Flow Logs VPC-, aliverkko- ja ENI-tasoilla

Voitte ottaa Flow Logs -lokit käyttöön kolmella tasolla: koko VPC:ssä, yhdessä subnet-verkossa tai yhdessä elastic network interface (ENI) -liittymässä. Valittu taso määrittää, kuinka paljon liikennettä tallennetaan ja mihin näkyvyys kohdistuu. Oikea laajuus tasapainottaa kattavuuden, datamäärän ja kustannukset.

VPC-tason flow log tallentaa liikenteen VPC:n jokaisessa aliverkossa olevista verkkoliittymistä, myös myöhemmin luoduista liittymistä. Tämä tarjoaa laajimman kattavuuden ja on helpoin hallita, koska yksi määritys kattaa koko VPC:n. Se on tavallisin valinta kattavaan tietoturvavalvontaan.

Subnet-tason flow log tallentaa yhden aliverkon kaikkien liittymien liikenteen. Tämä on hyödyllistä, kun haluatte tarkkailla erityisen yksityiskohtaisesti arkaluonteista kerrosta, kuten tietokanta-aliverkkoa, ilman koko VPC:n lokitusta. Datamäärä pienenee, mutta näkyvyys kyseiseen verkon osaan säilyy täydellisenä.

ENI-tason flow log kohdistuu yhteen verkkoliittymään ja tallentaa vain kyseisen resurssin liikenteen. Tämä on tarkin laajuus, joka sopii tietyn tärkeän instanssin perusteelliseen valvontaan tai tutkintaan, jossa haluatte eristää yhden työkuorman yhteydet.

Tasot eivät korvaa toisiaan, vaan ne toimivat rinnakkain. VPC-tason lokiin lisätään automaattisesti uudet liittymät niiden ilmestyessä. Voitte kerrostaa VPC-lokin päälle yksityiskohtaisemman subnet- tai ENI-lokin, jos haluatte sekä laajan kattavuuden että kohdennetun mukautetun muodon yhdelle alueelle.

Täydellisen tietoturvanäkyvyyden saavuttamiseksi VPC-tason loki on turvallisin oletusvalinta, koska yksikään liittymä ei jää valvomatta, eivät myöskään määrityksen jälkeen luodut liittymät. Subnet- ja ENI-laajuudet ovat lisävälineitä tarkempaan kohdentamiseen, eivät laajan kattavuuden korvikkeita. Kokeessa VPC-taso on oikea valinta, kun tavoitteena on "monitor all traffic".

Flow Log -lokien määrä vaikuttaa kustannuksiin ja tallennustilaan. Jos tarvitsette näkyvyyttä vain yhteen paljon liikennettä tuottavaan tai arkaluonteiseen kerrokseen, subnet- tai ENI-loki tallentaa huomattavasti vähemmän dataa kuin koko VPC:n lokitus. Kun budjetti tai lokimäärä rajoittaa toimintaa, laajuuden pienentäminen on tärkein säätökeino.

Jokaisella flow logilla voi olla oma kohteensa ja muotonsa. Voitte esimerkiksi lähettää VPC-tason lokin oletusmuodossa S3:een arkistointia varten, kun taas tietokantakerroksen subnet-tason loki käyttää rikasta mukautettua muotoa ja suoratoistetaan CloudWatchiin reaaliaikaista hälytystä varten. Laajuuksien yhdistäminen mahdollistaa näkyvyyden tarkan mukauttamisen.

Monen tilin ympäristössä Flow Logs -lokeja ei voi ottaa käyttöön kerralla koko organisaatiolle, mutta niiden käyttöä voi valvoa AWS Config rules- tai Control Tower guardrails -määrityksillä, jotka ilmoittavat Flow Logs -lokit puuttuvista VPC:istä. Näin jokainen tili täyttää näkyvyyden vähimmäisvaatimukset sen sijaan, että vastuu muistamisesta jäisi kullekin tiimille.

CloudWatch Logsiin julkaisemista varten Flow Logs tarvitsee IAM role -roolin, joka antaa oikeuden kirjoittaa lokiryhmään. S3:een julkaisemista varten bucket-käytännön on sallittava Flow Logs -toimituspalvelun kirjoittaa. Näiden käyttöoikeuksien määrittäminen oikein on yleinen kompastuskivi, sillä puuttuva rooli katkaisee toimituksen usein huomaamatta.

Toimiva malli on VPC-tason loki S3:een edullista ja täydellistä arkistointia varten sekä kohdennetut subnet- tai ENI-lokit tärkeimmille kerroksille CloudWatchiin. Näin käytettävissä on sekä täydellinen historiatieto että nopea hälytys siellä, missä sillä on eniten merkitystä, samalla kun suurimman datamäärän kustannukset pysyvät hallinnassa.

Flow Logs -lokit voidaan kohdistaa VPC:hen, subnet-verkkoon tai yhteen ENI:hin, ja nämä laajuudet toimivat rinnakkain. VPC-taso tarjoaa täydellisen kattavuuden, mukaan lukien myöhemmin luodut liittymät, ja on täyden näkyvyyden oletusvalinta; subnet- ja ENI-laajuudet vähentävät datamäärää ja kohdistuvat arkaluonteisiin kerroksiin. Jokaisella lokilla on oma kohteensa ja muotonsa, ja toimitus edellyttää asianmukaisia IAM-/bucket-käyttöoikeuksia.