Lectura de registros y campos de flujo

Un registro de flujo es una sola línea que describe el tráfico de una conexión durante el intervalo de agregación. El formato predeterminado es una secuencia fija de campos separados por espacios. Aprender a leer rápidamente esta línea es una habilidad fundamental para cualquier investigación de red en AWS.

El elemento central de un registro es la quíntupla: dirección de origen, dirección de destino, puerto de origen, puerto de destino y número de protocolo. Esta combinación identifica de forma única una comunicación. El protocolo 6 es TCP y el 17 es UDP. En conjunto, estos campos indican exactamente qué extremos se comunicaban y mediante qué servicio.

Los campos srcaddr y dstaddr muestran las direcciones IP implicadas. En el tráfico que sale de una instancia, srcaddr es la instancia; en el tráfico entrante, es el equipo remoto. Leer correctamente la dirección del tráfico es esencial: confundir el origen y el destino puede cambiar por completo su interpretación del evento.

dstport suele indicar el servicio: 443 es HTTPS, 22 es SSH, 3389 es RDP y 3306 es MySQL. Los puertos de destino inesperados, como el 6667 saliente (IRC), utilizado a menudo por botnets, son señales de alerta. srcport suele ser un puerto efímero alto elegido por el cliente.

Los campos bytes y packets cuentan los datos transferidos durante el intervalo. Una solicitud pequeña seguida de un recuento enorme de bytes salientes puede indicar una exfiltración de datos. Hacer un seguimiento de estos volúmenes a lo largo del tiempo ayuda a distinguir la actividad normal de un host que de repente envía gigabytes a una dirección desconocida.

El campo action puede ser ACCEPT o REJECT. Un REJECT significa que un grupo de seguridad o una NACL bloqueó el flujo. Muchos REJECT desde un mismo origen hacia numerosos puertos sugieren un escaneo. Es importante tener en cuenta que los grupos de seguridad tienen estado, por lo que un REJECT atribuido a ellos normalmente refleja una regla de NACL, lo que ayuda a localizar qué control actuó.

El campo final, log-status, puede ser OK, NODATA o SKIPDATA. NODATA significa que no hubo tráfico durante el intervalo y SKIPDATA indica que se omitieron algunos registros por falta de capacidad. SKIPDATA advierte de una interrupción en su visibilidad, algo importante cuando necesita que una investigación sea completa.

Cada registro contiene una hora de start y otra de end, expresadas en segundos desde la época de Unix para la ventana de agregación, no para cada paquete. Al correlacionar Flow Logs con CloudTrail o con registros de aplicaciones, recuerde que estas horas marcan los límites del intervalo; por tanto, un evento pudo ocurrir en cualquier momento dentro de esa ventana.

Un formato personalizado puede añadir campos de gran valor, como instance-id, vpc-id, subnet-id, tcp-flags y flow-direction. Los campos pkt-srcaddr y pkt-dstaddr revelan las direcciones originales detrás de NAT, que los campos básicos srcaddr/dstaddr pueden ocultar. Estos datos adicionales aceleran considerablemente las investigaciones.

Para interpretar una línea, identifique primero la quíntupla, después la acción y los recuentos de bytes y, por último, relacione el puerto de destino con un servicio. Pregúntese si la dirección, el volumen y el equipo remoto son coherentes con la función de esa instancia. Esta lectura sistemática convierte una línea de registro críptica en una explicación clara de lo ocurrido.

Con la práctica podrá detectar anomalías al instante: SSH desde una IP de Internet desconocida, grandes transferencias salientes a una región nueva o REJECT repetidos que escanean una subred. Los campos nunca cambian, por lo que la habilidad consiste en reconocer patrones. Esta soltura es precisamente lo que evalúa el examen en los escenarios de visibilidad de red.

Compruebe su capacidad para leer registros de flujo.

Un registro de flujo gira en torno a la quíntupla (dirección de origen/destino, puerto de origen/destino y protocolo), además de bytes, packets, una acción ACCEPT/REJECT y un log-status con valor OK, NODATA o SKIPDATA. Los puertos de destino revelan los servicios, los recuentos de bytes pueden indicar una exfiltración y los formatos personalizados añaden campos como instance-id y tcp-flags. Leer primero la quíntupla desarrolla rápidamente la intuición necesaria para investigar.