Was VPC Flow Logs erfassen

VPC Flow Logs erfassen Metadaten über den IP-Datenverkehr, der zu und von Netzwerkschnittstellen in Ihrer Virtual Private Cloud (VPC) fließt. Sie zeichnen Informationen über Verbindungen auf und geben Sicherheitsteams Einblick darin, wer mit wem über welche Ports kommuniziert hat und ob der Datenverkehr zugelassen oder blockiert wurde.

Ein entscheidender Punkt: Flow Logs zeichnen ausschließlich Verbindungsmetadaten auf, niemals den tatsächlichen Paketinhalt. Sie sehen Quell- und Ziel-IP-Adressen, Ports, das Protokoll sowie die Anzahl der Bytes und Pakete und die ausgeführte Aktion. Die Daten innerhalb der Pakete sehen Sie nicht. Für die Untersuchung von Nutzdaten benötigen Sie stattdessen VPC Traffic Mirroring.

Netzwerkmetadaten machen Muster sichtbar, die Angreifer nur schwer verbergen können: einen Host, der viele Ports scannt, große ausgehende Datenübertragungen als möglichen Hinweis auf Datenexfiltration oder Verbindungen zu bekannten schädlichen IP-Adressen. Flow Logs liefern die Rohdaten, um solche Muster zu erkennen und während eines Sicherheitsvorfalls zu rekonstruieren, mit wem eine kompromittierte Instance kommuniziert hat.

Jeder Flow-Log-Datensatz enthält eine action mit dem Wert ACCEPT oder REJECT. Diese gibt an, ob Sicherheitsgruppen und Netzwerk-ACLs den Datenverkehr zugelassen haben. Die Überwachung von REJECTs zeigt blockierte Verbindungsversuche und hilft dabei, Aufklärungsaktivitäten zu erkennen. Die Überprüfung von ACCEPTs bestätigt, was tatsächlich durchgelassen wurde – besonders während einer Untersuchung wichtig.

Flow Logs können an drei Ziele übermittelt werden: an CloudWatch Logs für Alarmierung und Insights-Abfragen, an Amazon S3 für kostengünstige Archivierung und Athena-Analysen oder an Amazon Kinesis Data Firehose für die Weiterleitung an andere Systeme. Das gewählte Ziel hängt davon ab, ob Sie Echtzeitwarnungen oder Abfragen großer Datenmengen benötigen.

Das Aktivieren von Flow Logs ist passiv: Es hat keine Auswirkungen auf Netzwerkleistung oder Durchsatz und ändert nicht, ob Datenverkehr zugelassen wird. Es handelt sich um reine Beobachtung. Dadurch können Flow Logs bedenkenlos umfassend aktiviert werden. Für die Prüfung sollten Sie wissen, dass sie ein Überwachungsinstrument und keine Durchsetzungskontrolle sind.

Bestimmter Datenverkehr ist konstruktionsbedingt ausgeschlossen, etwa Datenverkehr zu Amazon DNS, zur Windows-Lizenzaktivierung, zu den Instance-Metadaten unter 169.254.169.254 und zu DHCP. Wenn Sie diese Lücken kennen, vermeiden Sie bei einer Untersuchung falsche Schlussfolgerungen, da das Fehlen dieser Einträge erwartbar und nicht verdächtig ist.

Sie können das Standardformat oder ein benutzerdefiniertes Format auswählen, das Felder wie die VPC-ID, Subnetz-ID, Instance-ID, TCP-Flags und den Datenverkehrspfad ergänzt. Umfangreichere Felder machen Abfragen wesentlich nützlicher. Sie können dadurch direkt von einem Flow zur genau betroffenen Instance und zum entsprechenden Subnetz wechseln, ohne zusätzliche Abfragen zu benötigen.

Flow Logs aggregieren den Datenverkehr über ein Aggregationsintervall von entweder zehn oder einer Minute. Ein kürzeres Intervall ermöglicht bei höherem Logvolumen und höheren Kosten eine schnellere Erkennung. Für die Sicherheitsüberwachung ist das Ein-Minuten-Intervall häufig sinnvoll, weil es die Zeit zwischen einem Ereignis und seiner Sichtbarkeit verkürzt.

Flow Logs dienen außerdem als Datenquelle im Hintergrund für GuardDuty, das sie ohne von Ihnen verwaltete Datenpipeline auf Bedrohungen analysiert. Sie können eigene Flow Logs weiterhin für Rohdaten und benutzerdefinierte Abfragen aktivieren. Zusammen bieten sie sowohl verwaltete Erkennung als auch die zugrunde liegenden Daten für eingehende Untersuchungen.

Flow Logs beantworten die Frage „Wer hat sich womit verbunden?“ in Ihrer VPC. Sie sind passiv, enthalten nur Metadaten und können flexibel an verschiedene Ziele übermittelt werden. Kombinieren Sie sie mit Sicherheitsgruppen und NACLs zur Durchsetzung, GuardDuty zur Erkennung und Athena zur Analyse. Sie sind ein zentraler Bestandteil der Netzwerktransparenz im AWS-Sicherheitsportfolio.

Testen Sie Ihr Verständnis dafür, welche Informationen Flow Logs erfassen.

VPC Flow Logs erfassen Verbindungs-Metadaten (IP-Adressen, Ports, Protokoll, Byte-Anzahl und eine ACCEPT/REJECT-Aktion), jedoch niemals Paketinhalte. Sie arbeiten passiv und beeinträchtigen die Leistung nicht. Die Daten können an CloudWatch Logs, S3 oder Kinesis Firehose übermittelt werden. Benutzerdefinierte Formate fügen nützliche Felder hinzu, das Aggregationsintervall kann eine Minute betragen, und die Daten werden auch von GuardDuty verwendet.