Lire les enregistrements et champs des journaux de flux

Un enregistrement de journal de flux est une ligne unique qui décrit le trafic d’une connexion pendant l’intervalle d’agrégation. Le format par défaut est une séquence fixe de champs séparés par des espaces. Savoir lire rapidement cette ligne est une compétence essentielle pour toute investigation réseau sur AWS.

Le cœur d’un enregistrement est le quintuplet : adresse source, adresse de destination, port source, port de destination et numéro de protocole. Il identifie une conversation de manière unique. Le protocole 6 correspond à TCP et le 17 à UDP. Ensemble, ces champs indiquent précisément quels points d’extrémité communiquaient et par quel service.

Les champs srcaddr et dstaddr indiquent les adresses IP concernées. Pour le trafic sortant d’une instance, srcaddr est l’instance ; pour le trafic entrant, il s’agit du pair distant. Il est essentiel de lire correctement le sens du trafic : confondre la source et la destination peut fausser complètement votre compréhension d’un événement.

Le champ dstport indique généralement le service : 443 correspond à HTTPS, 22 à SSH, 3389 à RDP et 3306 à MySQL. Des ports de destination inattendus, comme le port sortant 6667 (IRC), souvent utilisé par des réseaux de zombies, sont des signaux d’alerte. Le srcport est généralement un port éphémère élevé choisi par le client.

Les champs bytes et packets comptent les données transférées pendant l’intervalle. Une petite requête suivie d’un volume sortant d’octets très élevé peut indiquer une exfiltration de données. Suivre ces volumes au fil du temps aide à distinguer les échanges normaux d’un hôte qui envoie soudainement plusieurs gigaoctets vers une adresse inconnue.

Le champ action vaut ACCEPT ou REJECT. Un REJECT signifie qu’un groupe de sécurité ou une NACL a bloqué le flux. De nombreux REJECT provenant d’une même source vers plusieurs ports peuvent indiquer une analyse des ports. Point essentiel : les groupes de sécurité sont à état, donc un REJECT à ce niveau reflète généralement une règle de NACL, ce qui vous aide à déterminer quel contrôle est intervenu.

Le dernier champ, log-status, vaut OK, NODATA ou SKIPDATA. NODATA signifie qu’aucun trafic n’a été observé pendant l’intervalle, et SKIPDATA que certains enregistrements ont été ignorés en raison de la capacité disponible. SKIPDATA indique que votre visibilité comporte une lacune, ce qui est important lorsque votre investigation repose sur l’exhaustivité des données.

Chaque enregistrement contient une heure de début et de fin, exprimée en secondes depuis l’époque Unix, pour la fenêtre d’agrégation, et non pour chaque paquet. Lorsque vous mettez en correspondance les journaux de flux avec CloudTrail ou les journaux d’application, n’oubliez pas que ces heures délimitent l’intervalle : un événement peut donc s’être produit n’importe quand pendant cette fenêtre.

Un format personnalisé peut ajouter des champs très utiles tels que instance-id, vpc-id, subnet-id, tcp-flags et flow-direction. Les champs pkt-srcaddr et pkt-dstaddr révèlent les adresses d’origine derrière la traduction d’adresses réseau, que les champs srcaddr/dstaddr de base peuvent masquer. Ces informations supplémentaires accélèrent considérablement les investigations.

Pour interpréter une ligne, identifiez d’abord le quintuplet, puis l’action et les volumes d’octets, et associez ensuite le port de destination à un service. Demandez-vous si le sens du trafic, le volume et le pair sont cohérents avec le rôle de cette instance. Cette lecture méthodique transforme une ligne de journal obscure en une description claire de ce qui s’est passé.

Avec l’entraînement, vous repérez immédiatement les anomalies : une connexion SSH depuis une adresse IP Internet inconnue, d’importants transferts sortants vers une nouvelle région ou des REJECT répétés lors de l’analyse d’un sous-réseau. Les champs ne changent jamais ; la compétence repose donc sur la reconnaissance de schémas. Cette aisance est précisément ce que l’examen évalue dans les scénarios de visibilité réseau.

Vérifiez votre capacité à lire des enregistrements de journaux de flux.

Un enregistrement de journal de flux s’articule autour du quintuplet (adresses source et de destination, ports source et de destination, protocole), auquel s’ajoutent les octets, les paquets, une action ACCEPT/REJECT et un log-status égal à OK, NODATA ou SKIPDATA. Les ports de destination révèlent les services, les volumes d’octets peuvent signaler une exfiltration et les formats personnalisés ajoutent des champs comme instance-id et tcp-flags. Lire d’abord le quintuplet permet de développer rapidement son intuition d’investigation.