c4.7 Analisar os fluxos de rede
Monitore os metadados do tráfego com VPC Flow Logs e capture pacotes completos com Traffic Mirroring quando precisar de análise profunda. Encaminhe os logs para o CloudWatch, para o S3 (via Firehose) para consultas com Athena, ou para o seu SIEM para detectar anomalias e investigar incidentes.
Guia de implementação
Veja como o tráfego realmente flui
Os VPC Flow Logs capturam metadados do tráfego IP da sua VPC —sem agente, e habilitáveis no nível da VPC, sub-rede ou interface de rede— filtrados para tráfego total, aceito ou rejeitado. Para análise profunda, o Traffic Mirroring captura pacotes completos.
Encaminhe os logs para onde você possa usá-los
Envie os Flow Logs para o Amazon CloudWatch Logs, ou para um bucket do Amazon S3 via Amazon Data Firehose para consultar com o Amazon Athena. Muitos SIEMs (Splunk, QRadar) também conseguem ingerir Flow Logs; conecte isso ao seu SIEM / Security Lake para que os dados de fluxo apoiem a detecção e a investigação. Enriquecer os Flow Logs com os IDs de security group os torna muito mais fáceis de analisar; veja como visualizar e refinar a segurança da sua rede.
Como validar
- Os VPC Flow Logs estão habilitados onde você precisa de visibilidade de rede?
- Os logs são encaminhados para onde você possa consultá-los (CloudWatch, S3/Athena ou seu SIEM)?
- Você usa captura de pacotes completos (Traffic Mirroring) onde a análise profunda é necessária?
Ameaças atendidas
- Sem visibilidade dos fluxos de rede, o movimento lateral, a exfiltração de dados e o tráfego de command-and-control podem ocorrer sem serem vistos, e a investigação de incidentes carece do contexto de rede necessário para dimensionar um evento.
Serviços AWS
Amazon Security Lake 
Amazon CloudWatch 
Amazon S3 Preços
Os Flow Logs são cobrados através do destino (CloudWatch Logs ou S3). Veja os preços do Amazon CloudWatch.