nginx-http-auth
action = iptables[name=HTTP, port=http, protocol=tcp]
logpath = /var/log/nginx/error.log
maxretry = 3

四、性能优化与防护

1. 限流配置

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

location / {
    limit_req zone=one burst=20 nodelay;
}

2. 连接限制

limit_conn_zone $binary_remote_addr zone=addr:10m;

location /download/ {
    limit_conn addr 5;
}

3. WAF集成

• ModSecurity配置示例：

modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

五、自动化响应

1. 告警规则示例(Prometheus)

groups:
- name: nginx-alerts
  rules:
  - alert: HighRequestLatency
    expr: histogram_quantile(0.99, sum(rate(nginx_http_request_time_seconds_bucket[1m])) by (host) > 3
    for: 5m
    labels:
      severity: critical
    annotations:
      summary: "High request latency on {{ $labels.host }}"

2. 自动封禁脚本

#!/bin/bash
# 自动封禁异常IP
ABNORMAL_IPS=$(awk '$4 >= 400 {print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -n 10 | awk '{print $2}')

for ip in $ABNORMAL_IPS; do
    iptables -A INPUT -s $ip -j DROP
    echo "$(date) - Blocked IP: $ip" >> /var/log/nginx/ip_block.log
done

六、最佳实践建议

1. 定期审计：检查配置文件和访问日志
2. 及时更新：保持Nginx和模块的最新版本
3. 最小权限：以非root用户运行worker进程
4. 敏感信息保护：禁用服务器令牌、错误页敏感信息
5. 备份策略：定期备份配置和证书

通过以上综合方案，可以实现对Nginx服务全方位的安全性能监控与异常检测，及时发现并应对潜在威胁。