Membaca Rekaman dan Bidang Flow Log

Sebuah catatan log aliran adalah satu baris yang menjelaskan lalu lintas untuk satu koneksi selama interval agregasi. Format bawaan menggunakan urutan tetap berupa kolom-kolom yang dipisahkan spasi. Kemampuan membaca baris ini dengan cepat merupakan keterampilan penting dalam setiap investigasi jaringan di AWS.

Inti sebuah catatan adalah five-tuple: alamat sumber, alamat tujuan, port sumber, port tujuan, dan nomor protokol. Kombinasi ini mengidentifikasi suatu percakapan secara unik. Protokol 6 adalah TCP dan 17 adalah UDP. Secara bersama-sama, kolom-kolom ini memberi tahu Anda endpoint mana yang berkomunikasi dan melalui layanan apa.

Kolom srcaddr dan dstaddr menampilkan alamat IP yang terlibat. Untuk lalu lintas yang keluar dari sebuah instans, srcaddr adalah instans tersebut; untuk lalu lintas masuk, srcaddr adalah rekan jarak jauhnya. Membaca arah dengan benar sangat penting: tertukarnya sumber dan tujuan dapat mengubah seluruh pemahaman Anda tentang suatu peristiwa.

dstport biasanya memberi tahu Anda layanannya: 443 adalah HTTPS, 22 adalah SSH, 3389 adalah RDP, dan 3306 adalah MySQL. Port tujuan yang tidak terduga, seperti 6667 keluar (IRC) yang sering digunakan botnet, merupakan tanda bahaya. srcport biasanya berupa port bernomor tinggi sementara yang dipilih oleh klien.

Kolom bytes dan packets menghitung data yang ditransfer selama interval tersebut. Permintaan kecil yang dibalas dengan jumlah byte keluar yang sangat besar dapat menunjukkan eksfiltrasi data. Melacak volume ini dari waktu ke waktu membantu membedakan komunikasi normal dari host yang tiba-tiba mengirimkan gigabita data ke alamat yang tidak dikenal.

Kolom action berisi ACCEPT atau REJECT. REJECT berarti grup keamanan atau NACL memblokir aliran tersebut. Banyak REJECT dari satu sumber menuju banyak port menunjukkan pemindaian. Yang penting, grup keamanan bersifat stateful, sehingga REJECT di sana biasanya mencerminkan aturan NACL dan membantu Anda menemukan kontrol yang bertindak.

Kolom terakhir, log-status, berisi OK, NODATA, atau SKIPDATA. NODATA berarti tidak ada lalu lintas selama interval tersebut, sedangkan SKIPDATA berarti beberapa catatan dilewati karena keterbatasan kapasitas. SKIPDATA memperingatkan bahwa visibilitas Anda memiliki celah, yang penting ketika investigasi bergantung pada kelengkapan data.

Setiap catatan memuat waktu start dan end dalam detik epoch Unix untuk jendela agregasi, bukan untuk setiap paket. Saat menghubungkan Flow Logs dengan CloudTrail atau log aplikasi, ingat bahwa waktu tersebut menandai batas interval, sehingga suatu peristiwa dapat terjadi kapan saja dalam jendela itu.

Format khusus dapat menambahkan kolom bernilai tinggi seperti instance-id, vpc-id, subnet-id, tcp-flags, dan flow-direction. Kolom pkt-srcaddr dan pkt-dstaddr mengungkap alamat asli di balik NAT, yang mungkin disamarkan oleh srcaddr/dstaddr dasar. Informasi tambahan ini mempercepat investigasi secara signifikan.

Untuk menafsirkan sebuah baris, identifikasi five-tuple terlebih dahulu, kemudian tindakan dan jumlah byte, lalu petakan port tujuan ke suatu layanan. Tanyakan apakah arah, volume, dan rekan komunikasinya masuk akal untuk peran instans tersebut. Pembacaan yang sistematis ini mengubah baris log yang sulit dipahami menjadi penjelasan yang jelas tentang apa yang terjadi.

Dengan latihan, Anda dapat langsung mengenali anomali: SSH dari IP internet yang tidak dikenal, transfer keluar berukuran besar ke wilayah baru, atau REJECT berulang saat memindai subnet. Kolom-kolomnya tidak pernah berubah, sehingga keterampilan ini bergantung pada pengenalan pola. Kelancaran ini tepat menjadi hal yang diuji dalam skenario visibilitas jaringan pada ujian.

Uji kemampuan Anda membaca catatan log aliran.

Sebuah catatan log aliran berpusat pada five-tuple (alamat sumber/tujuan, port sumber/tujuan, protokol), ditambah bytes, packets, tindakan ACCEPT/REJECT, dan log-status berupa OK, NODATA, atau SKIPDATA. Port tujuan mengungkap layanan, jumlah byte dapat mengisyaratkan eksfiltrasi, dan format khusus menambahkan kolom seperti instance-id dan tcp-flags. Membaca tuple terlebih dahulu membangun intuisi investigasi yang cepat.