Cosa acquisiscono i VPC Flow Logs

VPC Flow Logs acquisiscono i metadati relativi al traffico IP che fluisce da e verso le interfacce di rete nella vostra Virtual Private Cloud (VPC). Registrano informazioni sulle connessioni, offrendo ai team di sicurezza visibilità su chi ha comunicato con chi, su quali porte e se il traffico è stato consentito o bloccato.

Un punto fondamentale: i Flow Logs registrano solo i metadati delle connessioni, mai il contenuto effettivo dei pacchetti. Sono visibili gli IP di origine e destinazione, le porte, il protocollo, il numero di byte e pacchetti e l'azione eseguita. Non sono visibili i dati contenuti nei pacchetti. Per analizzare il payload è invece necessario usare VPC Traffic Mirroring.

I metadati di rete rivelano pattern che gli attaccanti non possono nascondere facilmente: un host che esegue la scansione di molte porte, grandi trasferimenti in uscita che suggeriscono un'esfiltrazione o connessioni verso IP noti come dannosi. I Flow Logs forniscono le prove grezze per individuare questi fenomeni e ricostruire le comunicazioni di un'istanza compromessa durante un incidente.

Ogni record di flow log include un'azione ACCEPT o REJECT, che indica se i security group e le network ACL hanno consentito il traffico. Monitorare i rifiuti REJECT rivela i tentativi di connessione bloccati, utile per individuare attività di scansione. Esaminare gli ACCEPT conferma cosa è effettivamente passato, un'informazione particolarmente importante durante un'indagine.

I Flow Logs possono essere inviati a tre destinazioni: CloudWatch Logs per gli avvisi e le query di Logs Insights, Amazon S3 per l'archiviazione economica e l'analisi con Athena oppure Amazon Kinesis Data Firehose per lo streaming verso altri sistemi. La destinazione scelta dipende dalla necessità di avvisi in tempo reale o di query su larga scala.

L'attivazione dei Flow Logs è passiva: non ha alcun impatto sulle prestazioni o sul throughput della rete e non modifica il fatto che il traffico sia consentito. È pura osservazione. Questo li rende sicuri da abilitare su larga scala e l'esame si aspetta che sappiate che sono uno strumento di monitoraggio, non un controllo di applicazione delle regole.

Per progettazione, alcuni tipi di traffico sono esclusi, ad esempio quello verso Amazon DNS, l'attivazione delle licenze Windows, i metadati dell'istanza all'indirizzo 169.254.169.254 e DHCP. Conoscere queste lacune evita conclusioni errate durante un'indagine, poiché la loro assenza nei log è prevista e non sospetta.

Potete scegliere il formato predefinito oppure un formato personalizzato che aggiunga campi come l'ID VPC, l'ID della subnet, l'ID dell'istanza, i flag TCP e il percorso del traffico. Campi più ricchi rendono le query molto più utili, consentendo di risalire direttamente da un flusso all'istanza e alla subnet esatte coinvolte, senza ulteriori ricerche.

I Flow Logs aggregano il traffico su un intervallo di aggregazione di dieci minuti o un minuto. Un intervallo più breve offre una visibilità più rapida per il rilevamento, ma comporta un volume di log e un costo maggiori. Per il monitoraggio della sicurezza, l'intervallo di un minuto vale spesso il costo, perché riduce il tempo tra un evento e la sua visualizzazione.

I Flow Logs sono anche una fonte di dati utilizzata in background da GuardDuty, che li analizza alla ricerca di minacce senza richiedere la gestione della pipeline. Potete comunque abilitare i vostri Flow Logs per ottenere prove grezze ed eseguire query personalizzate. Insieme offrono sia il rilevamento gestito sia i dati sottostanti per indagini approfondite.

I Flow Logs rispondono alla domanda "chi si è connesso a chi" nella vostra VPC. Sono passivi, contengono solo metadati e offrono flessibilità nella scelta della destinazione. Abbinateli ai security group e alle NACL per l'applicazione delle regole, a GuardDuty per il rilevamento e ad Athena per l'analisi. Sono un elemento fondamentale della visibilità di rete nel toolkit di sicurezza AWS.

Verifichi la Sua comprensione di ciò che acquisiscono i Flow Logs.

VPC Flow Logs registra i metadati delle connessioni (IP, porte, protocollo, byte e un'azione ACCEPT/REJECT), ma non acquisisce mai il payload dei pacchetti. Funziona passivamente, senza alcun impatto sulle prestazioni, e può inviare i dati a CloudWatch Logs, S3 o Kinesis Firehose. I formati personalizzati aggiungono campi utili, l'intervallo di aggregazione può essere di un minuto e i dati alimentano anche GuardDuty.