Flow Logs nos Níveis de VPC, Sub-rede e ENI

Você pode habilitar Flow Logs em três níveis: toda a VPC, uma única sub-rede ou uma interface de rede elástica (ENI). O nível escolhido determina quanto tráfego será capturado e onde a visibilidade se concentrará. Escolher o escopo correto equilibra cobertura, volume e custo.

Um registro de fluxo no nível da VPC captura o tráfego de todas as interfaces de rede em todas as sub-redes dessa VPC, incluindo interfaces criadas posteriormente. Essa é a cobertura mais ampla e a mais simples de gerenciar, pois uma única configuração abrange toda a VPC. É a escolha habitual para um monitoramento de segurança abrangente.

Um registro de fluxo no nível da sub-rede captura todas as interfaces dentro de uma sub-rede. Isso é útil quando você quer mais detalhes sobre uma camada sensível, como uma sub-rede de banco de dados, sem registrar toda a VPC. O volume diminui, mantendo a visibilidade completa desse segmento da rede.

Um registro de fluxo no nível da ENI tem como alvo uma única interface de rede, capturando apenas o tráfego desse recurso. Esse é o escopo mais concentrado, ideal para o monitoramento detalhado de uma instância específica e importante ou para uma investigação em que você queira isolar as conexões de uma única carga de trabalho.

Os níveis não substituem uns aos outros; eles coexistem. Novas interfaces em um registro no nível da VPC são incluídas automaticamente à medida que aparecem. Você pode adicionar um registro mais detalhado de sub-rede ou ENI a um registro da VPC se quiser combinar uma cobertura ampla com um formato personalizado e focado em uma área.

Para obter visibilidade completa da segurança, um registro no nível da VPC é a opção padrão mais segura, pois não deixa nenhuma interface sem monitoramento, mesmo as criadas depois da configuração. Os escopos de sub-rede e ENI são ferramentas adicionais para aumentar o foco, não substitutos da cobertura ampla. O exame favorece o nível da VPC quando o objetivo é “monitorar todo o tráfego”.

O volume dos Flow Logs determina o custo e o armazenamento. Se você precisa de visibilidade apenas de uma camada muito ativa ou sensível, um registro de sub-rede ou ENI captura muito menos dados do que registrar toda a VPC. Quando o orçamento ou o volume dos registros é a limitação, reduzir o escopo é a medida a tomar.

Cada registro de fluxo pode ter seu próprio destino e formato. Você pode enviar um registro no nível da VPC, no formato padrão, para o S3 para fins de arquivamento, enquanto um registro no nível da sub-rede da camada de banco de dados usa um formato personalizado detalhado transmitido ao CloudWatch para alertas em tempo real. Combinar escopos permite adaptar a visibilidade com precisão.

Em uma configuração com várias contas, você não pode habilitar Flow Logs uma única vez para toda a organização, mas pode impô-los com regras do AWS Config ou barreiras de proteção do Control Tower que sinalizem qualquer VPC sem Flow Logs. Isso garante que todas as contas atendam ao nível básico de visibilidade, em vez de depender da lembrança de cada equipe.

Para publicar no CloudWatch Logs, os Flow Logs precisam de uma função do IAM que conceda permissão para gravar no grupo de registros. Para publicar no S3, a política do bucket deve permitir que o serviço de entrega do Flow Logs grave os dados. Configurar essas permissões corretamente é uma armadilha comum, pois a ausência da função interrompe a entrega silenciosamente.

Um padrão sólido é usar um registro no nível da VPC para o S3, garantindo um arquivamento completo e barato, além de registros direcionados de sub-rede ou ENI para o CloudWatch nas camadas mais importantes. Assim, você obtém tanto um histórico completo quanto alertas rápidos onde eles mais importam, controlando o custo do grande volume de dados.

Teste sua compreensão sobre o escopo dos Flow Logs.

O escopo dos Flow Logs pode ser uma VPC, uma sub-rede ou uma única ENI, e esses escopos coexistem. O nível da VPC oferece cobertura completa, incluindo interfaces futuras, e é o padrão para visibilidade total; os escopos de sub-rede e ENI reduzem o volume e concentram-se em camadas sensíveis. Cada registro tem seu próprio destino e formato, e são necessárias permissões adequadas do IAM e do bucket para a entrega.