VPC 流日志捕获的内容

VPC Flow Logs捕获流入和流出虚拟私有云（VPC）中网络接口的 IP 流量元数据。它们记录连接的相关信息，让安全团队了解谁与谁通信、使用哪些端口，以及流量是被允许还是被阻止。

有一点至关重要：Flow Logs 仅记录连接元数据，绝不会记录实际的数据包内容。您可以看到源 IP 和目标 IP、端口、协议、字节数和数据包数量，以及执行的操作，但看不到数据包内部的数据。若要检查有效载荷，则需要使用VPC 流量镜像。

网络元数据能够揭示攻击者难以隐藏的模式：主机扫描大量端口、表明可能存在数据窃取的大量出站传输，或连接到已知恶意 IP。Flow Logs 提供原始证据，帮助您发现这些情况，并在安全事件期间还原遭入侵实例曾与哪些对象通信。

每条流日志记录都包含 ACCEPT 或 REJECT 操作，反映安全组和网络 ACL 是否允许该流量。监控 REJECT 可以发现被阻止的连接尝试，有助于识别探测行为。检查 ACCEPT 则可以确认哪些流量确实通过了，这在调查期间尤其重要。

Flow Logs 可以传送到三个目的地：用于告警和 Insights 查询的CloudWatch Logs，用于低成本归档和 Athena 分析的亚马逊 S3，或者用于流式传输到其他系统的亚马逊 Kinesis Data Firehose。具体选择取决于您需要实时告警还是大规模查询。

启用 Flow Logs 是被动操作：它不会影响网络性能或吞吐量，也不会改变流量是否被允许。它只是进行观察。因此，您可以放心地广泛启用它；考试要求您知道它是监控工具，而不是执行控制措施。

根据设计，某些流量会被排除，例如发往亚马逊 DNS 的流量、Windows 许可证激活流量、发往 169.254.169.254 的实例元数据流量，以及 DHCP 流量。了解这些缺口可以避免在调查期间得出错误结论，因为日志中没有这些流量是预期行为，并不表示存在可疑活动。

您可以选择默认格式，也可以选择添加 VPC ID、子网 ID、实例 ID、TCP 标志和流量路径等字段的自定义格式。更丰富的字段会让查询实用得多，使您无需额外查找，就能从一条流量记录直接定位到涉及的具体实例和子网。

Flow Logs 会按照聚合间隔汇总流量，间隔可以是十分钟或一分钟。较短的间隔能更快地发现问题，但会带来更高的日志量和成本。对于安全监控而言，一分钟间隔通常值得采用，因为它可以缩短事件发生与被发现之间的时间差。

Flow Logs 还是GuardDuty在后台使用的数据源，GuardDuty 会分析这些日志来发现威胁，而无需您管理数据管道。您仍然可以启用自己的 Flow Logs，以获取原始证据并执行自定义查询。两者结合后，既能提供托管式检测，也能提供深入调查所需的底层数据。

Flow Logs 可以回答 VPC 中“什么连接了什么”。它是被动的，仅包含元数据，并且可以灵活选择目的地。将它与安全组和 NACL 结合来执行控制，与 GuardDuty 结合来进行检测，与 Athena 结合来进行分析。它是 AWS 安全工具包中网络可见性的基石。

测试您对流日志所捕获内容的理解。

VPC 流日志会记录连接元数据（IP、端口、协议、字节数以及 ACCEPT/REJECT 操作），但绝不会记录数据包负载。它们以被动方式工作，不会影响性能，并且可以传送到 CloudWatch Logs、S3 或 Kinesis Firehose。自定义格式可以添加有用的字段，聚合时间间隔可以设置为一分钟，并且这些数据还会供 GuardDuty 使用。