Elastic Compute Service:Enable VPC flow logs for traffic analysis

Como funcionam os logs de fluxo

O service de log de fluxo coleta tráfego de VPCs, vSwitches e ENIs e o armazena no SLS.

Cada registro agrega uma sessão de rede dentro de uma janela de captura. Uma sessão é identificada pela 5-tuple: IP de source, IP de destino, porta de source, porta de destino e protocolo. Cada registro inclui:

• Duração e volume: tempo de duração da sessão e quantidade de dados transferidos.

• Direção do tráfego: entrada ou saída em relação à interface de rede.

• id do elemento de rede: ENI, vSwitch ou VPC associada à sessão.

Casos de uso

• Monitoramento de tráfego: identifique padrões de tráfego e a comunicação entre aplicações na sua rede.

• Solução de problemas: diagnostique falhas de conectividade, perda de pacotes e gargalos de desempenho com dados no nível de fluxo.

• Auditoria de segurança: mantenha registros rastreáveis da atividade de rede e detecte acessos não autorizados ao revisar o tráfego rejeitado.

• Detecção de ameaças: identifique picos incomuns de tráfego, varreduras de portas ou conexões com endereços IP suspeitos.

Pré-requisitos

Verifique os seguintes itens:

• Uma VPC com pelo menos um vSwitch e uma ENI (por exemplo, uma instância ECS).

• Permissões do ram para gerenciar logs de fluxo da VPC e o SLS.

Autorize o service de log de fluxo

Execute as etapas abaixo na primeira vez que utilizar os logs de fluxo:

1. Acesse a página Flow Log.

2. Clique em Create Now e depois em Authorize. Essa ação cria uma função do ram AliyunVPCLogArchiveRole e uma política do ram AliyunVPCLogArchiveRolePolicy, que concedem ao service VPC acesso de gravação ao seu Logstore do SLS.

3. Na página Flow Log, clique em Activate Now e, em seguida, em Enable Now.

   Caso tenha criado instâncias de log de fluxo durante a prévia pública, clique em Activate Now para visualizá-las e gerenciá-las.

4. Acesse o console do Simple Log Service e ative o SLS, caso ainda não o tenha feito.

Crie um log de fluxo

1. Acesse a página Flow Logs no console VPC.

2. Clique em Create a flow log.

3. Na seção Collection Configuration, configure os seguintes parâmetros:

   Quando várias instâncias de log de fluxo capturam tráfego da mesma NIC, o sistema utiliza o menor intervalo de amostragem entre todas as instâncias.

   Parâmetro	Descrição
   Flow Log Name	Nome do log de fluxo.
   Region	Região do recurso de destino.
   Resource Types e Resource Instance	Selecione ENIs, vSwitch ou VPC. Selecionar uma VPC ou vSwitch monitora todas as ENIs contidas nele.
   Data Transfer Type	Tráfego a ser capturado: permitido, negado ou ambos. Os controles de acesso incluem grupos de segurança e ACLs de rede.
   IP Version	Escolha IPv4 apenas para tráfego IPv4 ou Dual-stack para IPv4 e IPv6 simultaneamente. O suporte a IPv6 está disponível em: China (Hangzhou), China (Shanghai), China (Qingdao), China (Beijing), China (Hohhot), China (Shenzhen), Singapore, US (Silicon Valley) e US (Virginia).
   Sampling Interval (Minutes)	Janela de captura: 1, 5 ou 10 minutos. Um intervalo menor gera entradas mais frequentes, permitindo detecção mais rápida de problemas, mas produz maior volume de dados. Por exemplo, uma conexão TCP persistente gera 60 entradas/hora com intervalo de 1 minuto, contra 6 entradas/hora com intervalo de 10 minutos.
   Sampling Path	Elementos de rede dos quais capturar tráfego. Desmarque primeiro All Scenarios e escolha entre: IPv4 gateway, NAT Gateway, VPN Gateway, Transit Router (TR), gateway endpoint, virtual border router (VBR), Express Connect Router (ECR) e Gateway Load Balancer (GWLB). Restringir o caminho de captura reduz o volume de logs e os custos.

4. Na seção Analysis and Delivery, selecione pelo menos um destino:

   • Deliver to Log Service: Selecione um Project e um Logstore. Para seu primeiro log de fluxo, clique em Create Project e Create Logstore para isolar os dados de log de fluxo. Para centralizar a análise de múltiplos logs de fluxo, selecione o mesmo Logstore.

   • Enable Log Analysis Report: Cria automaticamente um índice e um painel no seu Logstore para consultas SQL e análises visuais dos logs de fluxo. Aplicam-se as condições de faturamento do SLS.

   • Enable NIS Traffic Analysis: Ainda não disponível.

5. Clique em OK.

Após a criação, o sistema inicia automaticamente a coleta de tráfego.

Analise logs de fluxo

Referências

• Criar um log de fluxo

• Criar índices no SLS

• Visão geral de painéis

• Faturamento do SLS

• Consultar e analisar logs