Flow Logs auf VPC-, Subnetz- und ENI-Ebene

Sie können Flow Logs auf drei Ebenen aktivieren: für die gesamte VPC, für ein einzelnes Subnetz oder für eine einzelne Elastic Network Interface (ENI). Die gewählte Ebene bestimmt, wie viel Datenverkehr erfasst wird und worauf sich die Sichtbarkeit konzentriert. Mit der passenden Ebene bringen Sie Abdeckung, Datenvolumen und Kosten ins Gleichgewicht.

Ein Flow Log auf VPC-Ebene erfasst den Datenverkehr für jede Netzwerkschnittstelle in jedem Subnetz dieser VPC, einschließlich später erstellter Schnittstellen. Dies bietet die umfassendste Abdeckung und ist einfach zu verwalten, da eine einzige Konfiguration die gesamte VPC abdeckt. Für eine umfassende Sicherheitsüberwachung ist dies normalerweise die bevorzugte Wahl.

Ein Flow Log auf Subnetzebene erfasst alle Schnittstellen innerhalb eines Subnetzes. Das ist nützlich, wenn Sie einen sensiblen Bereich, etwa ein Datenbank-Subnetz, detaillierter überwachen möchten, ohne die gesamte VPC zu protokollieren. So reduzieren Sie das Datenvolumen und behalten dennoch die vollständige Sichtbarkeit für diesen Netzwerkabschnitt.

Ein Flow Log auf ENI-Ebene richtet sich an eine einzelne Netzwerkschnittstelle und erfasst nur den Datenverkehr dieser Ressource. Dies ist der fokussierteste Geltungsbereich und eignet sich ideal für die detaillierte Überwachung einer bestimmten, besonders wichtigen Instance oder für eine Untersuchung, bei der Sie die Verbindungen eines einzelnen Workloads isolieren möchten.

Die Ebenen überschreiben einander nicht, sondern bestehen nebeneinander. Neue Schnittstellen in einem Flow Log auf VPC-Ebene werden automatisch erfasst, sobald sie hinzukommen. Sie können zusätzlich zu einem VPC-Log ein detaillierteres Subnetz- oder ENI-Log einrichten, wenn Sie sowohl eine breite Abdeckung als auch ein fokussiertes benutzerdefiniertes Format für einen bestimmten Bereich benötigen.

Für vollständige Sicherheitstransparenz ist ein Flow Log auf VPC-Ebene die sicherste Standardeinstellung, da keine Schnittstelle unbeobachtet bleibt, auch keine nach der Einrichtung erstellte. Subnetz- und ENI-Geltungsbereiche sind ergänzende Werkzeuge für einen stärkeren Fokus und kein Ersatz für eine breite Abdeckung. In der Prüfung ist bei dem Ziel, "den gesamten Datenverkehr zu überwachen", die VPC-Ebene die bevorzugte Antwort.

Das Volumen der Flow Logs bestimmt Kosten und Speicherbedarf. Wenn Sie nur Einblick in einen besonders datenintensiven oder sensiblen Bereich benötigen, erfasst ein Subnetz- oder ENI-Log deutlich weniger Daten als die Protokollierung der gesamten VPC. Wenn Budget oder Logvolumen die Einschränkung darstellen, können Sie den Geltungsbereich entsprechend verkleinern.

Jedes Flow Log kann ein eigenes Ziel und Format haben. Sie könnten ein VPC-Log im Standardformat zur Archivierung an S3 senden, während ein Subnetz-Log für Ihre Datenbankebene ein umfangreiches benutzerdefiniertes Format verwendet und für Echtzeitwarnungen an CloudWatch gestreamt wird. Durch die Kombination verschiedener Geltungsbereiche können Sie die Sichtbarkeit genau anpassen.

In einer Umgebung mit mehreren Konten können Sie Flow Logs nicht einmalig für die gesamte Organisation aktivieren. Sie können ihre Aktivierung jedoch mit AWS Config-Regeln oder Control-Tower-Leitplanken erzwingen, die jede VPC ohne Flow Logs melden. So erfüllt jedes Konto die grundlegenden Anforderungen an die Sichtbarkeit, anstatt sich darauf zu verlassen, dass jedes Team daran denkt.

Für die Veröffentlichung in CloudWatch Logs benötigen Flow Logs eine IAM-Rolle, die das Schreiben in die Loggruppe erlaubt. Für die Veröffentlichung in S3 muss die Bucket-Richtlinie dem Übermittlungsdienst von Flow Logs das Schreiben erlauben. Die korrekte Einrichtung dieser Berechtigungen ist eine häufige Fehlerquelle, da eine fehlende Rolle die Übermittlung unbemerkt unterbricht.

Ein bewährtes Muster ist ein VPC-Log an S3 für eine kostengünstige, vollständige Archivierung sowie gezielte Subnetz- oder ENI-Logs an CloudWatch für die besonders wichtigen Ebenen. So erhalten Sie sowohl einen vollständigen historischen Datensatz als auch schnelle Warnungen an den entscheidenden Stellen und behalten gleichzeitig die Kosten für die große Datenmenge unter Kontrolle.

Testen Sie Ihr Verständnis des Geltungsbereichs von Flow Logs.

Der Geltungsbereich von Flow Logs kann eine VPC, ein Subnetz oder eine einzelne ENI sein, wobei diese Geltungsbereiche nebeneinander bestehen. Die VPC-Ebene bietet eine vollständige Abdeckung einschließlich zukünftiger Schnittstellen und ist die Standardeinstellung für umfassende Sichtbarkeit. Subnetz- und ENI-Geltungsbereiche reduzieren das Volumen und konzentrieren sich auf sensible Bereiche. Jedes Log hat ein eigenes Ziel und Format, und für die Übermittlung sind korrekte IAM-/Bucket-Berechtigungen erforderlich.