سجلات التدفق على مستويات VPC والشبكة الفرعية وENI

يمكنكم تمكين Flow Logs على ثلاثة مستويات: مستوى VPC بالكامل، أو subnet واحدة، أو واجهة شبكة مرنة (ENI) واحدة. ويحدد المستوى الذي تختارونه مقدار حركة المرور الملتقطة وموضع تركيز الرؤية. ويوازن اختيار النطاق المناسب بين التغطية والحجم والتكلفة.

يلتقط سجل التدفق على مستوى VPC حركة المرور لكل واجهة شبكة في كل subnet ضمن VPC، بما في ذلك الواجهات التي تُنشأ لاحقًا. وتوفر هذه الطريقة أوسع تغطية وأسهل إدارة، إذ يغطي إعداد واحد كامل VPC. وهي الخيار المعتاد للمراقبة الأمنية الشاملة.

يلتقط سجل التدفق على مستوى subnet جميع الواجهات الموجودة ضمن subnet واحدة. ويفيد ذلك عندما تريدون تفاصيل إضافية عن طبقة حساسة، مثل subnet قاعدة بيانات، من دون تسجيل كامل VPC. وهو يقلل الحجم مع الحفاظ على رؤية كاملة لهذا الجزء من الشبكة.

يستهدف سجل التدفق على مستوى ENI واجهة شبكة واحدة، ولا يلتقط سوى حركة المرور الخاصة بذلك المورد. وهذا هو النطاق الأكثر تركيزًا، وهو مناسب للمراقبة المتعمقة لمثيل محدد عالي القيمة أو لتحقيق تريدون فيه عزل اتصالات حمل عمل واحد.

لا تلغي المستويات بعضها بعضًا، بل تتعايش. وتُضمَّن الواجهات الجديدة في سجل على مستوى VPC تلقائيًا عند ظهورها. ويمكنكم إضافة سجل أكثر تفصيلًا على مستوى subnet أو ENI فوق سجل VPC إذا أردتم الجمع بين التغطية الواسعة والتنسيق المخصّص المركّز على منطقة واحدة.

للحصول على رؤية أمنية كاملة، يُعد سجل مستوى VPC الخيار الافتراضي الأكثر أمانًا، لأنه لا يترك أي واجهة من دون مراقبة، حتى الواجهات التي تُنشأ بعد الإعداد. وتُعد نطاقات subnet وENI أدوات إضافية للتركيز، وليست بدائل عن التغطية الواسعة. ويفضّل الامتحان مستوى VPC عندما يكون الهدف هو "مراقبة كل حركة المرور".

يؤثر حجم Flow Log في التكلفة والتخزين. فإذا كنتم تحتاجون إلى رؤية طبقة واحدة صاخبة أو حساسة فقط، فسيسجل subnet أو ENI بيانات أقل بكثير من تسجيل VPC بالكامل. وعندما تكون الميزانية أو حجم السجلات هو القيد، فإن تضييق النطاق هو الأداة المناسبة.

يمكن أن يكون لكل سجل تدفق وجهة وتنسيق خاصان به. فقد ترسلون سجلًا على مستوى VPC بتنسيقه الافتراضي إلى S3 لأغراض الأرشفة، بينما يستخدم سجل على مستوى subnet لطبقة قاعدة البيانات تنسيقًا مخصّصًا غنيًا ويبثه إلى CloudWatch لإطلاق التنبيهات في الوقت الفعلي. ويتيح مزج النطاقات تخصيص الرؤية بدقة.

في إعداد متعدد الحسابات، لا يمكنكم تمكين Flow Logs مرة واحدة للمؤسسة بأكملها، لكن يمكنكم فرضها باستخدام قواعد AWS Config أو ضوابط Control Tower التي ترصد أي VPC تفتقر إلى Flow Logs. ويضمن ذلك استيفاء كل حساب لخط أساس مستوى الرؤية، بدلًا من الاعتماد على تذكّر كل فريق لذلك.

للنشر في CloudWatch Logs، تحتاج Flow Logs إلى دور IAM يمنح الإذن بالكتابة إلى مجموعة السجلات. وللنشر في S3، يجب أن تسمح سياسة الحاوية لخدمة تسليم Flow Logs بالكتابة. ويُعد ضبط هذه الأذونات بصورة صحيحة من المشكلات الشائعة في الإعداد، إذ يؤدي فقدان الدور إلى تعطيل التسليم دون ظهور واضح.

يتمثل أحد الأنماط القوية في استخدام سجل على مستوى VPC إلى S3 لأرشفة كاملة منخفضة التكلفة، إلى جانب سجلات مستهدفة على مستوى subnet أو ENI إلى CloudWatch للطبقات الأكثر أهمية لديكم. ويوفر ذلك سجلًا تاريخيًا كاملًا وتنبيهات سريعة في المواضع المهمة، مع التحكم في تكلفة البيانات الضخمة.

اختبروا مدى استيعابكم لنطاق Flow Log.

يمكن تحديد نطاق Flow Logs على مستوى VPC أو subnet أو ENI واحدة، وتتعايش هذه النطاقات. ويوفر مستوى VPC تغطية كاملة تشمل الواجهات المستقبلية، وهو الخيار الافتراضي للحصول على رؤية شاملة؛ بينما تقلل نطاقات subnet وENI الحجم وتركز على الطبقات الحساسة. ولكل سجل وجهته وتنسيقه الخاصان، كما يلزم توفير أذونات IAM/الحاوية المناسبة للتسليم.