Læsning af Flow Log-poster og -felter

En flowlogpost er en enkelt linje, der beskriver trafik for én forbindelse i løbet af aggregeringsintervallet. Standardformatet er en fast rækkefølge af felter adskilt af mellemrum. At lære hurtigt at læse denne linje er en grundlæggende færdighed i enhver netværksundersøgelse på AWS.

Kernen i en post er femtupletten: kildeadresse, destinationsadresse, kildeport, destinationsport og protokolnummer. Den identificerer entydigt en kommunikation. Protokol 6 er TCP, og 17 er UDP. Tilsammen fortæller disse felter præcis, hvilke endepunkter der kommunikerede, og hvilken tjeneste de brugte.

Felterne srcaddr og dstaddr viser de involverede IP-adresser. For trafik, der forlader en instans, er srcaddr instansen; for indgående trafik er den den eksterne modpart. Det er afgørende at læse retningen korrekt: Hvis du forveksler kilde og destination, kan hele din forståelse af en hændelse blive vendt på hovedet.

dstport fortæller som regel, hvilken tjeneste der bruges: 443 er HTTPS, 22 er SSH, 3389 er RDP, og 3306 er MySQL. Uventede destinationsporte, f.eks. udgående 6667 (IRC), som botnet ofte bruger, er advarselstegn. srcport er typisk en midlertidig port med et højt nummer, som klienten vælger.

Felterne bytes og packets tæller de data, der blev overført i løbet af intervallet. En lille forespørgsel, der besvares med en enorm mængde udgående bytes, kan være tegn på dataeksfiltrering. Ved at følge disse mængder over tid kan du skelne normal kommunikation fra en vært, der pludselig sender gigabytes til en ukendt adresse.

Feltet action er ACCEPT eller REJECT. REJECT betyder, at en sikkerhedsgruppe eller en NACL blokerede flowet. Mange REJECT-handlinger fra én kilde mod mange porte tyder på scanning. Sikkerhedsgrupper er med tilstand, så en REJECT dér afspejler normalt en NACL-regel. Det hjælper dig med at finde den kontrol, der greb ind.

Det sidste felt, log-status, er OK, NODATA eller SKIPDATA. NODATA betyder, at der ikke var trafik i intervallet, og SKIPDATA betyder, at nogle poster blev sprunget over på grund af kapacitetsbegrænsninger. SKIPDATA er en advarsel om, at din synlighed har et hul, hvilket er vigtigt, når du er afhængig af komplette data i en undersøgelse.

Hver post indeholder et start- og end-tidspunkt i Unix-epokesekunder for aggregeringsvinduet, ikke for hver enkelt pakke. Når du sammenholder Flow Logs med CloudTrail eller applikationslogs, skal du huske, at tidspunkterne markerer vinduets grænser. En hændelse kan derfor have fundet sted når som helst i dette vindue.

Et brugerdefineret format kan tilføje værdifulde felter som instance-id, vpc-id, subnet-id, tcp-flags og flow-direction. Felterne pkt-srcaddr og pkt-dstaddr viser de oprindelige adresser bag NAT, som de grundlæggende felter srcaddr/dstaddr kan skjule. Disse ekstra oplysninger gør undersøgelser markant hurtigere.

Når du fortolker en linje, skal du først identificere femtupletten, derefter handlingen og byteantallene og til sidst knytte destinationsporten til en tjeneste. Overvej, om retningen, mængden og modparten passer til instansens rolle. Denne systematiske læsning forvandler en kryptisk loglinje til en klar beskrivelse af, hvad der skete.

Med øvelse opdager du afvigelser med det samme: SSH fra en ukendt IP-adresse på internettet, store udgående overførsler til en ny region eller gentagne REJECT-handlinger, der scanner et subnet. Felterne ændrer sig aldrig, så færdigheden består i at genkende mønstre. Denne sikkerhed er præcis det, eksamen tester i scenarier om netværkssynlighed.

En flowlogpost er centreret omkring femtupletten (src/dst-adresse, src/dst-port og protokol) samt bytes, packets, en ACCEPT/REJECT-handling og en log-status på OK, NODATA eller SKIPDATA. Destinationsporte afslører tjenester, byteantal kan pege på dataeksfiltrering, og brugerdefinerede formater tilføjer felter som instance-id og tcp-flags. Hvis du læser tupletten først, opbygger du hurtigt en intuitiv forståelse til undersøgelser.