Journaux de flux aux niveaux VPC, sous-réseau et ENI

Vous pouvez activer les journaux de flux à trois niveaux : l’ensemble du VPC, un seul sous-réseau ou une seule interface réseau élastique (ENI). Le niveau choisi détermine la quantité de trafic capturée et le point de concentration de la visibilité. Choisir la bonne portée permet d’équilibrer couverture, volume et coût.

Un journal de flux au niveau du VPC capture le trafic de chaque interface réseau de chaque sous-réseau de ce VPC, y compris les interfaces créées ultérieurement. Il offre la couverture la plus large et est le plus simple à gérer, puisqu’une seule configuration couvre tout le VPC. C’est généralement le choix retenu pour une surveillance de sécurité complète.

Un journal de flux au niveau du sous-réseau capture toutes les interfaces d’un sous-réseau donné. Cette solution est utile lorsque vous souhaitez obtenir davantage de détails sur une zone sensible, comme un sous-réseau de bases de données, sans journaliser l’ensemble du VPC. Elle réduit le volume tout en conservant une visibilité complète sur ce segment du réseau.

Un journal de flux au niveau de l’ENI cible une seule interface réseau et ne capture que le trafic de cette ressource. Il s’agit de la portée la plus ciblée, idéale pour surveiller en profondeur une instance particulièrement importante ou pour une investigation visant à isoler les connexions d’une seule charge de travail.

Les niveaux ne s’excluent pas mutuellement ; ils coexistent. Les nouvelles interfaces d’un journal au niveau du VPC sont automatiquement incluses dès leur apparition. Vous pouvez superposer un journal plus détaillé au niveau d’un sous-réseau ou d’une ENI à un journal VPC afin de bénéficier à la fois d’une couverture étendue et d’un format personnalisé ciblé sur une zone.

Pour une visibilité complète de la sécurité, un journal au niveau du VPC constitue le choix par défaut le plus sûr, car aucune interface ne reste sans surveillance, même celles créées après la configuration. Les portées au niveau du sous-réseau et de l’ENI sont des outils complémentaires pour mieux cibler la surveillance, et non des remplacements d’une couverture étendue. L’examen privilégie le niveau du VPC lorsque l’objectif est de « surveiller tout le trafic ».

Le volume des journaux de flux détermine les coûts et le stockage nécessaires. Si vous n’avez besoin de visibilité que sur une zone très active ou sensible, un journal au niveau d’un sous-réseau ou d’une ENI capture bien moins de données que la journalisation de tout le VPC. Lorsque le budget ou le volume des journaux constitue la contrainte, réduire la portée est le levier à utiliser.

Chaque journal de flux peut avoir sa propre destination et son propre format. Vous pouvez envoyer un journal au niveau du VPC, au format par défaut, vers S3 pour l’archivage, tandis qu’un journal au niveau du sous-réseau de bases de données utilise un format personnalisé riche transmis à CloudWatch pour générer des alertes en temps réel. Mélanger les portées vous permet d’adapter précisément la visibilité.

Dans une configuration comportant plusieurs comptes, vous ne pouvez pas activer les journaux de flux une seule fois pour toute l’organisation, mais vous pouvez imposer leur activation au moyen de règles AWS Config ou de garde-fous Control Tower qui signalent tout VPC dépourvu de journaux de flux. Vous vous assurez ainsi que chaque compte respecte le niveau minimal de visibilité, sans dépendre de la mémoire de chaque équipe.

Pour publier des données dans CloudWatch Logs, les journaux de flux ont besoin d’un rôle IAM autorisant l’écriture dans le groupe de journaux. Pour publier dans S3, la politique du compartiment doit autoriser le service de diffusion des journaux de flux à écrire. Une configuration incorrecte de ces autorisations est un piège courant, car l’absence d’un rôle interrompt silencieusement la diffusion.

Une stratégie efficace consiste à utiliser un journal au niveau du VPC vers S3 pour un archivage complet et peu coûteux, complété par des journaux ciblés au niveau de sous-réseaux ou d’ENI vers CloudWatch pour les zones qui vous importent le plus. Vous disposez ainsi d’un historique complet et d’alertes rapides là où elles sont nécessaires, tout en maîtrisant le coût des données volumineuses.

Vérifiez votre compréhension de la portée des journaux de flux.

Les journaux de flux peuvent être définis au niveau d’un VPC, d’un sous-réseau ou d’une seule ENI, et ces portées coexistent. Le niveau VPC offre une couverture complète, y compris pour les interfaces futures, et constitue le choix par défaut pour une visibilité totale ; les portées sous-réseau et ENI réduisent le volume et ciblent les zones sensibles. Chaque journal possède sa propre destination et son propre format, et des autorisations IAM/de compartiment correctes sont nécessaires pour la diffusion.