Flow Logs pada Tingkat VPC, Subnet, dan ENI

Anda dapat mengaktifkan Flow Logs pada tiga tingkat: seluruh VPC, satu subnet, atau satu elastic network interface (ENI). Tingkat yang Anda pilih menentukan seberapa banyak lalu lintas yang dicatat dan ke mana visibilitas difokuskan. Memilih cakupan yang tepat menyeimbangkan jangkauan dengan volume dan biaya.

Log aliran pada tingkat VPC mencatat lalu lintas untuk setiap antarmuka jaringan di setiap subnet VPC tersebut, termasuk antarmuka yang dibuat kemudian. Ini memberikan cakupan terluas dan paling mudah dikelola, karena satu konfigurasi mencakup seluruh VPC. Pilihan ini biasanya digunakan untuk pemantauan keamanan yang menyeluruh.

Log aliran tingkat subnet mencatat semua antarmuka dalam satu subnet. Ini berguna ketika Anda memerlukan detail tambahan tentang tingkat yang sensitif, seperti subnet basis data, tanpa mencatat seluruh VPC. Cakupan ini mengurangi volume sekaligus mempertahankan visibilitas penuh terhadap segmen jaringan tersebut.

Log aliran tingkat ENI menargetkan satu antarmuka jaringan dan hanya mencatat lalu lintas untuk sumber daya tersebut. Ini adalah cakupan yang paling terfokus, ideal untuk pemantauan mendalam terhadap instans tertentu yang bernilai tinggi atau untuk investigasi yang perlu mengisolasi koneksi satu beban kerja.

Berbagai tingkat tidak saling menimpa; semuanya berjalan berdampingan. Antarmuka baru dalam log tingkat VPC otomatis disertakan saat muncul. Anda dapat menambahkan log subnet atau ENI yang lebih terperinci di atas log VPC jika menginginkan cakupan luas sekaligus format khusus yang terfokus pada satu area.

Untuk visibilitas keamanan yang lengkap, log tingkat VPC adalah pilihan bawaan yang paling aman karena tidak membiarkan antarmuka apa pun tanpa pemantauan, termasuk yang dibuat setelah penyiapan. Cakupan subnet dan ENI merupakan alat tambahan untuk fokus, bukan pengganti cakupan luas. Ujian cenderung memilih tingkat VPC ketika tujuannya adalah "memantau semua lalu lintas".

Volume Flow Logs memengaruhi biaya dan penyimpanan. Jika Anda hanya memerlukan visibilitas pada satu tingkat yang ramai atau sensitif, log subnet atau ENI menangkap jauh lebih sedikit data daripada pencatatan seluruh VPC. Jika anggaran atau volume log menjadi kendala, mempersempit cakupan adalah langkah yang tepat.

Setiap log aliran dapat memiliki tujuan dan format sendiri. Anda dapat mengirim log tingkat VPC dalam format bawaan ke S3 untuk pengarsipan, sementara log tingkat subnet pada tingkat basis data menggunakan format khusus yang kaya dan dialirkan ke CloudWatch untuk pemberitahuan waktu nyata. Menggabungkan berbagai cakupan memungkinkan Anda menyesuaikan visibilitas dengan tepat.

Dalam penyiapan dengan banyak akun, Anda tidak dapat mengaktifkan Flow Logs satu kali untuk seluruh organisasi, tetapi Anda dapat memberlakukannya dengan aturan AWS Config atau pagar pengaman Control Tower yang menandai VPC mana pun yang tidak memiliki Flow Logs. Dengan demikian, setiap akun memenuhi standar dasar visibilitas tanpa bergantung pada ingatan masing-masing tim.

Untuk menerbitkan data ke CloudWatch Logs, Flow Logs memerlukan peran IAM yang memberikan izin menulis ke grup log. Untuk menerbitkan data ke S3, kebijakan bucket harus mengizinkan layanan pengiriman Flow Logs untuk menulis. Menetapkan izin ini dengan benar sering menjadi jebakan dalam penyiapan, karena peran yang tidak ada dapat menghentikan pengiriman tanpa pesan yang jelas.

Pola yang kuat adalah menggunakan log tingkat VPC ke S3 untuk pengarsipan lengkap yang murah, ditambah log subnet atau ENI terarah ke CloudWatch untuk tingkat yang paling penting bagi Anda. Dengan demikian, Anda memperoleh catatan historis lengkap sekaligus pemberitahuan cepat di area yang penting, sambil mengendalikan biaya data dalam jumlah besar.

Flow Logs dapat dibatasi pada VPC, subnet, atau satu ENI, dan berbagai cakupan ini dapat berjalan berdampingan. Tingkat VPC memberikan cakupan lengkap, termasuk antarmuka yang dibuat kemudian, dan menjadi pilihan bawaan untuk visibilitas penuh; cakupan subnet dan ENI mengurangi volume serta memusatkan perhatian pada tingkat yang sensitif. Setiap log memiliki tujuan dan format sendiri, dan izin IAM/kebijakan bucket yang tepat diperlukan untuk pengiriman.