Flow Logs na poziomie VPC, podsieci i ENI

Flow Logs można włączyć na trzech poziomach: dla całego VPC, pojedynczej podsieci lub jednego interfejsu sieciowego Elastic (ENI). Wybrany poziom decyduje o ilości rejestrowanego ruchu i miejscu, na którym koncentruje się widoczność. Wybór właściwego zakresu pozwala zachować równowagę między pokryciem, ilością danych i kosztami.

Dziennik przepływu na poziomie VPC rejestruje ruch dla każdego interfejsu sieciowego w każdej podsieci tego VPC, w tym dla interfejsów utworzonych później. Zapewnia najszersze pokrycie i jest najprostszy w zarządzaniu, ponieważ jedna konfiguracja obejmuje cały VPC. Zwykle wybiera się go do kompleksowego monitorowania bezpieczeństwa.

Dziennik przepływu na poziomie podsieci rejestruje wszystkie interfejsy w jednej podsieci. Jest przydatny, gdy potrzebujesz dodatkowych informacji o wrażliwej warstwie, na przykład podsieci baz danych, bez rejestrowania całego VPC. Ogranicza ilość danych, zachowując pełną widoczność tego segmentu sieci.

Dziennik przepływu na poziomie ENI obejmuje pojedynczy interfejs sieciowy i rejestruje wyłącznie ruch dotyczący tego zasobu. Jest to najbardziej precyzyjny zakres, idealny do szczegółowego monitorowania konkretnej instancji o wysokiej wartości lub podczas analizy, w której chcesz odizolować połączenia jednego obciążenia.

Poziomy nie zastępują się wzajemnie — współistnieją. Nowe interfejsy w dzienniku na poziomie VPC są automatycznie uwzględniane po ich pojawieniu się. Możesz nałożyć bardziej szczegółowy dziennik podsieci lub ENI na dziennik VPC, aby uzyskać zarówno szerokie pokrycie, jak i niestandardowy format skoncentrowany na jednym obszarze.

W celu uzyskania pełnej widoczności bezpieczeństwa najbezpieczniejszym ustawieniem domyślnym jest dziennik na poziomie VPC, ponieważ nie pozostawia bez monitorowania żadnego interfejsu, także utworzonego po konfiguracji. Zakresy podsieci i ENI służą jako dodatkowe narzędzia umożliwiające lepsze ukierunkowanie, a nie jako zamienniki szerokiego pokrycia. Na egzaminie poziom VPC jest właściwym wyborem, gdy celem jest „monitorowanie całego ruchu”.

Ilość danych Flow Logs wpływa na koszty i przestrzeń potrzebną do przechowywania. Jeśli potrzebujesz widoczności tylko jednej intensywnie używanej lub wrażliwej warstwy, dziennik podsieci lub ENI przechwyci znacznie mniej danych niż rejestrowanie całego VPC. Gdy ograniczeniem jest budżet lub ilość dzienników, zawężenie zakresu jest właściwym rozwiązaniem.

Każdy dziennik przepływu może mieć własne miejsce docelowe i format. Możesz na przykład wysyłać dziennik na poziomie VPC w formacie domyślnym do S3 w celu archiwizacji, a dziennik na poziomie podsieci warstwy baz danych — w bogatym formacie niestandardowym do CloudWatch, aby generować alerty w czasie rzeczywistym. Łączenie zakresów pozwala precyzyjnie dostosować widoczność.

W konfiguracji obejmującej wiele kont nie można włączyć Flow Logs jednorazowo dla całej organizacji, ale można wymusić ich używanie za pomocą reguł AWS Config lub barier ochronnych Control Tower, które wykrywają każdy VPC bez Flow Logs. Dzięki temu każde konto spełnia podstawowy poziom widoczności, zamiast polegać na pamięci poszczególnych zespołów.

Aby publikować dane w CloudWatch Logs, Flow Logs potrzebują roli IAM z uprawnieniami do zapisu w grupie dzienników. Aby publikować dane w S3, zasady zasobnika muszą zezwalać usłudze dostarczania Flow Logs na zapis. Prawidłowe skonfigurowanie tych uprawnień jest częstym problemem podczas konfiguracji, ponieważ brak roli może po cichu przerwać dostarczanie danych.

Dobrym rozwiązaniem jest dziennik na poziomie VPC wysyłany do S3 w celu taniej i kompletnej archiwizacji oraz ukierunkowane dzienniki podsieci lub ENI wysyłane do CloudWatch dla najważniejszych warstw. Zapewnia to zarówno pełną historię, jak i szybkie alerty tam, gdzie są najbardziej potrzebne, przy jednoczesnym ograniczeniu kosztów przechowywania dużej ilości danych.

Sprawdź swoją wiedzę na temat zakresu Flow Logs.

Zakres Flow Logs może obejmować VPC, podsieć lub pojedynczy ENI, a te zakresy współistnieją. Poziom VPC zapewnia pełne pokrycie, w tym przyszłe interfejsy, i jest domyślnym wyborem dla pełnej widoczności; zakresy podsieci i ENI zmniejszają ilość danych i koncentrują się na wrażliwych warstwach. Każdy dziennik ma własne miejsce docelowe i format, a do dostarczania danych wymagane są odpowiednie uprawnienia IAM i zasady zasobnika.