Чтение записей и полей журналов потоков

Запись журнала потоков — это одна строка, описывающая трафик одного соединения за интервал агрегации. Формат по умолчанию представляет собой фиксированную последовательность полей, разделённых пробелами. Умение быстро читать эту строку — ключевой навык при любом расследовании сетевых событий в AWS.

Основа записи — пятиэлементный набор: адрес источника, адрес назначения, порт источника, порт назначения и номер протокола. Он однозначно определяет соединение. Протокол 6 — это TCP, а 17 — UDP. Вместе эти поля точно показывают, какие конечные точки обменивались данными и через какую службу.

Поля srcaddr и dstaddr показывают задействованные IP-адреса. Для трафика, исходящего от экземпляра, srcaddr — это адрес экземпляра; для входящего трафика — адрес удалённого узла. Правильно определить направление крайне важно: если перепутать источник и назначение, можно полностью неверно понять событие.

Поле dstport обычно указывает на службу: 443 — HTTPS, 22 — SSH, 3389 — RDP, 3306 — MySQL. Неожиданные порты назначения, например исходящий порт 6667 (IRC), который часто используют ботнеты, — тревожный признак. Поле srcport обычно содержит эфемерный порт с большим номером, выбранный клиентом.

Поля bytes и packets подсчитывают объём переданных данных за интервал. Небольшой запрос в сочетании с огромным объёмом исходящих байтов может указывать на утечку данных. Отслеживание этих объёмов во времени помогает отличить обычный обмен данными от ситуации, когда узел внезапно отправляет гигабайты на незнакомый адрес.

Поле action содержит значение ACCEPT или REJECT. Значение REJECT означает, что группа безопасности или NACL заблокировала поток. Много значений REJECT от одного источника к множеству портов указывает на сканирование. Важно, что группы безопасности работают с отслеживанием состояния, поэтому REJECT на этом уровне обычно отражает правило NACL и помогает определить, какой именно механизм управления сработал.

Последнее поле, log-status, содержит значение OK, NODATA или SKIPDATA. NODATA означает, что за интервал трафика не было, а SKIPDATA — что из-за нехватки ресурсов некоторые записи были пропущены. SKIPDATA предупреждает о пробеле в наблюдении, что важно, если для расследования Вам нужна полная картина.

Каждая запись содержит время start и end в секундах эпохи Unix для окна агрегации, а не для каждого пакета. Сопоставляя журналы потоков с CloudTrail или журналами приложений, помните, что эти значения обозначают границы интервала: событие могло произойти в любой момент внутри этого окна.

Пользовательский формат может добавлять важные поля, такие как instance-id, vpc-id, subnet-id, tcp-flags и flow-direction. Поля pkt-srcaddr и pkt-dstaddr показывают исходные адреса за NAT, которые базовые поля srcaddr/dstaddr могут скрывать. Эти дополнительные данные значительно ускоряют расследования.

Чтобы интерпретировать строку, сначала определите пятиэлементный набор, затем действие и объёмы байтов, после чего сопоставьте порт назначения со службой. Подумайте, соответствуют ли направление, объём и удалённый узел роли данного экземпляра. Такой последовательный анализ превращает загадочную строку журнала в понятное описание произошедшего.

С практикой Вы начнёте мгновенно замечать аномалии: SSH с неизвестного IP-адреса в Интернете, большие исходящие передачи в новый регион или повторяющиеся REJECT при сканировании подсети. Поля всегда неизменны, поэтому навык заключается в распознавании закономерностей. Именно эту беглость проверяет экзамен в сценариях, связанных с сетевой видимостью.

Проверьте, умеете ли Вы читать записи журналов потоков.

Запись журнала потоков строится вокруг пятиэлементного набора (адрес источника и назначения, порт источника и назначения, протокол), а также содержит bytes, packets, действие ACCEPT/REJECT и log-status со значением OK, NODATA или SKIPDATA. Порты назначения раскрывают службы, количество байтов может указывать на утечку данных, а пользовательские форматы добавляют такие поля, как instance-id и tcp-flags. Если сначала читать пятиэлементный набор, быстрее формируется интуиция, необходимая для расследований.