Perkara yang Dirakam oleh Log Aliran VPC

VPC Flow Logs menangkap metadata tentang trafik IP yang mengalir ke dan dari antara muka rangkaian dalam Virtual Private Cloud (VPC) anda. Log ini merekod maklumat tentang sambungan, lalu memberikan keterlihatan kepada pasukan keselamatan tentang pihak yang berkomunikasi dengan siapa, pada port yang mana dan sama ada trafik dibenarkan atau disekat.

Satu perkara penting: Flow Logs hanya merekod metadata sambungan, bukan kandungan paket sebenar. Anda dapat melihat IP sumber dan destinasi, port, protokol, kiraan bait dan paket serta tindakan yang diambil. Anda tidak dapat melihat data di dalam paket. Untuk memeriksa muatan, anda sebaliknya memerlukan VPC Traffic Mirroring.

Metadata rangkaian mendedahkan corak yang sukar disembunyikan oleh penyerang: hos yang mengimbas banyak port, pemindahan keluar yang besar dan mungkin menunjukkan pengekstrakan data, atau sambungan ke IP yang diketahui berbahaya. Flow Logs menyediakan bukti mentah untuk mengesan perkara ini dan membina semula perkara yang dihubungi oleh tika yang terjejas semasa insiden.

Setiap rekod log aliran menyertakan tindakan ACCEPT atau REJECT, yang menunjukkan sama ada kumpulan keselamatan dan ACL rangkaian membenarkan trafik tersebut. Memantau REJECT mendedahkan sambungan yang cuba dibuat tetapi disekat, yang berguna untuk mengesan aktiviti penyiasatan. Menyemak ACCEPT mengesahkan perkara yang benar-benar berjaya melepasi kawalan, yang paling penting semasa penyiasatan.

Flow Logs boleh dihantar ke tiga destinasi: CloudWatch Logs untuk amaran dan pertanyaan Insights, Amazon S3 untuk pengarkiban murah dan analisis Athena, atau Amazon Kinesis Data Firehose untuk penstriman ke sistem lain. Destinasi yang dipilih bergantung pada sama ada anda memerlukan amaran masa nyata atau pertanyaan berskala besar.

Mendayakan Flow Logs adalah pasif: ia tidak memberi kesan kepada prestasi atau daya pemprosesan rangkaian dan tidak mengubah sama ada trafik dibenarkan. Ia semata-mata pemerhatian. Oleh itu, ciri ini selamat untuk didayakan secara meluas, dan peperiksaan mengharapkan anda mengetahui bahawa ia ialah alat pemantauan, bukan kawalan penguatkuasaan.

Sesetengah trafik dikecualikan secara reka bentuk, seperti trafik ke DNS Amazon, pengaktifan lesen Windows, metadata tika pada 169.254.169.254 dan DHCP. Mengetahui jurang ini mengelakkan kesimpulan palsu semasa penyiasatan, kerana ketiadaannya dalam log adalah dijangka dan bukannya mencurigakan.

Anda boleh memilih format lalai atau format tersuai yang menambah medan seperti ID VPC, ID subnet, ID tika, bendera TCP dan laluan trafik. Medan yang lebih terperinci menjadikan pertanyaan jauh lebih berguna, membolehkan anda terus beralih daripada satu aliran kepada tika dan subnet tepat yang terlibat tanpa carian tambahan.

Flow Logs mengagregatkan trafik sepanjang selang pengagregatan, sama ada sepuluh minit atau satu minit. Selang yang lebih pendek memberikan keterlihatan pengesanan yang lebih pantas, dengan jumlah log dan kos yang lebih tinggi. Untuk pemantauan keselamatan, selang satu minit selalunya berbaloi kerana mengurangkan jurang antara peristiwa berlaku dengan masa peristiwa itu dilihat.

Flow Logs juga merupakan sumber data di sebalik tabir untuk GuardDuty, yang menganalisisnya untuk mencari ancaman tanpa memerlukan anda mengurus saluran paip. Anda masih boleh mendayakan Flow Logs sendiri untuk mendapatkan bukti mentah dan menjalankan pertanyaan tersuai. Bersama-sama, kedua-duanya memberikan pengesanan terurus dan data asas untuk penyiasatan mendalam.

Flow Logs menjawab soalan "apa yang bersambung dengan apa" merentas VPC anda. Ia bersifat pasif, hanya mengandungi metadata dan menawarkan destinasi yang fleksibel. Padankan Flow Logs dengan kumpulan keselamatan dan NACL untuk penguatkuasaan, GuardDuty untuk pengesanan dan Athena untuk analisis. Flow Logs ialah asas keterlihatan rangkaian dalam kit alat keselamatan AWS.

VPC Flow Logs merekodkan metadata sambungan (IP, port, protokol, bait dan tindakan ACCEPT/REJECT), tetapi tidak pernah merekodkan kandungan paket. Ia bersifat pasif tanpa menjejaskan prestasi dan boleh dihantar ke CloudWatch Logs, S3 atau Kinesis Firehose. Format tersuai menambah medan yang berguna, selang pengagregatan boleh ditetapkan kepada satu minit, dan data itu juga disalurkan kepada GuardDuty.