Je vous écoute.
Et bienvenue à nouveau.
Dans cette vidéo, nous allons aborder les bases des verrous de flux VPC.
Avant d'aller plus loin et de comprendre la fonctionnalité de journal des flux VPC, prenons une analogie simple pour comprendre
le cas d'utilisation derrière cette fonctionnalité.
L'analogie simple pour la vidéo d'aujourd'hui est donc basée sur un registre des visiteurs, ce qui est assez courant
en Inde.
En général, lorsque vous visitez une société ou même un bureau en Inde, l'agent de sécurité vous demande d'inscrire
vos coordonnées dans le registre des visiteurs.
Les informations que vous devez remplir comprennent votre nom, le lieu d'où vous venez, le lieu de destination
et la personne que vous souhaitez rencontrer.
Vous devez également indiquer la date et l'heure d'entrée.
Et lorsque vous quittez cette zone, vous devez également indiquer la date et l'heure de sortie ainsi que l'objet
du travail.
C'est très utile car cela permet à l'agence de sécurité de garder une trace des visiteurs
et, en cas de problème, de se référer rapidement aux informations du registre des
visiteurs dans le cadre de l'enquête.
De la même manière, même dans votre environnement, vous pouvez avoir plusieurs serveurs et des
milliers d'utilisateurs peuvent visiter votre site web chaque jour.
Il se peut donc que vous ayez un véritable utilisateur.
Il se peut aussi que des pirates informatiques essaient d'attaquer vos serveurs, etc.
Ce dont vous avez besoin dans un environnement, c'est d'une fonction similaire au registre des visiteurs, qui vous
donne des informations sur les adresses IP qui visitent votre site web, afin de vous permettre de suivre ce qui se passe
exactement en termes de trafic réseau dans votre environnement.
Cette fonction est maintenant accomplie avec l'aide du journal des flux VPC.
Le journal des flux VPC est donc une fonctionnalité qui vous permet de capturer des informations sur le trafic IP entrant et
sortant des interfaces réseau de votre VPC.
Vous pouvez donc le considérer comme un registre des visiteurs.
Maintenant, une des questions qui se pose est de savoir ce qui est exactement capturé dans le journal des flux
VPC, car nous avons déjà vu ce qui est capturé en termes de registre des visiteurs ici.
Ainsi, en termes de portée des informations capturées, spécifiquement pour le journal des flux VPC, la première chose qu'il
va capturer est d'enregistrer les informations sur le trafic qui visite vos ressources, comme les instances EC2.
Par exemple, disons que cet utilisateur visite l'instance EC two, et que le journal indiquera qu'un
utilisateur de l'IP 1077 2. 50 s'est connecté à l'instance facile deux.
Il vous donnera également plus d'informations sur l'IP de l'instance EC two, etc.
C'est donc une chose qu'il va capturer.
Le deuxième champ de capture est celui d'une ressource de votre environnement, par exemple EC two instance, si la ressource se connecte à l'extérieur,
ce qui est très courant sur les serveurs qui font l'objet d'une violation, en particulier de nos jours où l'extraction de
bitcoins est très populaire.
Si votre serveur fait l'objet d'une intrusion, vous constaterez que l'attaquant y installe généralement des
paquets liés au minage de bitcoins.
Ainsi, le journal des flux VPC capturera également l'information spécifiquement lorsque vous voyez deux instances se connecter
à une IP sortante.
Voici donc la capture de l'instance EC two se connectant à l'IP 192 160 0. 5 Donc pas seulement les IP des visiteurs enregistrés mais
aussi les adresses IP auxquelles votre environnement se connecte.
C'est également enregistré.
Ce sont donc les deux principaux champs d'information pour le journal des flux VPC.
Il s'agit donc essentiellement d'une capture d'écran type associée à un journal de flux VPC.
Je vais donc vous donner un aperçu général de ce que cela signifie.
Donc la première IP que vous voyez ici est une IP source.
Donc, ce qui signifie essentiellement quelqu'un de cette IP spécifique 52 zéro 5 à 44. 36 essaie de se connecter à une ressource
avec l'IP d'un 7231 94. 2 39 Et ceci est l'horodatage où la connexion a été faite.
C'est très important, notamment en cas de violation du site web.
Le journal des flux VPC est l'une des premières choses qui est vérifiée et généralement, si vous construisez
des tableaux de bord, comme le font aujourd'hui beaucoup d'organisations, et même dans le centre d'opérations de sécurité
où les choses sont surveillées en permanence, 24 heures sur 24, 7 jours sur 7, beaucoup de ces tableaux de bord ressemblent à ceci.
Donc, il examine le flux de trafic, le port de destination principal.
Donc dans ce cas, vous voyez que le premier port de destination est le 22.
Donc quelqu'un essaie de se connecter au port 22 qui visite le SSH de l'instance facile à atteindre.
Il vous montre également, en gros, de quel endroit géographique provient la connexion.
Disons que vous avez un site de commerce électronique basé en Inde et que vous constatez une augmentation considérable du
trafic en provenance d'un autre pays, la Russie, la Chine, etc.
Il s'agit donc d'un élément à prendre en compte, principalement parce que leurs principaux visiteurs sont
originaires d'Inde.
Donc beaucoup de choses circulent.
En particulier lorsque vous construisez le tableau de bord lié au journal des flux VPC.
Ceci étant dit, laissez-moi vous présenter une démonstration rapide du journal des flux VPC.
Donc, actuellement, dans mon environnement, il y a deux EC, deux instances qui fonctionnent et j'ai également un journal
de flux VPC qui est activé.
Laissez-moi vous montrer comment faire.
Donc si j'ouvre rapidement le VPC.
Il s'agit donc d'un VPC par défaut ici et sous les journaux de flux, vous verrez que j'ai un journal
de flux VPC qui est activé ici.
Je l'ai déjà activé il y a quelques jours parce que je voulais juste vous donner un aperçu du type de
trafic que vous verrez.
Ainsi, toutes les informations du journal des flux VPC sont essentiellement stockées dans le cloud watch.
Donc si j'ouvre rapidement les groupes de journaux ici, ouvrons le journal du flux VPC.
Et dans le flux de journalisation, vous voyez qu'il y a deux flux de journalisation ici, principalement parce
qu'il y a deux instances EC2 qui fonctionnent dans cette région spécifique et il capture des informations pour les deux instances
faciles.
Donc si j'ouvre rapidement le flux de logs ici.
Vous voyez donc ici que vous avez beaucoup d'entrées de journal spécifiquement liées au journal des flux VPC.
Ainsi, dans la plupart des cas, tous ces IP sont spécifiquement liés à la personne malveillante qui essaie de se connecter
à l'environnement, peut-être dans le cadre d'un scan Nmap ou peut-être par force brute directe et bien d'autres
encore.
Ainsi, si vous travaillez dans le domaine de la sécurité, c'est l'une des choses très intéressantes que vous verrez spécifiquement si vous enregistrez
les choses plus en détail.
Prenons un exemple ici.
C'est donc l'une des entrées ici.
Donc, dans ces entrées ici, vous voyez cette partie spécifique.
Voici l'adresse IP, 45 155 205 99. Cette adresse IP essaie de se connecter à l'une des instances EC2 qui fonctionne dans l'environnement
de Virginie du Nord.
Et là-dedans, vous voyez essentiellement le rejet.
Donc, en gros, le paquet a été rejeté principalement peut-être à cause d'un groupe de sécurité ici.
Maintenant, regardons rapidement d'où vient cette adresse IP.
Je vais donc faire une copie ici et ouvrir rapidement un des sites web qui peut faire une recherche
d'IP ici.
Donc quand je colle l'adresse IP ici, voyons de quel pays elle provient.
Donc vous voyez, le pays est la Russie.
Quelqu'un de Saint-Pétersbourg essaie de se connecter à mon instance EC2 de démonstration, qui fonctionne dans la
région de Virginie du Nord, ce qui est assez courant.
Ainsi, tout site Web que vous exécutez dans un environnement de production, vous verrez beaucoup de
visiteurs du monde entier qui essaient de se connecter à divers ports intéressants, SSH, mon SQL Port huit
et bien d'autres.
Il y a donc beaucoup de tableaux de bord intéressants que vous pouvez construire.
Et en plus de ces données, vous pouvez également mettre en place des solutions de sécurité qui peuvent bloquer certaines adresses
IP.
Il arrive souvent qu'à partir d'une seule IP, vous receviez des dizaines de milliers de demandes tout au long de la
semaine.
Dans ce cas, quelle organisation l'ajoute dans la liste de blocage ?
Ainsi, le trafic réseau entrant ou la connexion TCP sont directement rejetés.
J'espère ainsi que vous avez compris les principes de base du flux VPC et que vous avez examiné le type de
cas d'utilisation qu'il tente de résoudre.
Maintenant, avant de conclure, laissez-moi vous montrer comment vous pouvez activer le journal des flux VPC.
Maintenant, prenons un exemple de VPC dans l'une des régions ici, et ce VPC est fondamentalement un VPC par défaut.
Vous avez donc maintenant une option appelée journaux des flux, et par défaut les journaux des flux ne sont pas activés.
Donc ce que vous pouvez faire, c'est cliquer sur créer un journal de flux ici.
Vous devez spécifier diverses choses comme le filtre de nom et d'autres choses.
Alors, faisons d'abord une chose.
Allons-y et activons les journaux de surveillance du cloud.
Donc, dans le service en nuage, ouvrons-le rapidement.
Au sein du service.
Allons dans les groupes d'enregistrement et créons un groupe d'enregistrement ici.
Le groupe de logs est donc essentiellement l'endroit où les données de logs de flux VPC seront stockées.
Je vais donc l'appeler VPC flow logs et cliquer sur créer.
C'est génial.
Donc maintenant, dans les paramètres du journal des flux VPC, vous devez donner un nom.
Alors appelons-le comme un journal d'écoulement de démonstration.
Maintenant, dans le filtre, vous pouvez spécifier le type de trafic que vous voulez capturer.
L'une des choses les plus importantes à saisir est donc le trafic de rejet, car il vous fournira de nombreuses
informations.
Le meilleur moyen est donc de capturer tout le trafic.
Alors, donnons-lui une chance et dans l'intervalle maximum agrégé, gardons-le par défaut.
Puis vient le paramètre important de la destination dans laquelle vous voulez stocker les données.
Je dirais qu'il faut l'envoyer dans le nuage, qui enregistre dans les groupes d'enregistrement de destination.
Allons-y et sélectionnons les journaux de flux VPC que nous avons créés et pour le rôle IAM au cas où vous, si vous n'avez
pas de rôle IAM, vous pouvez aller de l'avant et le faire rapidement.
Vous pouvez donc cliquer sur "set up permission" et cela donnera automatiquement un nom de rôle et la politique
associée à ce rôle.
Tout ce que vous avez à faire est de cliquer sur autoriser.
Parfait.
Donc, une fois que vous avez créé le rôle IM, rafraîchissons-le rapidement et maintenant vous pouvez juste spécifier le rôle des
journaux de flux et le format de l'enregistrement du journal.
Gardons celui par défaut et nous pouvons aller de l'avant et créer un journal de flux.
C'est génial.
Le journal des flux est donc créé.
Donc si nous ouvrons rapidement ici, vous voyez que le journal des flux est créé.
Maintenant, la prochaine chose à faire est d'aller à l'instance EC deux ici.
Ouvrons les instances et démarrons l'une des instances easy two qui fonctionne dans cet environnement.
Je vais donc commencer.
Maintenant, dans le groupe de sécurité, regardons rapidement quelles sont les règles disponibles.
Vous avez donc une règle de 80 sur 0000.
Vous avez une règle de 20 sur 0000.
Donc, ce que vous devez faire, c'est de laisser l'instance EC2 fonctionner pendant un certain temps et ensuite, dans les journaux de flux,
vous verrez beaucoup d'entrées intéressantes ici.
Ce que nous allons faire, c'est mettre la vidéo en pause et peut-être qu'après un peu de temps de fonctionnement de la construction de deux instances
EC, nous allons explorer le journal des flux VPC pour voir certaines des entrées intéressantes.
Sur ce, nous allons rapidement mettre en pause cette vidéo.
Très bien.
Il a donc été fermé à environ 15 minutes et notre journal de flux VPC utile est maintenant prêt.
Maintenant, il s'agit essentiellement de vous montrer l'une des interfaces, principalement parce que nous n'avons qu'une seule instance EC2
qui fonctionne.
Ouvrons rapidement cette fenêtre et voyons combien de trafic réseau a été effectué au cours des 15
dernières minutes.
Et ici vous voyez qu'il y a beaucoup de connexions qui se produisent dans un court laps de temps et certaines
des connexions sont acceptées et certaines des connexions sont rejetées.
Ils sont donc essentiellement rejetés au niveau du groupe de sécurité, principalement parce que nous n'avons pas de règle qui soit
autorisée ici.
Alors ouvrons l'une d'entre elles.
Développons rapidement ici et, en gros, nous savons que ceci est l'IP source et ceci est l'IP de destination
246 Vous pouvez même le vérifier.
Donc si nous ouvrons rapidement les détails de l'instance facile ici dans l'IP de destination, vous
voyez que vous avez 46. 2 46 quelque chose de similaire à ici.
Voyons donc quelle est l'adresse IP source, c'est-à-dire de quel pays elle provient.
Donc vous pouvez juste faire la localisation IP.
Il existe de nombreux sites web qui vous donneront la localisation en fonction de l'adresse IP.
Alors laissez-moi juste coller une des adresses IP que nous avons trouvées et intéressantes.
Cette adresse IP, encore une fois, elle provient maintenant de Moscou, de la Russie.
Explorons aussi pour vous parmi eux, vous avez aussi quelque chose de 193.
Essayons-le.
Cela vient donc d'Ukraine.
Intéressant.
Nous avons donc beaucoup de visiteurs intéressants pour notre environnement de démonstration.
Maintenant, généralement dans l'organisation avec laquelle j'ai travaillé, comme, vous verrez généralement
presque tous les pays dans le journal de flux VPC sauf le continent de l'Antarctique.
Super.
À ce stade, nous allons rester simples, j'espère que vous avez compris les bases
du journal des flux VPC et l'importance de l'activer dans un environnement de production.
C'est ainsi que se termine la vidéo d'aujourd'hui.