Aktifkan log aliran VPC untuk menganalisis dan mengaudit lalu lintas jaringan - Elastic Compute Service

Anda dapat mengaktifkan log aliran VPC untuk mengumpulkan lalu lintas dari VPC, vSwitch, dan Elastic Network Interface (ENI), yang kemudian disimpan di Simple Log Service (SLS) sebagai log aliran.

Risiko keamanan

Log aliran VPC mencatat seluruh lalu lintas IP yang masuk dan keluar dari VPC Anda. Manfaat utamanya meliputi:

Pemantauan dan Analisis Lalu Lintas: Pantau pola lalu lintas jaringan serta analisis perilaku komunikasi aplikasi.
Pemecahan Masalah: Identifikasi dengan cepat masalah seperti konektivitas jaringan tidak normal dan bottleneck kinerja.
Keamanan, Audit, dan Kepatuhan: Penuhi persyaratan keamanan data dan kepatuhan dengan menyediakan catatan aktivitas jaringan yang dapat dilacak.
Analisis Serangan Keamanan Jaringan: Analisis potensi serangan keamanan jaringan, seperti lalu lintas tidak biasa atau pemindaian ilegal.

Log aliran VPC mencatat informasi aliran jaringan, termasuk komunikasi antar Instance ECS dalam satu VPC maupun antara VPC dan jaringan eksternal. Setiap catatan log aliran merupakan statistik agregat untuk sesi jaringan tertentu. Sebuah sesi diidentifikasi secara unik oleh 5-tupel: IP sumber, IP tujuan, port sumber, port tujuan, dan protokol. Konten log mencakup metrik utama seperti durasi komunikasi dan volume lalu lintas, serta metadata seperti arah lalu lintas dan ID elemen jaringan.

Praktik terbaik

Aktifkan dan buat log aliran VPC

Aktifkan log aliran VPC
Pertama kali menggunakan fitur log aliran, lengkapi langkah-langkah berikut:
- Di halaman Log Aliran, klik Authorize Now, lalu klik Confirm Authorization untuk menyelesaikan otentikasi keamanan. Operasi ini secara otomatis membuat Peran RAM.
  sebuah peran RAM AliyunVPCLogArchiveRole dan kebijakan RAM AliyunVPCLogArchiveRolePolicy. Secara default, VPC
  Peran dan kebijakan ini memberikan akses ke Simple Log Service dan memastikan bahwa log aliran ditulis ke layanan tersebut.
- Pada halaman log aliran, klik Enable Now. Kemudian, klik Enable Flow Log Service. Jika Anda telah membuat instans log aliran selama masa pratinjau publik, Anda perlu mengklik
  Klik Activate Now untuk melihat dan mengelola instans tersebut lagi.
- Pergi ke Konsol Layanan Log Sederhana dan aktifkan Layanan Log Sederhana.
Buat Log Aliran
Buka halaman Log Aliran di Konsol VPC. Klik Create Flow Log. Pada panel Create Flow Log, konfigurasikan parameter berikut:
- Collection Configuration:
  - Region: Pilih wilayah tempat sumber daya target berada.
  - Resource Type dan Resource Instance: Jenis sumber daya yang tersedia adalah Elastic Network Interface (ENI), vSwitch, dan VPC. Jika Anda memilih VPC atau vSwitch, sistem akan memantau lalu lintas semua ENI dalam sumber daya yang dipilih.
    Setelah selesai, sistem akan memantau lalu lintas pada semua Elastic Network Interface (ENI) di dalamnya.
  - Traffic Type: Pilih lalu lintas yang akan ditangkap. Anda dapat menangkap lalu lintas yang diizinkan atau ditolak oleh kontrol akses. Kontrol akses mencakup grup keamanan dan ACL jaringan.
  - Traffic Collection Version: Anda dapat mengumpulkan lalu lintas hanya untuk IPv4 atau untuk IPv4 dan IPv6 sekaligus (Dual-stack). Wilayah yang saat ini mendukung IPv6 meliputi: Tiongkok (Hangzhou), Tiongkok (Shanghai), Tiongkok (Qingdao), Tiongkok (Beijing), Tiongkok (Hohhot), Tiongkok (Shenzhen), Singapura, AS (Silicon Valley), dan AS (Virginia).
  - Sampling Interval (minutes): Jendela pengambilan untuk mengagregasi informasi lalu lintas. Anda dapat memilih 1 menit, 5 menit, atau 10 menit. Interval yang lebih kecil menghasilkan log yang lebih cepat, sehingga membantu Anda menemukan dan melokalisasi masalah lebih cepat. Interval yang lebih besar kurang cepat tetapi mengurangi jumlah entri log, sehingga menghemat biaya. Misalnya, untuk koneksi TCP persisten, interval 1 menit menghasilkan 60 entri log per jam, sedangkan interval 10 menit hanya menghasilkan 6 entri.
    Menghasilkan log lebih sering membantu Anda menemukan dan melokalisasi masalah dengan lebih cepat. Sebaliknya, jendela yang lebih besar mengurangi jumlah entri log dan menghemat biaya, meskipun responsnya kurang cepat.
    Sebagai contoh, untuk koneksi TCP persisten, jendela 1 menit menghasilkan 60 entri log per jam, sedangkan jendela 10 menit hanya menghasilkan 6 entri per jam.
    Jika beberapa instans log aliran menangkap lalu lintas dari network interface card (NIC) yang sama, sistem menggunakan interval pengambilan sampel terkecil di antara semua instans sebagai interval pengambilan aktual.
  - Sampling Path: Pilih skenario penangkapan tertentu untuk mengurangi biaya. Sebelum memilih skenario, Anda harus terlebih dahulu membatalkan pilihan default All Scenarios. Anda dapat menangkap lalu lintas yang melewati elemen jaringan berikut: gateway IPv4, NAT Gateway, VPN Gateway, Transit Router (TR), titik akhir gateway, virtual border router (VBR), Express Connect Router (ECR), dan Gateway Load Balancer (GWLB).
    Anda dapat menangkap lalu lintas yang melewati elemen jaringan berikut: gateway IPv4, NAT Gateway, VPN Gateway, Transit Router (TR), titik akhir gateway, Virtual Border Router (VBR), Express Connect Router (ECR), dan Gateway Load Balancer (GWLB).
- Analysis And Delivery Configuration: Pilih setidaknya satu tujuan.
  - Deliver To Simple Log Service:
    - Pilih Project dan Logstore: Saat pertama kali membuat log aliran, kami menyarankan Anda mengklik Create Project dan Create Logstore untuk mengisolasi data log aliran dari data lainnya. Untuk mengagregasi beberapa log aliran di satu tempat guna analisis terpusat, pilih Logstore yang sama.
    - Enable Flow Log Analysis And Reporting: Kami menyarankan Anda memilih opsi ini. Fitur ini secara otomatis membuat indeks dan membuat dasbor di Logstore yang sesuai untuk mendukung eksekusi SQL dan analitik visual pada log aliran. Setelah fitur ini diaktifkan, SLS akan menghasilkan tagihan.
  - Enable NIS Traffic Analysis (Belum tersedia).
Klik OK untuk membuat log aliran. Setelah log aliran dibuat, sistem secara otomatis mulai mengumpulkan informasi lalu lintas.

2. Analisis log aliran

Dengan menganalisis log aliran, Anda dapat memantau kinerja jaringan, memecahkan masalah jaringan, mengoptimalkan biaya lalu lintas jaringan, dan melakukan analisis keamanan jaringan.

Analisis kustom: Gunakan Logstore

Buka halaman Log Aliran di Konsol VPC. Di kolom Simple Log Service untuk log aliran target, klik nama instans Logstore untuk menuju halaman detailnya. Di halaman ini, Anda dapat melakukan tindakan berikut:

Lihat Raw Logs untuk melihat detail entri log aliran.
Masukkan pernyataan untuk meminta dan menganalisis log aliran.

Analisis berbasis templat: Gunakan Flowlog Log Center

Flowlog Log Center menyediakan serangkaian templat visualisasi. Templat ini mendukung statistik kebijakan VPC, lalu lintas ENI, dan lalu lintas antar segmen jaringan, yang membantu Anda menganalisis log aliran VPC dengan cepat.

Pergi ke halaman Pusat Log Flowlog dan klik Add di pojok kanan atas.
Pada panel Create Instance, masukkan Instance Name. Pilih Project dan Logstore yang sesuai dengan log aliran yang sudah ada. Lalu, klik OK.
Setelah instans dibuat, klik ID instans di Flowlog Log Center List. Di halaman Flowlog Details, Anda dapat melihat dan menganalisis informasi log aliran.
Monitoring Center menyediakan dasbor berikut dan fitur kueri kustom:
- Overview: Menampilkan tren terima dan tolak untuk log aliran, tren lalu lintas arah masuk dan keluar, jumlah total paket dan byte untuk setiap VPC dan ENI, serta distribusi geografis alamat IP sumber dan tujuan.
  jumlah total paket dan byte untuk setiap ENI, serta distribusi geografis alamat IP sumber dan tujuan.
- Policy Statistics: Menampilkan informasi seperti tren terima dan tolak, serta jumlah koneksi yang diterima dan ditolak berdasarkan 5-tupel, yang terdiri dari IP sumber, IP tujuan, port sumber, port tujuan, dan protokol.
  Informasi ini didasarkan pada 5-tupel, yang terdiri dari IP sumber, port sumber, protokol, IP tujuan, dan port tujuan.
  - Terima: Lalu lintas yang diizinkan oleh grup keamanan dan ACL jaringan.
  - Tolak: Lalu lintas yang ditolak oleh grup keamanan dan ACL jaringan.
- ENI Traffic: Menampilkan informasi lalu lintas masuk dan keluar untuk ENI.
- Inter-ECS Traffic: Menampilkan lalu lintas antar instance ECS.
- Custom Query: Anda dapat merujuk ke panduan cepat untuk mengkueri dan menganalisis log.
Aktifkan analisis antar-domain (Opsional): Di halaman Flowlog Details, klik Network Segment Settings. Di tab Network Segment Settings, nyalakan saklar Enable "Inter-domain Analysis".
Setelah Anda mengaktifkan fitur analisis antar-domain, sistem secara otomatis membuat tugas transformasi data. Tugas ini menghasilkan log aliran VPC yang berisi informasi segmen jaringan, yang digunakan untuk menganalisis lalu lintas antar segmen jaringan berbeda. Fitur transformasi data ini dikenai biaya.
Inter-domain Analysis menyediakan dasbor berikut dan fitur kueri kustom:
- Inter-domain Traffic: Menampilkan lalu lintas antar segmen jaringan yang berbeda.
- ECS-to-Segment Traffic: Menampilkan lalu lintas dari instance ECS ke blok CIDR tujuan.
- Threat Intelligence: Menampilkan informasi intelijen ancaman untuk IP sumber dan tujuan.
- Custom Query: Anda dapat meminta dan menganalisis log aliran VPC yang berisi informasi segmen jaringan.