ネットワークインシデントが発生する前に、セッションログ機能を有効化してください。サービスプロバイダーからご利用の NAT Gateway の EIP (Elastic IP アドレス) からの異常なトラフィックが報告された場合、過去の SNAT セッションデータをクエリして、原因となっている ECS インスタンスを特定できます。
課金と制限事項
課金
セッションログ機能は無料で利用できます。ただし、SNAT セッションは Simple Log Service に保存され、別途課金されます。詳細については、「Simple Log Service の課金」をご参照ください。
制限事項
スペック課金制の NAT Gateway (現在購入不可) では、セッションログを有効にすることはできません。
セッションログは SNAT セッションのみをキャプチャします。DNAT セッションは記録されません。
利用シーン
企業は、インターネット NAT ゲートウェイを使用して、Elastic Compute Service (ECS) インスタンスに統一されたインターネットアクセスを提供しています。セッションログ機能が初期デプロイ時に有効化された後、従業員から第三者サービス (http://47.XX.XX.157) にアクセスできないとの報告がありました。サービス提供者のセキュリティチームは、2025 年 2 月 5 日の 15:00 頃に EIP（Elastic IP アドレス）47.XX.XX.85 からトラフィックスパイクを検出し、これによりサービス障害が発生しました。安定性の回復を図るため、セキュリティチームは当該 EIP をブロックリストに追加しました。
運用チームはセッションログを使用してスパイクの発生源を追跡し、原因となった ECS インスタンスを特定しました。
前提条件
開始する前に、以下が準備できていることを確認してください。
セッションログを保存するための既存の Simple Log Service (SLS) プロジェクトと Logstore
NAT Gateway コンソールへのアクセス権
ステップ 1：セッションログの有効化
セッションログ機能を有効化した後、インデックスを作成するおよびログの保存期間を設定することで、データがクエリ可能であり、必要に応じて保持されるようにします。
NAT Gateway コンソールにログインします。管理対象の NAT Gateway を見つけ、その ID をクリックします。
[モニタリングとログ記録] タブで、[セッションログ] ＞ [セッションログの有効化] を選択します。ダイアログボックスで、既存の [Simple Log Serviceプロジェクト] および [Logstore] を選択します。
[モニタリングとログ記録] タブで、[送信先情報] 列の名前をクリックして、ログの内容を表示します。
ステップ 2：ログコンテンツの分析
セッションログフィールドの完全なリストについては、「セッションログ」をご参照ください。
トラフィックスパイクの特定
報告されたアノマリー時間を中心とする 10 分間のウィンドウで、送信先 IP への毎分トラフィックを照会します。(2025 年 2 月 5 日 15:00 の前後 5 分間)
select
sum(bytes_from_vpc) as total_bytes, /* 障害原因の分析におけるコアフィールド */
date_trunc('minute', __time__) as ts_min /* 分単位の統計 */
from
log
where
pub_ip = '47.XX.XX.157' /* 特定の宛先 IP でフィルタリング */
group by
ts_min
結果から、サービスへのトラフィックが 14:57 にピークに達したことがわかります。
送信元 ECS インスタンスの特定
2 番目のクエリを実行して、個々の ECS インスタンスにマッピングされる送信元プライベート IP (pri_ip) ごとにトラフィックを分類します。
select
pri_ip,
sum(bytes_from_vpc) as total_bytes, /* 障害原因の分析におけるコアフィールド */
date_trunc('minute', __time__) as ts_min /* 分単位の統計 */
from
log
where
pub_ip = '47.XX.XX.157' /* 特定の宛先 IP でフィルタリング */
group by
ts_min, pri_ipデータ量が大きい場合は、可読性を高めるためにバイトをギガバイト (GB) に変換します：sum(bytes_from_vpc) / 1024 / 1024 / 1024 as total_GB
14:57 に total_bytes が最も高い pri_ip が、トラフィックスパイクを生成した ECS インスタンスです。