Журналы потоков на уровнях VPC, подсети и ENI

Вы можете включить журналы потоков на трёх уровнях: для всего VPC, одной подсети или одного эластичного сетевого интерфейса (ENI). Выбранный уровень определяет, какой объём трафика будет собираться и на чём сосредоточится наблюдение. Правильный выбор области действия помогает сбалансировать охват, объём данных и стоимость.

Журнал потоков на уровне VPC собирает трафик каждого сетевого интерфейса во всех подсетях этого VPC, включая интерфейсы, созданные позднее. Это наиболее широкий охват и самый простой вариант управления: одна конфигурация распространяется на весь VPC. Обычно этот вариант выбирают для комплексного мониторинга безопасности.

Журнал потоков на уровне подсети собирает данные всех интерфейсов внутри одной подсети. Это удобно, если Вам нужны дополнительные сведения о важном сегменте, например о подсети базы данных, без включения журналирования для всего VPC. Объём данных уменьшается, но полная видимость этого сегмента сети сохраняется.

Журнал потоков на уровне ENI предназначен для одного сетевого интерфейса и собирает только трафик этого ресурса. Это наиболее узкая область действия, подходящая для подробного мониторинга конкретного важного экземпляра или расследования, в котором нужно изолировать соединения одной рабочей нагрузки.

Уровни не заменяют друг друга, а сосуществуют. Новые интерфейсы в журнале уровня VPC автоматически включаются по мере их появления. При необходимости Вы можете наложить более подробный журнал подсети или ENI на журнал VPC, чтобы одновременно получить широкий охват и сфокусированный пользовательский формат для одной области.

Для полной видимости с точки зрения безопасности наиболее надёжным вариантом по умолчанию является журнал уровня VPC: он не оставляет без мониторинга ни один интерфейс, включая созданные после настройки. Области действия подсети и ENI дополняют общий охват, а не заменяют его. На экзамене следует выбирать уровень VPC, если цель — «мониторить весь трафик».

Объём журналов потоков влияет на стоимость и требования к хранилищу. Если Вам нужна видимость только одного загруженного или важного сегмента, журнал подсети или ENI соберёт значительно меньше данных, чем журналирование всего VPC. Если ограничением являются бюджет или объём журналов, сузьте область действия.

У каждого журнала потоков могут быть собственные назначение и формат. Например, журнал уровня VPC в формате по умолчанию можно отправлять в S3 для архивирования, а для подсети баз данных использовать расширенный пользовательский формат с передачей в CloudWatch для оповещений в реальном времени. Сочетание разных областей действия позволяет точно настроить наблюдение.

В конфигурации с несколькими аккаунтами нельзя включить журналы потоков сразу для всей организации, но можно принудительно обеспечить их наличие с помощью правил AWS Config или защитных механизмов Control Tower, которые отмечают VPC без журналов потоков. Это гарантирует соблюдение базового уровня видимости в каждом аккаунте и не требует полагаться на память отдельных команд.

Для публикации в журналы CloudWatch журналам потоков нужна роль IAM с разрешением на запись в группу журналов. Для публикации в S3 политика корзины должна разрешать службе доставки журналов потоков выполнять запись. Правильная настройка этих разрешений часто вызывает проблемы: отсутствие роли незаметно нарушает доставку данных.

Хороший подход — использовать журнал уровня VPC в S3 для дешёвого и полного архивирования, а для наиболее важных сегментов направлять целевые журналы подсетей или ENI в CloudWatch. Так Вы получаете и полную историческую запись, и быстрые оповещения там, где это особенно важно, одновременно контролируя стоимость хранения основного объёма данных.

Проверьте, насколько хорошо Вы понимаете область действия журналов потоков.

Область действия журналов потоков можно определить для VPC, подсети или одного ENI; эти области действия сосуществуют. Уровень VPC обеспечивает полный охват, включая будущие интерфейсы, и используется по умолчанию для полной видимости; области действия подсети и ENI уменьшают объём данных и позволяют сосредоточиться на важных сегментах. Для каждого журнала отдельно задаются назначение и формат, а для доставки необходимы корректные разрешения IAM и разрешения для корзины.