Ce que capturent les journaux de flux VPC

Les journaux de flux VPC capturent les métadonnées du trafic IP circulant vers et depuis les interfaces réseau de votre Virtual Private Cloud (VPC). Ils enregistrent des informations sur les connexions, ce qui permet aux équipes de sécurité de savoir qui a communiqué avec qui, sur quels ports et si le trafic a été autorisé ou bloqué.

Un point essentiel : les journaux de flux enregistrent uniquement les métadonnées de connexion, jamais le contenu réel des paquets. Vous voyez les adresses IP source et de destination, les ports, le protocole, le nombre d’octets et de paquets ainsi que l’action effectuée. Vous ne voyez pas les données contenues dans les paquets. Pour inspecter le contenu, vous devez utiliser la mise en miroir du trafic VPC.

Les métadonnées réseau révèlent des schémas que les attaquants ne peuvent pas facilement dissimuler : un hôte qui analyse de nombreux ports, d’importants transferts sortants pouvant indiquer une exfiltration ou des connexions vers des adresses IP connues comme malveillantes. Les journaux de flux fournissent les preuves brutes nécessaires pour repérer ces comportements et reconstituer les communications d’une instance compromise pendant un incident.

Chaque enregistrement de journal de flux inclut une action ACCEPT ou REJECT, indiquant si les groupes de sécurité et les ACL réseau ont autorisé le trafic. La surveillance des REJECT révèle les tentatives de connexion bloquées, ce qui aide à repérer les sondages. L’examen des ACCEPT confirme ce qui est effectivement passé, un point particulièrement important pendant une enquête.

Les journaux de flux peuvent être transmis vers trois destinations : les journaux CloudWatch pour les alertes et les requêtes Insights, Amazon S3 pour l’archivage économique et l’analyse avec Athena, ou Amazon Kinesis Data Firehose pour la diffusion vers d’autres systèmes. La destination choisie dépend de votre besoin d’alertes en temps réel ou de requêtes à grande échelle.

L’activation des journaux de flux est passive : elle n’a aucun impact sur les performances ou le débit du réseau et ne change pas le fait que le trafic soit autorisé. Il s’agit uniquement d’observation. Vous pouvez donc les activer à grande échelle sans risque, et l’examen attend de vous que vous sachiez qu’il s’agit d’un outil de surveillance, et non d’un contrôle d’application des règles.

Certains trafics sont exclus par conception, notamment le trafic vers le DNS Amazon, l’activation des licences Windows, les métadonnées d’instance à l’adresse 169.254.169.254 et DHCP. Connaître ces lacunes évite de tirer de fausses conclusions pendant une enquête, car leur absence dans les journaux est attendue et non suspecte.

Vous pouvez choisir le format par défaut ou un format personnalisé qui ajoute des champs tels que l’ID VPC, l’ID de sous-réseau, l’ID d’instance, les indicateurs TCP et le chemin du trafic. Des champs plus riches rendent les requêtes beaucoup plus utiles, en vous permettant de remonter directement d’un flux jusqu’à l’instance et au sous-réseau concernés, sans recherches supplémentaires.

Les journaux de flux agrègent le trafic sur un intervalle d’agrégation de dix minutes ou d’une minute. Un intervalle plus court offre une visibilité plus rapide pour la détection, au prix d’un volume de journaux et d’un coût plus élevés. Pour la surveillance de sécurité, l’intervalle d’une minute vaut souvent ce coût, car il réduit le délai entre un événement et sa détection.

Les journaux de flux servent également de source de données en arrière-plan pour GuardDuty, qui les analyse à la recherche de menaces sans que vous ayez à gérer le pipeline. Vous pouvez tout de même activer vos propres journaux de flux pour disposer de preuves brutes et exécuter des requêtes personnalisées. Ensemble, ils fournissent à la fois une détection gérée et les données sous-jacentes nécessaires aux enquêtes approfondies.

Les journaux de flux répondent à la question « qui s’est connecté à quoi » dans votre VPC. Ils sont passifs, limités aux métadonnées et flexibles quant à leur destination. Associez-les aux groupes de sécurité et aux NACL pour l’application des règles, à GuardDuty pour la détection et à Athena pour l’analyse. Ils constituent un élément fondamental de la visibilité réseau dans l’arsenal de sécurité AWS.

Vérifiez votre compréhension de ce que capturent les journaux de flux.

Les journaux de flux VPC enregistrent les métadonnées des connexions (adresses IP, ports, protocole, octets et action ACCEPT/REJECT), mais jamais le contenu des paquets. Ils sont passifs, sans incidence sur les performances, et peuvent être envoyés vers CloudWatch Logs, S3 ou Kinesis Firehose. Les formats personnalisés ajoutent des champs utiles, l’intervalle d’agrégation peut être d’une minute, et les données alimentent également GuardDuty.