Membaca Rekod dan Medan Log Aliran

Rekod flow log ialah satu baris yang menerangkan trafik bagi satu sambungan sepanjang selang pengagregatan. Format lalai ialah urutan medan tetap yang dipisahkan oleh ruang. Keupayaan membaca baris ini dengan pantas ialah kemahiran asas dalam sebarang penyiasatan rangkaian di AWS.

Teras sesuatu rekod ialah lima unsur: alamat sumber, alamat destinasi, port sumber, port destinasi dan nombor protokol. Gabungan ini mengenal pasti sesuatu perbualan secara unik. Protokol 6 ialah TCP dan 17 ialah UDP. Bersama-sama, medan ini memberitahu Anda dengan tepat titik akhir yang berkomunikasi dan perkhidmatan yang digunakan.

Medan srcaddr dan dstaddr menunjukkan alamat IP yang terlibat. Bagi trafik yang keluar dari sesuatu tika, srcaddr ialah tika tersebut; bagi trafik masuk, srcaddr ialah rakan jauh. Membaca arah dengan betul amat penting: tersalah anggap sumber dan destinasi boleh menyebabkan keseluruhan pemahaman Anda tentang sesuatu peristiwa menjadi terbalik.

dstport biasanya memberitahu Anda perkhidmatan yang digunakan: 443 ialah HTTPS, 22 ialah SSH, 3389 ialah RDP dan 3306 ialah MySQL. Port destinasi yang tidak dijangka, seperti 6667 keluar (IRC) yang sering digunakan oleh rangkaian bot, ialah tanda amaran. srcport biasanya ialah port bernombor tinggi sementara yang dipilih oleh klien.

Medan bytes dan packets mengira jumlah data yang dipindahkan sepanjang selang tersebut. Permintaan kecil yang menerima jawapan dengan jumlah bait keluar yang sangat besar mungkin menunjukkan penyeludupan data. Menjejaki jumlah ini dari semasa ke semasa membantu membezakan komunikasi biasa daripada tika yang tiba-tiba menghantar gigabait kepada alamat yang tidak dikenali.

Medan action ialah ACCEPT atau REJECT. REJECT bermaksud kumpulan keselamatan atau NACL menyekat aliran tersebut. Banyak REJECT daripada satu sumber menuju ke banyak port menunjukkan kemungkinan pengimbasan. Yang penting, kumpulan keselamatan bersifat berkeadaan, jadi REJECT di situ biasanya mencerminkan peraturan NACL dan membantu Anda mengenal pasti kawalan yang mengambil tindakan.

Medan terakhir, log-status, ialah OK, NODATA atau SKIPDATA. NODATA bermaksud tiada trafik sepanjang selang tersebut, manakala SKIPDATA bermaksud sesetengah rekod dilangkau kerana kapasiti. SKIPDATA ialah amaran bahawa keterlihatan Anda mempunyai jurang, perkara yang penting apabila penyiasatan bergantung pada data yang lengkap.

Setiap rekod mengandungi masa start dan end dalam saat epok Unix untuk tempoh pengagregatan, bukan untuk setiap paket. Apabila memadankan Flow Logs dengan CloudTrail atau log aplikasi, ingat bahawa masa tersebut menandakan sempadan selang. Oleh itu, sesuatu peristiwa mungkin berlaku pada bila-bila masa dalam tempoh itu.

Format tersuai boleh menambah medan bernilai tinggi seperti instance-id, vpc-id, subnet-id, tcp-flags dan flow-direction. Medan pkt-srcaddr dan pkt-dstaddr mendedahkan alamat asal di sebalik NAT, yang mungkin disembunyikan oleh srcaddr/dstaddr asas. Medan tambahan ini mempercepatkan penyiasatan dengan ketara.

Untuk mentafsir sesuatu baris, kenal pasti lima unsur terlebih dahulu, kemudian tindakan dan jumlah bait, lalu padankan port destinasi dengan perkhidmatan. Tanyakan sama ada arah, jumlah dan rakan komunikasi itu munasabah untuk peranan tika tersebut. Pembacaan yang teratur ini menukarkan baris log yang sukar difahami kepada penerangan yang jelas tentang perkara yang berlaku.

Dengan latihan, Anda akan mengenal pasti anomali serta-merta: SSH daripada IP Internet yang tidak dikenali, pemindahan keluar yang besar ke rantau baharu atau REJECT berulang yang mengimbas subnet. Medannya tidak pernah berubah, jadi kemahiran ini bergantung pada pengecaman corak. Kecekapan ini tepat seperti yang diuji dalam peperiksaan bagi senario keterlihatan rangkaian.

Rekod flow log berpusat pada lima unsur (alamat sumber/destinasi, port sumber/destinasi dan protokol), serta bytes, packets, tindakan ACCEPT/REJECT dan log-status yang bernilai OK, NODATA atau SKIPDATA. Port destinasi menunjukkan perkhidmatan, jumlah bait boleh memberi petunjuk tentang penyeludupan data, dan format tersuai menambah medan seperti instance-id dan tcp-flags. Membaca unsur-unsur ini terlebih dahulu membina intuisi penyiasatan yang pantas.