Co rejestrują VPC Flow Logs

VPC Flow Logs przechwytują metadane dotyczące ruchu IP przepływającego do interfejsów sieciowych w Virtual Private Cloud (VPC) i z nich. Rejestrują informacje o połączeniach, zapewniając zespołom bezpieczeństwa wgląd w to, kto z kim się komunikował, na których portach oraz czy ruch został dozwolony, czy zablokowany.

Kluczowa kwestia: Flow Logs rejestrują wyłącznie metadane połączeń, nigdy rzeczywistą zawartość pakietów. Widoczne są źródłowe i docelowe adresy IP, porty, protokół, liczba bajtów i pakietów oraz wykonana akcja. Nie widać danych znajdujących się wewnątrz pakietów. Do inspekcji danych użytkowych potrzebne jest rozwiązanie VPC Traffic Mirroring.

Metadane sieciowe ujawniają wzorce, które atakującym trudno ukryć: host skanujący wiele portów, duże transfery wychodzące sugerujące eksfiltrację lub połączenia ze znanymi złośliwymi adresami IP. Flow Logs dostarczają surowych dowodów pozwalających wykrywać takie zdarzenia i odtworzyć, z czym komunikowała się przejęta instancja podczas incydentu.

Każdy rekord flow log zawiera akcję ACCEPT lub REJECT, odzwierciedlającą to, czy grupy zabezpieczeń i sieciowe listy ACL zezwoliły na ruch. Monitorowanie wartości REJECT ujawnia próby połączeń, które zostały zablokowane, co pomaga wykrywać skanowanie. Analiza wartości ACCEPT potwierdza, jaki ruch rzeczywiście się przedostał, co ma największe znaczenie podczas dochodzenia.

Flow Logs można dostarczać do trzech miejsc docelowych: CloudWatch Logs na potrzeby alertów i zapytań Insights, Amazon S3 do niedrogiej archiwizacji i analizy za pomocą Athena lub Amazon Kinesis Data Firehose do strumieniowania do innych systemów. Wybór miejsca docelowego zależy od tego, czy potrzebują Państwo alertów w czasie rzeczywistym, czy zapytań na dużą skalę.

Włączenie Flow Logs jest działaniem pasywnym: nie wpływa na wydajność sieci ani przepustowość i nie zmienia tego, czy ruch jest dozwolony. Jest to wyłącznie obserwacja. Dzięki temu można bezpiecznie włączyć je szeroko, a na egzaminie należy pamiętać, że jest to narzędzie monitorowania, a nie mechanizm egzekwowania zasad.

Niektóry ruch jest domyślnie wykluczony, na przykład ruch do Amazon DNS, aktywacja licencji Windows, metadane instancji pod adresem 169.254.169.254 oraz DHCP. Znajomość tych luk zapobiega wyciąganiu fałszywych wniosków podczas dochodzenia, ponieważ brak takich danych w dziennikach jest oczekiwany, a nie podejrzany.

Mogą Państwo wybrać format domyślny lub format niestandardowy, który dodaje pola takie jak identyfikator VPC, identyfikator podsieci, identyfikator instancji, flagi TCP i ścieżka ruchu. Bogatszy zestaw pól znacznie zwiększa użyteczność zapytań, umożliwiając bezpośrednie przejście od przepływu do konkretnej instancji i podsieci bez dodatkowych wyszukiwań.

Flow Logs agregują ruch w ramach interwału agregacji wynoszącego dziesięć minut lub jedną minutę. Krótszy interwał zapewnia szybszy wgląd na potrzeby wykrywania, ale zwiększa ilość dzienników i koszty. W monitorowaniu bezpieczeństwa jednominutowy interwał często jest wart zastosowania, ponieważ skraca czas między zdarzeniem a jego wykryciem.

Flow Logs są również źródłem danych działającym w tle dla usługi GuardDuty, która analizuje je pod kątem zagrożeń bez konieczności samodzielnego zarządzania potokiem danych. Nadal mogą Państwo włączyć własne Flow Logs, aby uzyskać surowe dowody i wykonywać niestandardowe zapytania. Razem zapewniają one zarówno zarządzane wykrywanie, jak i dane bazowe do pogłębionego dochodzenia.

Flow Logs odpowiadają na pytanie: „co połączyło się z czym” w całym VPC. Są pasywne, zawierają wyłącznie metadane i pozwalają elastycznie wybrać miejsce docelowe. Należy łączyć je z grupami zabezpieczeń i NACL w celu egzekwowania zasad, z GuardDuty w celu wykrywania zagrożeń oraz z Athena w celu analizy. Są podstawowym elementem widoczności sieci w zestawie narzędzi bezpieczeństwa AWS.

Sprawdź swoją wiedzę na temat informacji rejestrowanych przez Flow Logs.

VPC Flow Logs rejestrują metadane połączeń (adresy IP, porty, protokół, liczbę bajtów oraz działanie ACCEPT/REJECT), ale nigdy nie rejestrują zawartości pakietów. Działają pasywnie, bez wpływu na wydajność, a dane mogą być dostarczane do CloudWatch Logs, S3 lub Kinesis Firehose. Formaty niestandardowe dodają przydatne pola, interwał agregacji może wynosić jedną minutę, a dane są również wykorzystywane przez GuardDuty.