Elastic Compute Service:Enable VPC flow logs for traffic analysis

Fonctionnement des journaux de flux

Le service de journaux de flux collecte le trafic provenant des VPC, des vSwitch et des ENI, puis le stocke dans SLS.

Chaque enregistrement regroupe une session réseau au sein d'une fenêtre de capture. Une session est identifiée par son quintuplet : adresse IP source, adresse IP de destination, port source, port de destination et protocole. Chaque enregistrement inclut :

• Durée et volume : durée de la session et quantité de données transférées.

• Sens du trafic : entrant ou sortant par rapport à l'interface réseau.

• ID de l'élément réseau : ENI, vSwitch ou VPC associé à la session.

Cas d'utilisation

• Surveillance du trafic : identifiez les modèles de trafic et la manière dont les applications communiquent sur votre réseau.

• Dépannage : diagnostiquez les problèmes de connectivité, les pertes de paquets et les goulots d'étranglement en matière de performances à l'aide des données au niveau des flux.

• Audit de sécurité : conservez des traces vérifiables de l'activité réseau et détectez les accès non autorisés en examinant le trafic rejeté.

• Détection des menaces : repérez les pics de trafic inhabituels, les analyses de ports ou les connexions vers des adresses IP suspectes.

Prérequis

Assurez-vous que les conditions suivantes sont remplies :

• Un VPC disposant d'au moins un vSwitch et d'une ENI (par exemple, une instance ECS).

• Vous disposez des permissions RAM nécessaires pour gérer les journaux de flux VPC et SLS.

Autoriser le service de journaux de flux

Effectuez les étapes suivantes lors de votre première utilisation des journaux de flux :

1. Accédez à la page Flow Log.

2. Cliquez sur Create Now, puis cliquez sur Authorize. Cette action crée un rôle RAM AliyunVPCLogArchiveRole et une stratégie RAM AliyunVPCLogArchiveRolePolicy, qui accordent au service VPC un accès en écriture à votre Logstore SLS.

3. Sur la page Flow Log, cliquez sur Activate Now, puis cliquez sur Enable Now.

   Si vous avez créé des instances de journal de flux pendant la préversion publique, cliquez sur Activate Now pour les afficher et les gérer.

4. Accédez à la console Simple Log Service et activez SLS si ce n'est pas déjà fait.

Créer un journal de flux

1. Accédez à la page Flow Logs dans la console VPC.

2. Cliquez sur Create a flow log.

3. Dans la section Collection Configuration, configurez les paramètres suivants :

   Lorsque plusieurs instances de journal de flux capturent le trafic de la même carte réseau, l'intervalle d'échantillonnage le plus court parmi toutes les instances est utilisé.

   Parameter	Description
   Flow Log Name	Nom du journal de flux.
   Region	Région de la ressource cible.
   Resource Types et Resource Instance	Sélectionnez ENIs, vSwitch ou VPC. La sélection d'un VPC ou d'un vSwitch permet de surveiller toutes les ENI qu'il contient.
   Data Transfer Type	Trafic à capturer : autorisé, refusé ou les deux. Les contrôles d'accès incluent les groupes de sécurité et les listes de contrôle d'accès réseau (ACL).
   IP Version	Sélectionnez IPv4 pour le trafic IPv4 uniquement, ou Dual-stack pour les trafics IPv4 et IPv6. IPv6 est pris en charge dans les régions suivantes : Chine (Hangzhou), Chine (Shanghai), Chine (Qingdao), Chine (Beijing), Chine (Hohhot), Chine (Shenzhen), Singapour, États-Unis (Silicon Valley) et États-Unis (Virginie).
   Sampling Interval (Minutes)	Fenêtre de capture : 1, 5 ou 10 minutes. Un intervalle plus court génère des entrées plus fréquentes pour une détection plus rapide des problèmes, mais produit davantage de données. Par exemple, une connexion TCP persistante génère 60 entrées par heure avec un intervalle de 1 minute, contre 6 entrées par heure avec un intervalle de 10 minutes.
   Sampling Path	Éléments réseau à partir desquels capturer le trafic. Désélectionnez d'abord All Scenarios, puis choisissez parmi les options suivantes : passerelle IPv4, NAT Gateway, VPN Gateway, Transit Router (TR), point de terminaison de passerelle, routeur de bordure virtuelle (VBR), Express Connect Router (ECR) et Gateway Load Balancer (GWLB). La restriction du chemin de capture réduit le volume des journaux et les coûts.

4. Dans la section Analysis and Delivery, sélectionnez au moins une destination :

   • Deliver to Log Service : sélectionnez un projet et un Logstore. Pour votre premier journal de flux, cliquez sur Create Project et Create Logstore afin d'isoler les données des journaux de flux. Pour centraliser l'analyse de plusieurs journaux de flux, sélectionnez le même Logstore.

   • Enable Log Analysis Report : crée automatiquement un index et crée un tableau de bord dans votre Logstore pour les requêtes SQL et l'analyse visuelle des journaux de flux. La facturation SLS s'applique.

   • Enable NIS Traffic Analysis : non disponible pour le moment.

5. Cliquez sur OK.

Après la création, le système commence automatiquement à collecter le trafic.

Analyser les journaux de flux

Références

• Créer un journal de flux

• Créer des index dans SLS

• Présentation des tableaux de bord

• Facturation SLS

• Interroger et analyser les journaux