Log Aliran pada Tahap VPC, Subnet dan ENI

Anda boleh mengaktifkan Flow Logs pada tiga tahap: keseluruhan VPC, satu subnet atau satu antara muka rangkaian elastik (ENI). Tahap yang dipilih menentukan jumlah trafik yang direkodkan dan fokus keterlihatan. Pemilihan skop yang tepat mengimbangi liputan dengan jumlah data dan kos.

Flow log pada tahap VPC merekodkan trafik bagi setiap antara muka rangkaian dalam setiap subnet VPC tersebut, termasuk antara muka yang dicipta kemudian. Ini memberikan liputan paling luas dan paling mudah diurus kerana satu konfigurasi meliputi seluruh VPC. Ia biasanya menjadi pilihan untuk pemantauan keselamatan yang menyeluruh.

Flow log tahap subnet merekodkan semua antara muka dalam satu subnet. Ini berguna apabila Anda memerlukan perincian tambahan tentang lapisan sensitif, seperti subnet pangkalan data, tanpa merekodkan keseluruhan VPC. Jumlah data menjadi lebih kecil, sambil mengekalkan keterlihatan penuh terhadap segmen rangkaian tersebut.

Flow log tahap ENI menyasarkan satu antara muka rangkaian dan hanya merekodkan trafik untuk sumber tersebut. Ini ialah skop paling tertumpu, sesuai untuk pemantauan mendalam terhadap tika bernilai tinggi tertentu atau penyiasatan yang memerlukan sambungan satu beban kerja diasingkan.

Tahap tidak mengatasi satu sama lain; tahap-tahap tersebut wujud bersama. Antara muka baharu dalam log tahap VPC disertakan secara automatik apabila muncul. Anda boleh menindihkan log subnet atau ENI yang lebih terperinci pada log VPC jika memerlukan liputan luas dan format tersuai yang tertumpu pada satu kawasan.

Untuk keterlihatan keselamatan yang lengkap, log tahap VPC ialah pilihan lalai paling selamat kerana tiada antara muka yang tidak dipantau, termasuk antara muka yang dicipta selepas persediaan. Skop subnet dan ENI ialah alat tambahan untuk fokus yang lebih khusus, bukan pengganti kepada liputan luas. Peperiksaan biasanya memilih tahap VPC apabila matlamatnya ialah "memantau semua trafik".

Jumlah Flow Log mempengaruhi kos dan storan. Jika Anda hanya memerlukan keterlihatan terhadap satu lapisan yang sibuk atau sensitif, log subnet atau ENI merekodkan jauh lebih sedikit data berbanding log seluruh VPC. Apabila bajet atau jumlah log menjadi kekangan, mengecilkan skop ialah langkah utama yang boleh diambil.

Setiap flow log boleh mempunyai destinasi dan format sendiri. Anda mungkin menghantar log tahap VPC dalam format lalai ke S3 untuk pengarkiban, manakala log tahap subnet pada lapisan pangkalan data menggunakan format tersuai yang kaya dan distrim ke CloudWatch untuk pemberitahuan masa nyata. Menggabungkan pelbagai skop membolehkan Anda menyesuaikan keterlihatan dengan tepat.

Dalam persediaan berbilang akaun, Anda tidak boleh mengaktifkan Flow Logs sekali untuk seluruh organisasi, tetapi Anda boleh menguatkuasakannya dengan peraturan AWS Config atau guardrail Control Tower yang menandakan mana-mana VPC yang tiada Flow Logs. Ini memastikan setiap akaun memenuhi asas keterlihatan tanpa bergantung pada setiap pasukan untuk mengingatinya.

Untuk menerbitkan ke CloudWatch Logs, Flow Logs memerlukan peranan IAM yang memberikan kebenaran menulis ke kumpulan log. Untuk menerbitkan ke S3, dasar bucket mesti membenarkan perkhidmatan penghantaran Flow Logs menulis. Menetapkan kebenaran ini dengan betul ialah perkara yang sering terlepas pandang semasa persediaan kerana peranan yang tiada boleh menghentikan penghantaran secara senyap.

Corak yang kukuh ialah menggunakan log tahap VPC ke S3 untuk pengarkiban lengkap yang murah, serta log subnet atau ENI yang disasarkan ke CloudWatch bagi lapisan yang paling penting kepada Anda. Dengan cara ini, Anda mendapat rekod sejarah penuh dan pemberitahuan pantas di tempat yang diperlukan, sambil mengawal kos data pukal.

Flow Logs boleh ditetapkan skopnya kepada VPC, subnet atau satu ENI, dan skop-skop ini wujud bersama. Tahap VPC memberikan liputan lengkap termasuk antara muka masa hadapan dan menjadi pilihan lalai untuk keterlihatan penuh; skop subnet dan ENI mengurangkan jumlah data serta memfokuskan lapisan sensitif. Setiap log mempunyai destinasi dan format sendiri, dan kebenaran IAM/bucket yang betul diperlukan untuk penghantaran.