Lese Flow Log-poster og -felt

En flow log-post er én enkelt linje som beskriver trafikken for én forbindelse i løpet av aggregeringsintervallet. Standardformatet er en fast rekkefølge med mellomromsseparerte felt. Å lære å lese denne linjen raskt er en grunnleggende ferdighet ved nettverksundersøkelser i AWS.

Kjernen i en post er femtupletten: kildeadresse, destinasjonsadresse, kildeport, destinasjonsport og protokollnummer. Dette identifiserer en kommunikasjon entydig. Protokoll 6 er TCP, og 17 er UDP. Til sammen forteller disse feltene nøyaktig hvilke endepunkter som kommuniserte, og hvilken tjeneste de brukte.

Feltene srcaddr og dstaddr viser IP-adressene som er involvert. For trafikk som forlater en instans, er srcaddr instansen; for innkommende trafikk er den den eksterne motparten. Det er avgjørende å lese retningen riktig: Hvis De forveksler kilde og destinasjon, kan hele forståelsen av en hendelse bli feil.

dstport forteller vanligvis hvilken tjeneste det gjelder: 443 er HTTPS, 22 er SSH, 3389 er RDP, og 3306 er MySQL. Uventede destinasjonsporter, for eksempel utgående 6667 (IRC), som ofte brukes av botnett, er tydelige varselsignaler. srcport er vanligvis en flyktig port med høyt nummer som klienten velger.

Feltene bytes og packets teller data som overføres i løpet av intervallet. En liten forespørsel som besvares med en stor mengde utgående byte, kan tyde på dataeksfiltrering. Ved å følge disse mengdene over tid blir det lettere å skille normal trafikk fra en vert som plutselig sender gigabyte til en ukjent adresse.

Feltet action er ACCEPT eller REJECT. REJECT betyr at en sikkerhetsgruppe eller NACL blokkerte flyten. Mange REJECT fra én kilde mot mange porter tyder på skanning. Det er viktig at sikkerhetsgrupper er tilstandsbevisste, så en REJECT derfra gjenspeiler vanligvis en NACL-regel. Det hjelper Dem med å finne ut hvilken kontroll som grep inn.

Det siste feltet, log-status, er OK, NODATA eller SKIPDATA. NODATA betyr at det ikke var noen trafikk i intervallet, mens SKIPDATA betyr at enkelte poster ble hoppet over på grunn av kapasitetsbegrensninger. SKIPDATA er en advarsel om at synligheten hadde et hull, noe som er viktig når De er avhengig av fullstendige data i en undersøkelse.

Hver post inneholder et start- og end-tidspunkt i Unix epoch-sekunder for aggregeringsvinduet, ikke for hver pakke. Når De sammenholder Flow Logs med CloudTrail eller applikasjonslogger, må De huske at tidspunktene markerer grensene for intervallet. En hendelse kan derfor ha funnet sted når som helst i dette vinduet.

Et tilpasset format kan legge til verdifulle felt som instance-id, vpc-id, subnet-id, tcp-flags og flow-direction. Feltene pkt-srcaddr og pkt-dstaddr viser de opprinnelige adressene bak NAT, som de grunnleggende feltene srcaddr/dstaddr kan skjule. Disse tilleggene gjør undersøkelser betydelig raskere.

For å tolke en linje bør De først identifisere femtupletten, deretter handlingen og byteantallet, og så koble destinasjonsporten til en tjeneste. Vurder om retningen, mengden og motparten passer med rollen til instansen. Denne systematiske lesingen gjør en kryptisk logglinje om til en tydelig beskrivelse av det som skjedde.

Med øvelse oppdager De avvik umiddelbart: SSH fra en ukjent IP-adresse på internett, store utgående overføringer til en ny region eller gjentatte REJECT ved skanning av et subnett. Feltene endres aldri, så ferdigheten handler om å gjenkjenne mønstre. Denne fortroligheten er nettopp det eksamen tester i scenarier om nettverkssynlighet.

En flow log-post er bygget rundt femtupletten (src/dst-adresse, src/dst-port og protokoll), samt bytes, packets, handlingen ACCEPT/REJECT og en log-status på OK, NODATA eller SKIPDATA. Destinasjonsporter avslører tjenester, byteantall kan indikere eksfiltrering, og tilpassede formater legger til felt som instance-id og tcp-flags. Ved å lese tupletten først utvikler De rask intuisjon for undersøkelser.