Registros de flujo en niveles de VPC, subred y ENI

Puede habilitar Flow Logs en tres niveles: toda la VPC, una única subred o una interfaz de red elástica (ENI). El nivel que elija determina cuánto tráfico se captura y dónde se centra la visibilidad. Elegir el alcance adecuado permite equilibrar cobertura, volumen y coste.

Un registro de flujo a nivel de VPC captura el tráfico de todas las interfaces de red de todas las subredes de esa VPC, incluidas las interfaces que se creen posteriormente. Es la cobertura más amplia y la opción más sencilla de administrar, ya que una sola configuración cubre toda la VPC. Suele ser la opción habitual para una supervisión de seguridad completa.

Un registro de flujo a nivel de subred captura todas las interfaces de una subred. Resulta útil cuando necesita más detalle sobre un nivel sensible, como una subred de bases de datos, sin registrar toda la VPC. Reduce el volumen y mantiene una visibilidad completa de ese segmento de la red.

Un registro de flujo a nivel de ENI se dirige a una única interfaz de red y captura solo el tráfico de ese recurso. Es el alcance más específico, ideal para supervisar en profundidad una instancia concreta de alto valor o para una investigación en la que desee aislar las conexiones de una carga de trabajo.

Los niveles no se sustituyen entre sí, sino que coexisten. Las interfaces nuevas de una VPC incluida en un registro a nivel de VPC se incorporan automáticamente cuando aparecen. Puede añadir un registro más detallado a nivel de subred o de ENI sobre un registro de VPC si desea combinar una cobertura amplia con un formato personalizado centrado en un área concreta.

Para obtener una visibilidad de seguridad completa, un registro a nivel de VPC es la opción predeterminada más segura, ya que no deja ninguna interfaz sin supervisar, ni siquiera las creadas después de la configuración. Los alcances de subred y ENI son herramientas adicionales para centrarse en áreas concretas, no sustitutos de una cobertura amplia. En el examen se prefiere el nivel de VPC cuando el objetivo es «supervisar todo el tráfico».

El volumen de Flow Logs determina el coste y el almacenamiento. Si solo necesita visibilidad sobre un nivel ruidoso o sensible, un registro de subred o de ENI captura muchos menos datos que registrar toda la VPC. Cuando el presupuesto o el volumen de registros son la limitación, reducir el alcance es la medida adecuada.

Cada registro de flujo puede tener su propio destino y formato. Por ejemplo, puede enviar un registro a nivel de VPC en formato predeterminado a S3 para archivarlo, mientras que un registro a nivel de subred de la capa de bases de datos utiliza un formato personalizado enriquecido y se transmite a CloudWatch para generar alertas en tiempo real. Combinar distintos alcances permite adaptar la visibilidad con precisión.

En una configuración con varias cuentas, no puede habilitar Flow Logs una sola vez para toda la organización, pero sí puede exigirlos mediante reglas de AWS Config o guardrails de Control Tower que marquen cualquier VPC que carezca de Flow Logs. Así se asegura de que todas las cuentas cumplan el nivel básico de visibilidad, sin depender de que cada equipo lo recuerde.

Para publicar en CloudWatch Logs, Flow Logs necesita un rol de IAM que le conceda permiso para escribir en el grupo de registros. Para publicar en S3, la política del bucket debe permitir que el servicio de entrega de Flow Logs escriba en él. Configurar correctamente estos permisos es un problema habitual, ya que la ausencia del rol interrumpe la entrega sin mostrarlo claramente.

Un patrón sólido consiste en usar un registro a nivel de VPC enviado a S3 para disponer de un archivado completo y económico, junto con registros específicos de subred o ENI enviados a CloudWatch para las capas que más le interesen. Así obtiene tanto un historial completo como alertas rápidas donde más importan, mientras controla el coste del volumen principal de datos.

Flow Logs puede limitarse a una VPC, una subred o una única ENI, y estos alcances coexisten. El nivel de VPC ofrece una cobertura completa, incluidas las interfaces futuras, y es la opción predeterminada para obtener una visibilidad total; los alcances de subred y ENI reducen el volumen y se centran en niveles sensibles. Cada registro tiene su propio destino y formato, y se necesitan los permisos adecuados de IAM y del bucket para realizar la entrega.