Odczytywanie rekordów i pól Flow Logs

Rekord dziennika przepływu to pojedynczy wiersz opisujący ruch dla jednego połączenia w czasie trwania interwału agregacji. Domyślny format to ustalona sekwencja pól oddzielonych spacjami. Umiejętność szybkiego odczytywania tego wiersza jest podstawą każdej analizy sieci w AWS.

Sercem rekordu jest krotka pięciu elementów: adres źródłowy, adres docelowy, port źródłowy, port docelowy i numer protokołu. Jednoznacznie identyfikuje ona komunikację. Protokół 6 to TCP, a 17 to UDP. Łącznie te pola dokładnie wskazują, które punkty końcowe się komunikowały i za pośrednictwem jakiej usługi.

Pola srcaddr i dstaddr pokazują używane adresy IP. W przypadku ruchu wychodzącego z instancji srcaddr to instancja, a w przypadku ruchu przychodzącego — zdalny element komunikacji. Prawidłowe odczytanie kierunku ma kluczowe znaczenie: pomylenie źródła z miejscem docelowym może całkowicie zmienić interpretację zdarzenia.

dstport zwykle wskazuje usługę: 443 to HTTPS, 22 to SSH, 3389 to RDP, a 3306 to MySQL. Nieoczekiwane porty docelowe, na przykład wychodzący port 6667 (IRC), często używany przez botnety, są sygnałami ostrzegawczymi. srcport to zazwyczaj efemeryczny port o wysokim numerze, wybierany przez klienta.

Pola bytes i packets zliczają dane przesłane w czasie trwania interwału. Małe żądanie, po którym następuje ogromna liczba wychodzących bajtów, może wskazywać na eksfiltrację danych. Śledzenie tych wielkości w czasie pomaga odróżnić normalną komunikację od sytuacji, w której host nagle wysyła gigabajty danych na nieznany adres.

Pole action przyjmuje wartość ACCEPT lub REJECT. REJECT oznacza, że grupa zabezpieczeń lub NACL zablokowała przepływ. Wiele wartości REJECT pochodzących z jednego źródła i skierowanych do wielu portów sugeruje skanowanie. Co ważne, grupy zabezpieczeń są stanowe, więc REJECT w tym przypadku zwykle odzwierciedla regułę NACL, pomagając ustalić, który mechanizm zadziałał.

Ostatnie pole, log-status, przyjmuje wartość OK, NODATA lub SKIPDATA. NODATA oznacza brak ruchu w danym interwale, a SKIPDATA — pominięcie części rekordów z powodu ograniczeń pojemności. SKIPDATA ostrzega, że w widoczności wystąpiła luka, co ma znaczenie, gdy podczas analizy wymagana jest kompletność danych.

Każdy rekord zawiera czas start i end w sekundach epoki Unix dla okna agregacji, a nie dla każdego pakietu. Podczas korelowania Flow Logs z CloudTrail lub dziennikami aplikacji należy pamiętać, że czasy wyznaczają granice interwału, więc zdarzenie mogło wystąpić w dowolnym momencie tego okna.

Format niestandardowy może dodawać wartościowe pola, takie jak instance-id, vpc-id, subnet-id, tcp-flags i flow-direction. Pola pkt-srcaddr i pkt-dstaddr ujawniają oryginalne adresy ukryte za translacją NAT, które podstawowe pola srcaddr/dstaddr mogą maskować. Te dodatkowe informacje znacznie przyspieszają analizy.

Aby zinterpretować wiersz, najpierw zidentyfikuj krotkę pięciu elementów, następnie działanie i liczbę bajtów, a potem przyporządkuj port docelowy do usługi. Zastanów się, czy kierunek, ilość danych i drugi uczestnik komunikacji są zgodne z rolą danej instancji. Takie metodyczne odczytywanie zmienia niejasny wiersz dziennika w klarowny opis tego, co się wydarzyło.

W miarę praktyki zaczniesz natychmiast zauważać anomalie: SSH z nieznanego internetowego adresu IP, duże transfery wychodzące do nowego regionu lub powtarzające się wartości REJECT podczas skanowania podsieci. Pola nigdy się nie zmieniają, więc kluczowa jest umiejętność rozpoznawania wzorców. Taka biegłość jest dokładnie tym, co sprawdza egzamin w scenariuszach dotyczących widoczności sieci.

Sprawdź swoją umiejętność odczytywania rekordów dziennika przepływu.

Rekord dziennika przepływu koncentruje się na krotce pięciu elementów (adres źródłowy/docelowy, port źródłowy/docelowy, protokół), a także zawiera bytes, packets, działanie ACCEPT/REJECT oraz wartość log-status: OK, NODATA lub SKIPDATA. Porty docelowe ujawniają usługi, liczba bajtów może wskazywać na eksfiltrację, a formaty niestandardowe dodają pola takie jak instance-id i tcp-flags. Odczytywanie najpierw krotki pozwala szybko wykształcić intuicję potrzebną podczas analizy.