VPC, Alt Ağ ve ENI Düzeylerinde Akış Günlükleri

Flow Logs'u üç düzeyde etkinleştirebilirsiniz: tüm VPC, tek bir subnet veya bir elastic network interface (ENI). Seçtiğiniz düzey, ne kadar trafiğin yakalanacağını ve görünürlüğün nereye odaklanacağını belirler. Doğru kapsamı seçmek, kapsama alanı ile veri hacmini ve maliyeti dengeler.

VPC düzeyindeki bir akış günlüğü, bu VPC'nin tüm alt ağlarındaki her ağ arayüzünün trafiğini, sonradan oluşturulan arayüzler de dahil olmak üzere yakalar. Tek bir yapılandırma tüm VPC'yi kapsadığı için bu, en geniş kapsam ve yönetimi en kolay seçenektir. Kapsamlı güvenlik izleme için genellikle bu seçenek tercih edilir.

Subnet düzeyindeki bir akış günlüğü, tek bir subnet içindeki tüm arayüzleri yakalar. Tüm VPC'yi günlüğe kaydetmeden veritabanı subnet'i gibi hassas bir katman hakkında daha fazla ayrıntı istediğinizde bu yöntem yararlıdır. Ağın bu bölümü için tam görünürlüğü korurken veri hacmini azaltır.

ENI düzeyindeki bir akış günlüğü tek bir ağ arayüzünü hedefler ve yalnızca o kaynağın trafiğini yakalar. Bu, en odaklı kapsamdır; belirli ve yüksek değerli bir örneği derinlemesine izlemek veya tek bir iş yükünün bağlantılarını yalıtmak istediğiniz incelemeler için idealdir.

Düzeyler birbirinin üzerine yazmaz; birlikte var olurlar. VPC düzeyindeki bir günlüğe ait yeni arayüzler ortaya çıktıkça otomatik olarak kapsama alınır. Hem geniş kapsamı hem de tek bir alanda odaklanmış özel biçimi istiyorsanız, VPC günlüğüne daha ayrıntılı bir subnet veya ENI günlüğü ekleyebilirsiniz.

Tam güvenlik görünürlüğü için VPC düzeyindeki günlük en güvenli varsayılandır; çünkü kurulumdan sonra oluşturulanlar da dahil olmak üzere hiçbir arayüzü izleme dışında bırakmaz. Subnet ve ENI kapsamları, geniş kapsama alanının yerine geçen seçenekler değil, ek odaklanma araçlarıdır. Amaç "tüm trafiği izlemek" olduğunda sınav VPC düzeyini tercih eder.

Flow Log hacmi maliyeti ve depolama gereksinimini belirler. Yalnızca yoğun veya hassas tek bir katmanı görmek istiyorsanız, subnet veya ENI günlüğü tüm VPC'yi günlüğe kaydetmeye kıyasla çok daha az veri yakalar. Bütçe veya günlük hacmi kısıt olduğunda, başvurulacak çözüm kapsamı daraltmaktır.

Her akış günlüğünün kendine ait bir hedefi ve biçimi olabilir. VPC düzeyindeki günlüğü arşivleme amacıyla varsayılan biçimde S3'e gönderirken, veritabanı katmanındaki subnet düzeyindeki günlüğü zengin bir özel biçimle gerçek zamanlı uyarılar için CloudWatch'a aktarabilirsiniz. Kapsamları birlikte kullanmak, görünürlüğü tam ihtiyaçlarınıza göre uyarlamanızı sağlar.

Birden çok hesaplı bir yapıda Flow Logs'u tüm kuruluş için tek seferde etkinleştiremezsiniz; ancak Flow Logs eksik olan VPC'leri işaretleyen AWS Config kuralları veya Control Tower korumaları ile bunların kullanımını zorunlu kılabilirsiniz. Böylece her hesabın görünürlük temel gereksinimini karşılaması sağlanır ve her ekibin bunu hatırlamasına güvenmek gerekmez.

CloudWatch Logs'a yayımlamak için Flow Logs, günlük grubuna yazma izni veren bir IAM rolüne ihtiyaç duyar. S3'e yayımlamak için bucket ilkesi, Flow Logs teslimat hizmetinin yazmasına izin vermelidir. Eksik bir rol teslimatı sessizce bozabildiğinden, bu izinleri doğru ayarlamak yaygın bir kurulum tuzağını önler.

İyi bir yaklaşım, ucuz ve eksiksiz arşivleme için S3'e gönderilen VPC düzeyinde bir günlük ile en çok önem verdiğiniz katmanlar için CloudWatch'a gönderilen hedefli subnet veya ENI günlüklerini birlikte kullanmaktır. Böylece hem eksiksiz bir geçmiş kaydına hem de kritik noktalarda hızlı uyarılara sahip olur, aynı zamanda büyük veri hacminin maliyetini kontrol edersiniz.

Flow Log kapsamını ne kadar kavradığınızı test edin.

Flow Logs'un kapsamı bir VPC, bir subnet veya tek bir ENI olacak şekilde belirlenebilir ve bu kapsamlar birlikte var olabilir. VPC düzeyi, gelecekte oluşturulacak arayüzler de dahil olmak üzere eksiksiz kapsama sağlar ve tam görünürlük için varsayılan tercihtir; subnet ve ENI kapsamları veri hacmini azaltır ve hassas katmanlara odaklanır. Her günlüğün kendi hedefi ve biçimi vardır; teslimat için uygun IAM/bucket izinleri gerekir.