흐름 로그 레코드 및 필드 읽기

흐름 로그 레코드는 집계 간격 동안 하나의 연결에서 발생한 트래픽을 설명하는 한 줄입니다. 기본 형식은 공백으로 구분된 항목이 고정된 순서로 나열됩니다. 이 줄을 빠르게 읽는 능력은 AWS에서 네트워크를 조사할 때 필요한 핵심 기술입니다.

레코드의 핵심은 5개 요소 조합입니다. 출발지 주소, 목적지 주소, 출발지 포트, 목적지 포트, 프로토콜 번호로 구성됩니다. 이 조합은 하나의 통신을 고유하게 식별합니다. 프로토콜 6은 TCP이고 17은 UDP입니다. 이 항목들을 함께 보면 어떤 종단점이 어떤 서비스로 통신했는지 정확히 알 수 있습니다.

srcaddr 및 dstaddr 항목에는 관련된 IP 주소가 표시됩니다. 인스턴스에서 나가는 트래픽에서는 srcaddr이 인스턴스이고, 들어오는 트래픽에서는 원격 피어입니다. 방향을 올바르게 읽는 것이 중요합니다. 출발지와 목적지를 혼동하면 이벤트에 대한 해석 전체가 뒤바뀔 수 있습니다.

dstport는 대개 서비스를 알려 줍니다. 443은 HTTPS, 22는 SSH, 3389는 RDP, 3306은 MySQL입니다. 봇넷이 자주 사용하는 외부로의 6667번(IRC) 연결처럼 예상하지 못한 목적지 포트는 위험 신호입니다. srcport는 일반적으로 클라이언트가 선택한 임시 고번호 포트입니다.

bytes 및 packets 항목은 해당 간격 동안 전송된 데이터의 양을 계산합니다. 작은 요청에 비해 외부로 나간 바이트 수가 매우 크다면 데이터 유출을 나타낼 수 있습니다. 이러한 양을 시간에 따라 추적하면 일반적인 통신과 호스트가 갑자기 익숙하지 않은 주소로 기가바이트 단위의 데이터를 보내는 상황을 구분하는 데 도움이 됩니다.

action 항목은 ACCEPT 또는 REJECT입니다. REJECT는 보안 그룹 또는 NACL이 흐름을 차단했다는 뜻입니다. 한 출발지가 여러 포트를 대상으로 많은 REJECT를 발생시키면 포트 스캔을 의심할 수 있습니다. 중요한 점은 보안 그룹이 상태 저장 방식이라는 것입니다. 따라서 보안 그룹에서 발생한 REJECT는 대개 NACL 규칙을 반영하므로 어떤 제어 항목이 동작했는지 파악하는 데 도움이 됩니다.

마지막 항목인 log-status는 OK, NODATA 또는 SKIPDATA입니다. NODATA는 해당 간격에 트래픽이 없었다는 뜻이고, SKIPDATA는 용량 문제로 일부 레코드가 건너뛰어졌다는 뜻입니다. SKIPDATA는 가시성에 공백이 생겼다는 경고이므로, 조사에서 완전한 데이터에 의존할 때 중요합니다.

각 레코드에는 각 패킷이 아니라 집계 기간을 나타내는 Unix epoch 초 단위의 start 및 end 시간이 포함됩니다. Flow Logs를 CloudTrail 또는 애플리케이션 로그와 대조할 때 이 시간이 간격의 경계를 나타낸다는 점을 기억하세요. 따라서 이벤트는 해당 시간 창의 어느 시점에서든 발생했을 수 있습니다.

사용자 지정 형식을 사용하면 instance-id, vpc-id, subnet-id, tcp-flags, flow-direction과 같은 중요한 항목을 추가할 수 있습니다. pkt-srcaddr 및 pkt-dstaddr 항목은 NAT 뒤에 있는 원래 주소를 보여 줍니다. 기본 srcaddr/dstaddr에서는 이 주소가 가려질 수 있습니다. 이러한 추가 항목은 조사 속도를 크게 높여 줍니다.

한 줄을 해석할 때는 먼저 5개 요소 조합을 식별한 다음 동작과 바이트 수를 확인하고, 목적지 포트를 서비스에 대응시키세요. 방향, 데이터 양, 피어가 해당 인스턴스의 역할에 맞는지 자문해 보세요. 이렇게 체계적으로 읽으면 암호 같은 로그 한 줄이 발생한 일을 명확히 설명하는 문장으로 바뀝니다.

연습하면 이상 징후를 즉시 알아볼 수 있습니다. 예를 들어 알 수 없는 인터넷 IP에서 들어오는 SSH, 새 리전으로 전송되는 대량의 외부 데이터, 서브넷을 스캔하는 반복적인 REJECT 등이 있습니다. 항목은 변하지 않으므로 필요한 능력은 패턴 인식입니다. 이러한 숙련도는 네트워크 가시성 시나리오에서 시험이 정확히 평가하는 능력입니다.

흐름 로그 레코드를 읽는 능력을 확인해 보세요.

흐름 로그 레코드는 5개 요소 조합(출발지/목적지 주소, 출발지/목적지 포트, 프로토콜)을 중심으로 하며, 여기에 bytes, packets, ACCEPT/REJECT 동작, OK·NODATA·SKIPDATA 중 하나인 log-status가 더해집니다. 목적지 포트로 서비스를 파악할 수 있고, 바이트 수로 데이터 유출을 추정할 수 있으며, 사용자 지정 형식으로 instance-id와 tcp-flags 같은 항목을 추가할 수 있습니다. 먼저 조합을 읽는 습관을 들이면 조사 감각을 빠르게 기를 수 있습니다.