Akış Günlüğü Kayıtlarını ve Alanlarını Okuma

Bir akış günlüğü kaydı, toplama aralığı boyunca tek bir bağlantının trafiğini açıklayan tek bir satırdır. Varsayılan biçim, boşluklarla ayrılmış alanlardan oluşan sabit bir dizidir. Bu satırı hızlı okumayı öğrenmek, AWS üzerindeki her ağ incelemesi için temel bir beceridir.

Bir kaydın özünü beşli oluşturur: kaynak adresi, hedef adresi, kaynak bağlantı noktası, hedef bağlantı noktası ve protokol numarası. Bu bilgiler bir iletişimi benzersiz biçimde tanımlar. 6 numaralı protokol TCP, 17 numaralı protokol ise UDP'dir. Bu alanlar birlikte, hangi uç noktaların hangi hizmet üzerinden iletişim kurduğunu tam olarak gösterir.

srcaddr ve dstaddr alanları, ilgili IP adreslerini gösterir. Bir örnekten çıkan trafikte srcaddr örneğin kendisidir; gelen trafikte ise uzak eş olur. Yönü doğru okumak çok önemlidir: kaynakla hedefi karıştırmak, bir olay hakkındaki tüm yorumunuzu tersine çevirebilir.

dstport genellikle hizmeti gösterir: 443 HTTPS, 22 SSH, 3389 RDP, 3306 MySQL'dir. Botnet'ler tarafından sık kullanılan, dışarıya doğru 6667 (IRC) gibi beklenmeyen hedef bağlantı noktaları ciddi uyarı işaretleridir. srcport ise genellikle istemci tarafından seçilen geçici, yüksek numaralı bir bağlantı noktasıdır.

bytes ve packets alanları, aralık boyunca aktarılan verileri sayar. Küçük bir isteğe çok büyük miktarda dışarı giden baytla yanıt verilmesi, veri sızdırma belirtisi olabilir. Bu hacimleri zaman içinde izlemek, normal iletişim trafiğini aniden bilinmeyen bir adrese gigabaytlarca veri gönderen bir ana bilgisayardan ayırt etmenize yardımcı olur.

action alanı ACCEPT veya REJECT değerini alır. REJECT, bir güvenlik grubunun veya NACL'nin akışı engellediği anlamına gelir. Tek bir kaynaktan birçok bağlantı noktasına gelen çok sayıda REJECT, taramaya işaret eder. Önemli bir nokta şudur: güvenlik grupları durum bilgili olduğundan, buradaki bir REJECT genellikle bir NACL kuralını yansıtır ve hangi denetimin işlem yaptığını bulmanıza yardımcı olur.

Son alan olan log-status, OK, NODATA veya SKIPDATA değerlerinden biridir. NODATA, aralıkta hiç trafik olmadığını; SKIPDATA ise kapasite nedeniyle bazı kayıtların atlandığını belirtir. SKIPDATA, görünürlüğünüzde bir boşluk oluştuğuna dair bir uyarıdır. İncelemeyi eksiksiz verilere dayandırdığınızda bu durum önem kazanır.

Her kayıt, her paket için değil, toplama penceresi için Unix dönem saniyeleri cinsinden bir start ve end zamanı taşır. Flow Logs'u CloudTrail veya uygulama günlükleriyle ilişkilendirirken, bu zamanların aralık sınırlarını belirttiğini unutmayın; dolayısıyla bir olay bu pencerenin herhangi bir anında gerçekleşmiş olabilir.

Bir özel biçim, instance-id, vpc-id, subnet-id, tcp-flags ve flow-direction gibi yüksek değer taşıyan alanlar ekleyebilir. pkt-srcaddr ve pkt-dstaddr alanları, NAT arkasındaki özgün adresleri gösterir; temel srcaddr/dstaddr alanları bunları gizleyebilir. Bu ek bilgiler, incelemeleri önemli ölçüde hızlandırır.

Bir satırı yorumlamak için önce beşliyi, ardından eylemi ve bayt sayılarını belirleyin; sonra hedef bağlantı noktasını bir hizmetle eşleştirin. Yönün, hacmin ve eşin o örneğin rolü için mantıklı olup olmadığını sorgulayın. Bu düzenli okuma yöntemi, anlaşılması güç bir günlük satırını ne olduğunu açıkça anlatan bir ifadeye dönüştürür.

Pratik yaptıkça anormallikleri anında fark edersiniz: bilinmeyen bir internet IP'sinden gelen SSH bağlantısı, yeni bir bölgeye gönderilen büyük miktarda dış trafik veya bir alt ağı tarayan tekrarlı REJECT'ler. Alanlar hiç değişmediği için gereken beceri, örüntüleri tanımaktır. Bu akıcılık, sınavın ağ görünürlüğü senaryolarında tam olarak ölçtüğü beceridir.

Akış günlüğü kayıtlarını okuma becerinizi test edin.

Bir akış günlüğü kaydı, beşli (kaynak/hedef adresi, kaynak/hedef bağlantı noktası, protokol) ile birlikte bytes, packets, bir ACCEPT/REJECT eylemi ve OK, NODATA veya SKIPDATA değerlerinden oluşan bir log-status alanı etrafında şekillenir. Hedef bağlantı noktaları hizmetleri ortaya çıkarır, bayt sayıları veri sızdırma şüphesi uyandırabilir ve özel biçimler instance-id ile tcp-flags gibi alanlar ekler. Önce beşliyi okumak, hızlı bir inceleme sezgisi geliştirmenizi sağlar.