Hal yang Direkam VPC Flow Logs

VPC Flow Logs menangkap metadata tentang lalu lintas IP yang mengalir menuju dan dari antarmuka jaringan di Virtual Private Cloud (VPC) Anda. Log ini mencatat informasi tentang koneksi, sehingga tim keamanan dapat mengetahui siapa berkomunikasi dengan siapa, melalui port mana, dan apakah lalu lintas tersebut diizinkan atau diblokir.

Poin penting: Flow Logs hanya mencatat metadata koneksi, tidak pernah isi paket yang sebenarnya. Anda dapat melihat IP sumber dan tujuan, port, protokol, jumlah bita dan paket, serta tindakan yang diambil. Anda tidak dapat melihat data di dalam paket. Untuk memeriksa muatan data, Anda memerlukan VPC Traffic Mirroring.

Metadata jaringan mengungkap pola yang sulit disembunyikan penyerang: host yang memindai banyak port, transfer keluar dalam jumlah besar yang mengindikasikan eksfiltrasi, atau koneksi ke IP yang diketahui berbahaya. Flow Logs menyediakan bukti mentah untuk menemukan pola tersebut dan merekonstruksi komunikasi instans yang disusupi selama insiden.

Setiap catatan flow log menyertakan tindakan ACCEPT atau REJECT, yang menunjukkan apakah grup keamanan dan ACL jaringan mengizinkan lalu lintas tersebut. Memantau REJECT akan mengungkap upaya koneksi yang diblokir, sehingga berguna untuk menemukan aktivitas penyelidikan. Meninjau ACCEPT memastikan apa yang benar-benar berhasil melewati sistem, yang sangat penting selama investigasi.

Flow Logs dapat dikirim ke tiga tujuan: CloudWatch Logs untuk peringatan dan kueri Insights, Amazon S3 untuk pengarsipan murah dan analisis Athena, atau Amazon Kinesis Data Firehose untuk mengalirkannya ke sistem lain. Tujuan yang dipilih bergantung pada apakah Anda memerlukan peringatan waktu nyata atau kueri berskala besar.

Mengaktifkan Flow Logs bersifat pasif: fitur ini tidak berdampak pada performa atau throughput jaringan dan tidak mengubah apakah lalu lintas diizinkan. Fitur ini murni untuk observasi. Karena itu, Flow Logs aman untuk diaktifkan secara luas, dan ujian mengharapkan Anda mengetahui bahwa fitur ini merupakan alat pemantauan, bukan kontrol penegakan.

Beberapa lalu lintas dikecualikan berdasarkan rancangan, seperti lalu lintas ke DNS Amazon, aktivasi lisensi Windows, metadata instans di 169.254.169.254, dan DHCP. Mengetahui celah ini mencegah kesimpulan yang keliru selama investigasi, karena ketiadaan lalu lintas tersebut dalam log memang diharapkan dan bukan sesuatu yang mencurigakan.

Anda dapat memilih format bawaan atau format khusus yang menambahkan kolom seperti ID VPC, ID subnet, ID instans, bendera TCP, dan jalur lalu lintas. Kolom yang lebih lengkap membuat kueri jauh lebih berguna, sehingga Anda dapat langsung berpindah dari suatu aliran ke instans dan subnet yang tepat tanpa pencarian tambahan.

Flow Logs mengagregasikan lalu lintas selama interval agregasi, yaitu sepuluh menit atau satu menit. Interval yang lebih singkat memberikan visibilitas deteksi yang lebih cepat, dengan volume dan biaya log yang lebih tinggi. Untuk pemantauan keamanan, interval satu menit sering kali sepadan karena memperkecil jeda antara terjadinya peristiwa dan saat peristiwa itu terlihat.

Flow Logs juga menjadi sumber data di balik layar untuk GuardDuty, yang menganalisisnya untuk menemukan ancaman tanpa Anda harus mengelola alur datanya. Anda tetap dapat mengaktifkan Flow Logs sendiri untuk memperoleh bukti mentah dan menjalankan kueri khusus. Keduanya menyediakan deteksi terkelola sekaligus data dasar untuk investigasi mendalam.

Flow Logs menjawab pertanyaan "apa terhubung ke apa" di seluruh VPC Anda. Fitur ini bersifat pasif, hanya berisi metadata, dan fleksibel dalam pilihan tujuan. Padukan dengan grup keamanan dan NACL untuk penegakan, GuardDuty untuk deteksi, serta Athena untuk analisis. Flow Logs merupakan landasan visibilitas jaringan dalam perangkat keamanan AWS.

VPC Flow Logs mencatat metadata koneksi (IP, port, protokol, jumlah byte, dan tindakan ACCEPT/REJECT), tetapi tidak pernah mencatat muatan paket. Fitur ini bersifat pasif sehingga tidak berdampak pada kinerja, dan datanya dapat dikirim ke CloudWatch Logs, S3, atau Kinesis Firehose. Format khusus dapat menambahkan kolom yang berguna, interval agregasi dapat diatur menjadi satu menit, dan datanya juga digunakan oleh GuardDuty.