VPC, 서브넷 및 ENI 수준의 흐름 로그

Flow Logs는 전체 VPC, 하나의 subnet, 또는 하나의 탄력적 네트워크 인터페이스(ENI)라는 세 가지 수준에서 활성화할 수 있습니다. 선택한 수준에 따라 캡처되는 트래픽의 양과 가시성의 초점이 결정됩니다. 적절한 범위를 선택하면 수집 범위와 데이터 양 및 비용 사이의 균형을 맞출 수 있습니다.

VPC 수준의 흐름 로그는 해당 VPC의 모든 subnet에 있는 모든 네트워크 인터페이스의 트래픽을 캡처하며, 나중에 생성되는 인터페이스도 포함합니다. 하나의 설정으로 전체 VPC를 포괄하므로 가장 광범위하고 관리하기 쉽습니다. 종합적인 보안 모니터링에는 일반적으로 이 방식을 선택합니다.

서브넷 수준 흐름 로그는 하나의 subnet 안에 있는 모든 인터페이스를 캡처합니다. 전체 VPC를 기록하지 않고 데이터베이스 subnet과 같은 민감한 계층을 더 자세히 살펴보고 싶을 때 유용합니다. 네트워크의 해당 구간을 완전히 파악하면서 데이터 양은 줄일 수 있습니다.

ENI 수준 흐름 로그는 하나의 네트워크 인터페이스를 대상으로 하며 해당 리소스의 트래픽만 캡처합니다. 가장 집중적인 범위이므로 특정 중요 인스턴스를 면밀히 모니터링하거나 하나의 워크로드 연결만 분리해 조사할 때 적합합니다.

각 수준은 서로 덮어쓰지 않고 공존합니다. VPC 수준 로그에서는 VPC에 새 인터페이스가 나타날 때 자동으로 포함됩니다. 전체 범위와 특정 영역에 대한 세부 사용자 지정 형식을 모두 원한다면 VPC 로그 위에 더 상세한 subnet 또는 ENI 로그를 추가할 수 있습니다.

완전한 보안 가시성이 필요하다면 VPC 수준 로그가 가장 안전한 기본 선택입니다. 설정 후 생성된 인터페이스까지 포함해 모니터링하지 않는 인터페이스가 없기 때문입니다. subnet 및 ENI 범위는 광범위한 수집을 대체하는 것이 아니라 특정 영역에 집중하기 위한 추가 도구입니다. 목표가 "모든 트래픽 모니터링"이라면 시험에서는 VPC 수준을 정답으로 보는 경우가 많습니다.

흐름 로그의 데이터 양은 비용과 저장 공간을 좌우합니다. 하나의 트래픽이 많거나 민감한 계층만 확인하면 된다면 subnet 또는 ENI 로그가 전체 VPC를 기록하는 것보다 훨씬 적은 데이터를 수집합니다. 예산이나 로그 데이터 양이 제약이라면 범위를 좁히는 것이 해결책입니다.

각 흐름 로그는 고유한 대상과 형식을 가질 수 있습니다. 예를 들어 VPC 수준 로그는 기본 형식으로 S3에 보내 보관하고, 데이터베이스 계층의 subnet 수준 로그는 풍부한 사용자 지정 형식으로 CloudWatch에 스트리밍하여 실시간 경보에 사용할 수 있습니다. 범위를 섞으면 가시성을 정확히 맞춤 설정할 수 있습니다.

여러 계정으로 구성된 환경에서는 조직 전체에 Flow Logs를 한 번만 활성화할 수 없습니다. 하지만 AWS Config 규칙 또는 Control Tower 가드레일을 사용하여 Flow Logs가 없는 VPC를 표시하도록 강제할 수 있습니다. 이렇게 하면 각 팀이 기억에 의존하지 않아도 모든 계정이 기본 가시성 기준을 충족합니다.

CloudWatch Logs에 게시하려면 Flow Logs에 로그 그룹에 쓸 권한을 부여하는 IAM 역할이 필요합니다. S3에 게시하려면 버킷 정책에서 Flow Logs 전송 서비스의 쓰기를 허용해야 합니다. 역할이 없으면 전송이 조용히 중단되므로 이러한 권한을 올바르게 설정하는 것이 일반적인 설정상의 함정입니다.

효과적인 방식은 저렴하고 완전한 보관을 위해 VPC 수준 로그를 S3에 저장하고, 가장 중요하게 보는 계층에는 subnet 또는 ENI 로그를 CloudWatch로 보내는 것입니다. 이렇게 하면 전체 기록을 보존하면서 중요한 영역에서는 빠르게 경보를 받을 수 있고, 대량 데이터에 드는 비용도 관리할 수 있습니다.

Flow Logs의 범위는 VPC, subnet 또는 하나의 ENI로 지정할 수 있으며, 이러한 범위는 공존합니다. VPC 수준은 이후에 생성되는 인터페이스까지 포함해 완전한 범위를 제공하므로 전체 가시성의 기본 선택입니다. subnet 및 ENI 범위는 데이터 양을 줄이고 민감한 계층에 집중합니다. 각 로그에는 고유한 대상과 형식이 있으며, 전송을 위해 적절한 IAM/버킷 권한이 필요합니다.