VPC Akış Günlükleri Neleri Yakalar

VPC Flow Logs, Virtual Private Cloud (VPC) içindeki ağ arayüzlerine giden ve bu arayüzlerden gelen IP trafiği hakkındaki meta verileri yakalar. Bağlantılar hakkında bilgi kaydederek güvenlik ekiplerine kimin kiminle, hangi bağlantı noktalarında konuştuğunu ve trafiğe izin verilip verilmediğini veya trafiğin engellenip engellenmediğini gösterir.

Önemli bir nokta: Flow Logs yalnızca bağlantı meta verilerini kaydeder; gerçek paket içeriklerini asla kaydetmez. Kaynak ve hedef IP'leri, bağlantı noktalarını, protokolü, bayt ve paket sayılarını ve gerçekleştirilen eylemi görürsünüz. Paketlerin içindeki verileri göremezsiniz. Yük incelemesi için bunun yerine VPC Traffic Mirroring gerekir.

Ağ meta verileri, saldırganların kolayca gizleyemeyeceği örüntüleri ortaya çıkarır: çok sayıda bağlantı noktasını tarayan bir ana bilgisayar, veri sızdırmayı düşündüren büyük dışa aktarımlar veya bilinen kötü amaçlı IP'lere yapılan bağlantılar. Flow Logs, bunları fark etmek ve bir olay sırasında güvenliği ihlal edilmiş bir bulut sunucusunun kiminle iletişim kurduğunu yeniden oluşturmak için ham kanıt sağlar.

Her akış günlüğü kaydı, güvenlik grupları ile ağ ACL'lerinin trafiğe izin verip vermediğini gösteren ACCEPT veya REJECT değerinde bir eylem içerir. REJECT kayıtlarını izlemek, engellenen bağlantı girişimlerini ortaya çıkarır ve yoklama faaliyetlerini belirlemede yararlıdır. ACCEPT kayıtlarını incelemek, gerçekte hangi trafiğin geçtiğini doğrular; bu da özellikle bir inceleme sırasında önemlidir.

Flow Logs üç hedefe teslim edilebilir: uyarılar ve Insights sorguları için CloudWatch Logs, düşük maliyetli arşivleme ve Athena analizi için Amazon S3 veya diğer sistemlere akış sağlamak için Amazon Kinesis Data Firehose. Seçtiğiniz hedef, gerçek zamanlı uyarıya mı yoksa büyük ölçekli sorgulamaya mı ihtiyaç duyduğunuza bağlıdır.

Flow Logs'u etkinleştirmek pasif bir işlemdir: ağ performansı veya aktarım hızı üzerinde hiçbir etkisi yoktur ve trafiğe izin verilip verilmeyeceğini değiştirmez. Bu yalnızca gözlem sağlar. Bu nedenle geniş kapsamda güvenle etkinleştirilebilir; sınavda bunun bir yaptırım denetimi değil, izleme aracı olduğunu bilmeniz beklenir.

Amazon DNS'e giden trafik, Windows lisans etkinleştirmesi, 169.254.169.254 adresindeki bulut sunucusu meta verileri ve DHCP gibi bazı trafik türleri tasarım gereği hariç tutulur. Bu boşlukları bilmek, inceleme sırasında yanlış sonuçlara varmanızı önler; çünkü bunların günlüklerde bulunmaması şüpheli değil, beklenen bir durumdur.

Varsayılan biçimi veya VPC ID'si, alt ağ ID'si, bulut sunucusu ID'si, TCP bayrakları ve trafik yolu gibi alanlar ekleyen bir özel biçimi seçebilirsiniz. Daha zengin alanlar sorguları çok daha kullanışlı hâle getirir; böylece ek aramalar yapmadan bir akıştan doğrudan ilgili kesin bulut sunucusuna ve alt ağa geçebilirsiniz.

Flow Logs trafiği, on dakika veya bir dakika olabilen bir toplama aralığı boyunca toplar. Daha kısa aralık, daha yüksek günlük hacmi ve maliyet karşılığında tespit için daha hızlı görünürlük sağlar. Güvenlik izlemede bir dakikalık aralık, bir olay ile olayı görmeniz arasındaki boşluğu azaltmak için çoğu zaman buna değer.

Flow Logs, tehditleri siz veri hattını yönetmeden analiz eden GuardDuty için arka plandaki bir veri kaynağı olarak da kullanılır. Ham kanıt ve özel sorgular için kendi Flow Logs'unuzu yine etkinleştirebilirsiniz. Birlikte hem yönetilen tespit hem de derinlemesine inceleme için temel verileri sağlarlar.

Flow Logs, VPC'niz genelinde "ne kime bağlandı" sorusunu yanıtlar. Pasiftir, yalnızca meta veri içerir ve hedef seçimi açısından esnektir. Yaptırım için güvenlik grupları ve NACL'ler, tespit için GuardDuty ve analiz için Athena ile birlikte kullanın. AWS güvenlik araç setinde ağ görünürlüğünün temel unsurlarından biridir.

Flow Logs'un neleri yakaladığını anlayıp anlamadığınızı test edin.

VPC Flow Logs, bağlantı üst verilerini (IP'ler, bağlantı noktaları, protokol, bayt ve bir ACCEPT/REJECT eylemi) kaydeder; ancak paket yüklerini hiçbir zaman kaydetmez. Pasif çalıştıkları için performansı etkilemezler ve verileri CloudWatch Logs, S3 veya Kinesis Firehose'a gönderebilirler. Özel biçimler yararlı alanlar ekler, toplama aralığı bir dakika olabilir ve veriler ayrıca GuardDuty'ye aktarılır.