O que os VPC Flow Logs Capturam

Os VPC Flow Logs capturam metadados sobre o tráfego IP que entra e sai das interfaces de rede na sua Virtual Private Cloud (VPC). Eles registram informações sobre as conexões, permitindo que as equipes de segurança saibam quem se comunicou com quem, em quais portas e se o tráfego foi permitido ou bloqueado.

Um ponto crucial: os Flow Logs registram apenas metadados da conexão, nunca o conteúdo real dos pacotes. Você vê os IPs de origem e destino, as portas, o protocolo, as contagens de bytes e pacotes e a ação executada. Não vê os dados dentro dos pacotes. Para inspecionar o conteúdo, você precisa usar o VPC Traffic Mirroring.

Os metadados de rede revelam padrões que os invasores não conseguem esconder facilmente: um host examinando muitas portas, grandes transferências de saída que sugerem exfiltração ou conexões com IPs conhecidos por serem maliciosos. Os Flow Logs fornecem as evidências brutas para identificar esses padrões e reconstruir com quem uma instância comprometida se comunicou durante um incidente.

Cada registro de fluxo inclui uma ação ACCEPT ou REJECT, refletindo se os grupos de segurança e as ACLs de rede permitiram o tráfego. Monitorar REJECTs revela tentativas de conexão bloqueadas, o que é útil para identificar sondagens. Analisar ACCEPTs confirma o que realmente passou, algo especialmente importante durante uma investigação.

Os Flow Logs podem ser entregues a três destinos: CloudWatch Logs, para alertas e consultas do Insights; Amazon S3, para arquivamento econômico e análise com o Athena; ou Amazon Kinesis Data Firehose, para transmissão a outros sistemas. O destino escolhido depende de você precisar de alertas em tempo real ou de consultas em grande escala.

Habilitar os Flow Logs é uma ação passiva: isso não afeta o desempenho nem a vazão da rede e não altera se o tráfego é permitido. É apenas observação. Isso torna seguro habilitá-los amplamente, e a prova espera que você saiba que se trata de uma ferramenta de monitoramento, não de um controle de aplicação de regras.

Por projeto, alguns tráfegos são excluídos, como o tráfego para o DNS da Amazon, a ativação de licenças do Windows, os metadados da instância em 169.254.169.254 e o DHCP. Conhecer essas lacunas evita conclusões falsas durante uma investigação, pois a ausência desses dados nos logs é esperada, e não suspeita.

Você pode escolher o formato padrão ou um formato personalizado que adicione campos como o ID da VPC, o ID da sub-rede, o ID da instância, as sinalizações TCP e o caminho do tráfego. Campos mais detalhados tornam as consultas muito mais úteis, permitindo passar diretamente de um fluxo à instância e à sub-rede exatas envolvidas, sem consultas adicionais.

Os Flow Logs agregam o tráfego durante um intervalo de agregação de dez minutos ou de um minuto. Um intervalo menor proporciona visibilidade mais rápida para a detecção, com maior volume e custo de logs. No monitoramento de segurança, o intervalo de um minuto geralmente vale a pena, pois reduz o tempo entre a ocorrência de um evento e sua visualização.

Os Flow Logs também são uma fonte de dados nos bastidores para o GuardDuty, que os analisa em busca de ameaças sem que você precise gerenciar o fluxo de dados. Ainda assim, você pode habilitar seus próprios Flow Logs para obter evidências brutas e realizar consultas personalizadas. Juntos, eles oferecem detecção gerenciada e os dados subjacentes para uma investigação aprofundada.

Os Flow Logs respondem à pergunta "o que se conectou a quê" na sua VPC. Eles são passivos, contêm apenas metadados e oferecem flexibilidade de destino. Combine-os com grupos de segurança e NACLs para aplicar regras, com o GuardDuty para detecção e com o Athena para análise. Eles são fundamentais para a visibilidade da rede no conjunto de ferramentas de segurança da AWS.

Teste sua compreensão sobre o que os Flow Logs capturam.

VPC Flow Logs registram metadados de conexão (IPs, portas, protocolo, bytes e uma ação ACCEPT/REJECT), mas nunca o conteúdo dos pacotes. Eles são passivos, não afetam o desempenho e podem ser enviados para CloudWatch Logs, S3 ou Kinesis Firehose. Formatos personalizados adicionam campos úteis, o intervalo de agregação pode ser de um minuto e os dados também alimentam o GuardDuty.