Что фиксируют журналы потоков VPC

Журналы потоков VPC собирают метаданные об IP-трафике, проходящем к сетевым интерфейсам и от них в вашей виртуальной частной сети (VPC). Они записывают сведения о соединениях, позволяя командам безопасности видеть, кто с кем взаимодействовал, через какие порты и был ли трафик разрешён или заблокирован.

Важно понимать: журналы потоков записывают только метаданные соединений, но никогда не содержимое самих пакетов. Вы видите исходные и конечные IP-адреса, порты, протокол, количество байтов и пакетов, а также выполненное действие. Данные внутри пакетов недоступны. Для проверки содержимого используйте вместо этого зеркалирование трафика VPC.

Сетевые метаданные показывают закономерности, которые злоумышленникам трудно скрыть: узел, сканирующий множество портов, крупные исходящие передачи, указывающие на утечку данных, или соединения с известными вредоносными IP-адресами. Журналы потоков предоставляют исходные сведения для обнаружения таких действий и восстановления картины того, с кем взаимодействовал скомпрометированный экземпляр во время инцидента.

Каждая запись журнала потоков содержит действие ACCEPT или REJECT, отражающее, разрешили ли трафик группы безопасности и сетевые ACL. Отслеживание REJECT показывает попытки заблокированных соединений и помогает обнаружить разведывательное сканирование. Проверка ACCEPT подтверждает, что действительно прошло через защиту, что особенно важно во время расследования.

Журналы потоков можно доставлять в три места: журналы CloudWatch для оповещений и запросов Insights, Amazon S3 для недорогого архивирования и анализа в Athena или Amazon Kinesis Data Firehose для потоковой передачи в другие системы. Выбор назначения зависит от того, нужны ли вам оповещения в реальном времени или запросы к большим объёмам данных.

Включение журналов потоков носит пассивный характер: оно не влияет на производительность сети или пропускную способность и не меняет решение о разрешении трафика. Это исключительно наблюдение. Поэтому журналы безопасно включать в широком масштабе; на экзамене важно понимать, что это средство мониторинга, а не средство принудительного контроля.

Некоторые виды трафика намеренно исключаются, например трафик к Amazon DNS, активация лицензии Windows, метаданные экземпляра по адресу 169.254.169.254 и DHCP. Знание этих пробелов помогает не делать ошибочных выводов во время расследования: отсутствие таких записей ожидаемо, а не подозрительно.

Можно выбрать формат по умолчанию или пользовательский формат, добавляющий такие поля, как ID VPC, ID подсети, ID экземпляра, флаги TCP и путь трафика. Более подробные поля делают запросы значительно полезнее: можно сразу перейти от потока к конкретному экземпляру и подсети без дополнительных обращений.

Журналы потоков агрегируют трафик за интервал агрегации — десять минут или одну минуту. Более короткий интервал обеспечивает более быстрое обнаружение, но увеличивает объём журналов и стоимость. Для мониторинга безопасности одноминутный интервал часто оправдан, поскольку сокращает промежуток между событием и его обнаружением.

Журналы потоков также служат скрытым источником данных для GuardDuty, который анализирует их на наличие угроз без необходимости самостоятельно управлять конвейером данных. Вы всё равно можете включить собственные журналы потоков для получения исходных свидетельств и выполнения пользовательских запросов. Вместе они обеспечивают и управляемое обнаружение, и исходные данные для подробного расследования.

Журналы потоков отвечают на вопрос "что с чем соединялось" в вашей VPC. Они пассивны, содержат только метаданные и допускают гибкий выбор назначения. Сочетайте их с группами безопасности и NACL для принудительного контроля, GuardDuty для обнаружения и Athena для анализа. Это один из ключевых элементов видимости сети в наборе средств безопасности AWS.

Проверьте, насколько хорошо Вы понимаете, какие данные собирают журналы потоков.

Журналы потоков VPC записывают метаданные соединений (IP-адреса, порты, протокол, количество байтов и действие ACCEPT/REJECT), но никогда не записывают содержимое пакетов. Они работают пассивно, не влияя на производительность, и могут передавать данные в журналы CloudWatch, S3 или Kinesis Firehose. Пользовательские форматы добавляют полезные поля, интервал агрегации может составлять одну минуту, а данные также передаются в GuardDuty.