c4.7 ネットワークフローを分析する
VPC フローログでトラフィックのメタデータを監視し、深い分析が必要なときは Traffic Mirroring で完全なパケットをキャプチャします。ログを CloudWatch、（Firehose 経由で）S3 に送って Athena でクエリするか、SIEM に送って異常検知とインシデント調査に使います。
実装ガイダンス
トラフィックの実際の流れを見る
VPC フローログは、VPC の IP トラフィックのメタデータをキャプチャします。エージェント不要で、VPC・サブネット・ネットワークインターフェイスのレベルで有効化でき、すべて/許可/拒否のトラフィックにフィルタリングできます。深い分析には、Traffic Mirroring が完全なパケットをキャプチャします。
ログを活用できる場所へ送る
フローログを Amazon CloudWatch Logs に、または Amazon Data Firehose 経由で Amazon S3 バケットに送り、Amazon Athena でクエリします。多くの SIEM（Splunk、QRadar）もフローログを取り込めます。これを SIEM / Security Lake に接続し、フローデータを検知と調査の両方に役立てます。フローログをセキュリティグループ ID で強化すると分析がはるかに容易になります。ネットワークのセキュリティを可視化・洗練する方法を参照してください。
How to validate
- ネットワークの可視性が必要な場所で VPC フローログを有効にしていますか？
- ログはクエリできる場所（CloudWatch、S3/Athena、または SIEM）に送られていますか？
- 深い分析が必要な場所で完全なパケットキャプチャ（Traffic Mirroring）を使っていますか？
Threats addressed
- ネットワークフローの可視性がないと、横方向移動、データ持ち出し、コマンド＆コントロールのトラフィックが気づかれずに発生し、インシデント調査は事象の範囲特定に必要なネットワークの文脈を欠きます。
AWS サービス
Amazon Security Lake 
Amazon CloudWatch 
Amazon S3 料金
フローログは送信先（CloudWatch Logs または S3）を通じて課金されます。Amazon CloudWatch の料金を参照してください。