Smart Access Gateway:Simple Log Service による SAG トラフィックの分析

フローログの作成

1. SAG コンソールにログインします。

2. 左側のナビゲーションペインで、Flow Log をクリックします。

3. Flow Log ページで、Create Flow Log をクリックします。

4. Create Flow Log パネルで、次のパラメーターを設定し、OK をクリックします。

   • [Name]：フローログの名前を入力します。

   • [Output Interval Under Active Connections]: アクティブなネットワーク接続のログデータを出力する間隔を指定します。デフォルト値は 300 秒です。値は 60 〜 6,000 秒の範囲で指定する必要があります。

   • [Output Interval Under Inactive Connections]: 無通信のネットワーク接続のログデータを出力する間隔を 10～600 秒の範囲で指定します。デフォルト値は 15 秒です。

   • [Deliver Flow Log Data To]: ログのストレージタイプを選択します。このトピックでは、[SLS] を選択します。

     • ログデータを Simple Log Service に保存するには、[SLS] を選択します。

     • ログデータを NetFlow コレクターに保存するには、[NetFlow] を選択します。

     • ログデータを Simple Log Service と NetFlow コレクターの両方に保存するには、[ALL] を選択します。

   • SLS Region：Simple Log Service がデプロイされているリージョンを選択します。

   • SLS Project：フローログデータを保存する Logstore を含むプロジェクトを選択します。

   • SLS Logstore：フローログデータを保存する Logstore を選択します。

   パラメーターの詳細については、「フローログの作成」をご参照ください。

フローログと SAG インスタンスの関連付け

1. Flow Log ページで、作成したフローログを見つけ、その ID をクリックします。

2. フローログの詳細ページで、Add Instance をクリックします。

3. Add Instance パネルで、対象の SAG インスタンスを選択し、Save をクリックします。

[プロジェクト] セクションで、対象のプロジェクトをクリックします。

[ログストレージ] > Logstore 名 タブで、目的のログストアをクリックします。

インデックスを有効にします。 詳細については、「インデックスの有効化と設定」をご参照ください。

インデックスを有効にすると、データのクエリ・分析ができます。 次の例では、上位 10 件の 5 タプルをクエリする方法を示します。

1. 検索ボックスに、クエリステートメントを入力します。

   5 タプルのトラフィックに対応するフィールドは、srcaddr、srcport、dstaddr、dstport、protocol です。

   
   * | select srcaddr,srcport,dstaddr,dstport,protocol,count(*) as num,sum(bytes) as bytes
   from (select CASE
   WHEN strpos(bytes, 'M') != 0 then
   (CAST(replace(bytes,'M') AS double)*1024*1024)
   WHEN strpos(bytes, 'K') != 0 then
   (CAST(replace(bytes,'K') AS double)*1024)
   else CAST(bytes AS double) end
   as bytes,srcaddr,srcport,dstaddr,dstport,protocol from log limit 100000)
   GROUP BY srcaddr,dstaddr,srcport,dstport,protocol ORDER BY bytes DESC limit 10
                                   

   デフォルトでは、システムは過去 15 分間のデータを検索します。 クエリに対してカスタムの時間範囲を指定できます。 前述の SQL ステートメントをクエリエディターに入力し、時間範囲を [15 Minutes (Relative)] に設定してから、[Search & Analyze] をクリックしてクエリを実行します。

   説明

   クエリステートメントを作成する際は、フィールドがログ内のフィールドと一致していることを確認してください。 この例で使用されているフィールドは参照用です。 クエリステートメントの詳細については、「クエリ概要」をご参照ください。

2. [検索 & 分析] をクリックします。

   コンソールで [グラフ] タブが開き、テーブルに上位 10 の 5 タプルの統計が表示されます。他のグラフの種類を選択してデータを視覚化できます。詳細については、「グラフの概要」をご参照ください。

   この例では、円グラフを使用して統計データを表示します。

3. [グラフ] タブで、円グラフのプロパティを調整してグラフをカスタマイズします。

   次の 2 つのプロパティを調整します。 他のプロパティにはデフォルト値が使用されます。 詳細については、「円グラフ」をご参照ください。

   • [カテゴリ]: データのカテゴリ。

     この例では、データは srcaddr、srcport、dstaddr、dstport、および protocol フィールドで分類されます。 トラフィックの 5 つのフィールドすべてが一致した場合にのみ、レコードがカウントされます。

   • [値列]: カテゴリ化されたデータに対応する数値です。

     この例では、bytes フィールドが値の列として使用されます。

任意： 同様の操作で、上位 10 件の 3 タプル情報や、上位 10 件の送信元/宛先 IP アドレス情報もクエリできます。

円グラフの右上隅で、[ダッシュボードに追加] をクリックします。

[ダッシュボードに追加] ダイアログボックスで、次のパラメーターを設定し、OK をクリックします。

左側のナビゲーションペインで、[ダッシュボード] をクリックします。

作成したダッシュボードの名前をクリックして、ダッシュボードを表示します。