Ich höre dich.
Und willkommen zurück.
In diesem Video werden wir die Grundlagen von VPC-Flow Locks besprechen.
Bevor wir uns mit der Funktion des VPC-Flow-Logs befassen, wollen wir eine einfache Analogie verwenden, um den
Anwendungsfall hinter dieser Funktion zu verstehen.
Die einfache Analogie für das heutige Video basiert also auf einem Besucherregister, und das ist in Indien ziemlich verbreitet.
Wenn Sie also eine Gesellschaft oder vielleicht sogar ein Büro in Indien besuchen, wird der Wachmann Sie grundsätzlich
bitten, Ihre Daten in das Besucherregister einzutragen.
Zu den Angaben, die Sie machen müssen, gehören Ihr Name, der Ort, von dem Sie kommen, der Zielort
und die Person, die Sie treffen möchten.
Sie müssen auch das Datum und die Uhrzeit der Eintragung angeben.
Und wenn Sie diesen Bereich verlassen, müssen Sie auch das Datum und die Uhrzeit der Ausreise sowie den Zweck der Arbeit
angeben.
Dies ist sehr nützlich, da die Sicherheitsbehörde so die Besucher verfolgen
kann und bei Problemen schnell auf die Informationen im Besucherregister
zurückgreifen kann.
In ähnlicher Weise können Sie auch in Ihrer Umgebung mehrere Server haben, und es kann Tausende
von Nutzern geben, die Ihre Website jeden Tag besuchen.
Sie könnten also einen echten Nutzer haben.
Möglicherweise gibt es auch Hacker, die versuchen, Ihre Server anzugreifen, und so weiter.
Was Sie also in einer Umgebung brauchen, ist eine Funktion, die dem Besucherregister ähnelt, das Ihnen Informationen
über die IP-Adressen liefert, die Ihre Website besuchen, so dass Sie genau verfolgen können, was in Bezug auf
den Netzwerkverkehr in Ihrer Umgebung geschieht.
Jetzt wird diese Funktion mit Hilfe des VPC-Flow-Logs erreicht.
Das VPC Flow Log ist eine Funktion, mit der Sie Informationen über den IP-Verkehr erfassen können, der zu und von den Netzwerkschnittstellen
in Ihrer VPC geht.
Sie können es also im Grunde als ein Besucherregister betrachten.
Nun stellt sich die Frage, was genau im VPC-Flowprotokoll erfasst wird, denn wir haben bereits
gesehen, was in Bezug auf das Besucherregister hier erfasst wird.
In Bezug auf die Erfassung des Informationsumfangs speziell für das VPC-Flow-Protokoll werden als erstes
die Verkehrsinformationen aufgezeichnet, die Ihre Ressourcen, wie EC2-Instanzen, besuchen.
Nehmen wir zum Beispiel an, dass dieser Benutzer die Instanz EC two besucht, so wird protokolliert, dass
ein Benutzer von der IP 1077 2. 50 hat mit der easy zwei Instanzen verbunden.
Außerdem erhalten Sie weitere Informationen über die IP der beiden EC-Instanzen und so weiter.
Das ist also eine Sache, die sie erfassen wird.
Der zweite Bereich der Erfassung ist, wenn eine Ressource aus Ihrer Umgebung wie EC zwei Instanz, wenn die Ressource ist die Verbindung
nach außen und das ist sehr häufig über die Server, die gebrochen werden speziell heutzutage Bitcoin-Mining
ist sehr beliebt.
Wenn also Ihr Server angegriffen wird, werden Sie feststellen, dass der Angreifer hier in der Regel Pakete für das Bitcoin-Mining
installieren würde.
Das VPC-Flowprotokoll erfasst also auch die Informationen, wenn Sie zwei Instanzen sehen, die sich mit einer ausgehenden
IP verbinden.
Hier werden also zwei EC-Instanzen erfasst, die sich mit der IP 192 160 0 verbinden. 5 Also nicht nur die registrierte Besucher-IP, sondern
auch die IP-Adressen, mit denen sich Ihre Umgebung verbindet.
Auch das ist registriert.
Dies sind also die beiden primären Informationsbereiche für die Erfassung des VPC-Flow-Protokolls.
Dies ist also ein Beispiel-Screenshot in Verbindung mit einem VPC-Flow-Protokoll.
Ich möchte Ihnen also einen Überblick darüber geben, was dies im Wesentlichen bedeutet.
Die erste IP, die Sie hier sehen, ist also eine Quell-IP.
Also, was ist im Grunde bedeutet, dass jemand aus diesem spezifischen IP 52 Null 5 bis 44. 36 versucht, eine Verbindung zu einer Ressource
mit der IP eines 7231 94 herzustellen. 2 39 Und das ist der Zeitstempel, an dem die Verbindung hergestellt wurde.
Dies ist besonders dann wichtig, wenn die Website angegriffen wird.
Das VPC-Durchflussprotokoll ist eines der ersten Dinge, die überprüft werden, und im Allgemeinen,
wenn Sie Dashboards erstellen, tun das heutzutage viele Organisationen, und sogar im Security Operations
Center, wo die Dinge kontinuierlich überwacht werden, sehen viele dieser Dashboards etwa so aus.
Es wird also im Wesentlichen der Verkehrsfluss und der oberste Zielport untersucht.
In diesem Fall sehen Sie, dass der oberste Zielport 22 ist.
Jemand versucht also, sich mit dem Port 22 zu verbinden, der das SSH der easy to-Instanz besucht.
Es wird auch angezeigt, von welchem geografischen Standort aus die Verbindung hergestellt wurde.
Nehmen wir an, Sie haben eine E-Commerce-Website, die nur auf Indien basiert, und jetzt sehen Sie einen enormen Anstieg
des Verkehrs aus einem anderen Land, Russland, China usw..
Das ist also etwas, das in erster Linie berücksichtigt werden muss, weil ihre Hauptbesucher nur aus
Indien kommen würden.
Es gehen also viele Dinge herum.
Vor allem, wenn Sie das Dashboard für das VPC-Flow-Protokoll erstellen.
In diesem Sinne möchte ich Ihnen eine kurze Demo über das VPC-Flowprotokoll geben.
In meiner Umgebung gibt es derzeit zwei EC, zwei Instanzen, die ausgeführt werden, und ich habe auch ein VPC-Flow-Protokoll,
das aktiviert ist.
Ich möchte Ihnen nun zeigen, wie das geht.
Wenn ich also schnell die VPC öffne.
Dies ist also im Grunde eine Standard-VPC hier drüben und unter den Flussprotokollen werden Sie sehen, dass ich ein VPC-Flussprotokoll
habe, das hier aktiviert ist.
Ich habe sie bereits vor ein paar Tagen aktiviert, weil ich Ihnen einen Überblick über die Art des Traffics geben wollte,
den Sie sehen werden.
Alle Informationen aus dem VPC-Flowprotokoll werden also grundsätzlich in Cloud Watch gespeichert.
Wenn ich also schnell die Protokollgruppen hier drüben öffne, lassen Sie uns das VPC-Flow-Protokoll öffnen.
Innerhalb des Log-Streams sehen Sie, dass es hier zwei Log-Streams gibt, hauptsächlich weil es zwei EC2-Instanzen
gibt, die in dieser spezifischen Region laufen, und es werden Informationen für die beiden einfachen Instanzen erfasst.
Wenn ich also schnell den Log-Stream hier drüben öffne.
Hier sehen Sie also, dass Sie eine Menge Protokolleinträge haben, die sich speziell auf das VPC-Flow-Protokoll beziehen.
In den meisten Fällen stehen alle diese IP-Adressen im Zusammenhang mit einer böswilligen Person, die versucht,
sich mit der Umgebung zu verbinden, vielleicht als Teil des Nmap-Scans oder durch direkte Brute-Force-Maßnahmen
und vieles mehr.
Wenn Sie also in der Sicherheitsbranche arbeiten, ist dies eine der interessantesten Dinge, die Sie sehen werden, wenn Sie die Dinge
detaillierter protokollieren.
Nehmen wir also ein Beispiel hier drüben.
Dies ist also einer der Einträge hier.
In diesen Einträgen hier sehen Sie also genau diesen Teil.
Dies ist die IP-Adresse 45 155 205 99. Und diese IP-Adresse versucht, eine Verbindung zu einer der EC2-Instanzen herzustellen, die in der
North Virginia-Umgebung läuft.
Und hier drin sehen Sie im Grunde genommen Ablehnung.
Im Grunde genommen wurde das Paket also vor allem wegen einer Sicherheitsgruppe abgelehnt.
Schauen wir uns nun kurz an, woher diese IP-Adresse stammt.
Lassen Sie mich also eine Kopie machen und schnell eine der Websites öffnen, die eine IP-Suche durchführen
können.
Wenn ich also die IP-Adresse hier einfüge, sehen wir mal, aus welchem Land sie stammt.
Sie sehen also, das Land ist Russland.
Jemand aus St. Petersburg versucht, eine Verbindung zu meiner Demo-EC2-Instanz herzustellen, die in der Region
Nord-Virginia läuft, und das ist ziemlich üblich.
Auf jeder Website, die Sie in einer Produktionsumgebung betreiben, werden Sie viele Besucher aus der ganzen Welt
sehen, die versuchen, sich mit verschiedenen interessanten Ports zu verbinden, z. B. SSH, meinem SQL-Port acht und
vielen anderen.
Sie können also eine Menge interessanter Dashboards erstellen.
Zusätzlich zu diesen Daten können Sie auch Sicherheitslösungen einrichten, die bestimmte IP-Adressen blockieren können.
So kommt es häufig vor, dass von einer einzigen IP zehntausende von Anfragen im Laufe der Woche eingehen.
Welche Organisation fügt sie in solchen Fällen in die Sperrliste ein?
So würde direkt der eingehende Netzwerkverkehr oder die TCP-Verbindung rundweg abgelehnt.
Ich hoffe, dass Sie damit die Grundlagen des VPC-Flows verstanden haben und auch wissen, welche Art von
Anwendungsfall damit gelöst werden soll.
Bevor wir zum Schluss kommen, möchte ich Ihnen noch zeigen, wie Sie das VPC Flow Log aktivieren können.
Nehmen wir nun eine Beispiel-VPC in einer der Regionen hier drüben, und diese VPC ist im Grunde eine Standard-VPC.
Jetzt haben Sie eine Option namens Flussprotokolle, und standardmäßig sind die Flussprotokolle nicht aktiviert.
Was Sie also tun können, ist, hier auf "Flow Log erstellen" zu klicken.
Sie müssen verschiedene Dinge angeben, wie z. B. den Namensfilter und verschiedene andere Dinge.
Lassen Sie uns also zunächst eine Sache tun.
Machen wir weiter und aktivieren die Cloud-Überwachungsprotokolle.
Öffnen wir also schnell den Cloud-Dienst.
Innerhalb des Dienstes.
Gehen wir zu den Protokollgruppen und legen wir hier eine Protokollgruppe an.
Die Protokollgruppe ist also der Ort, an dem die VPC-Flow-Protokolldaten gespeichert werden.
Ich nenne es also einfach VPC-Flow-Logs und klicke auf Erstellen.
Das ist großartig.
In der VPC-Flow-Log-Einstellung müssen Sie nun einen Namen angeben.
Nennen wir es also Demo-Flow-Log.
Innerhalb des Filters können Sie nun angeben, welche Art von Datenverkehr Sie erfassen möchten.
Eines der wichtigsten Dinge, die es zu erfassen gilt, ist also der zurückgewiesene Verkehr, da er Ihnen eine Menge
Informationen liefert.
Der beste Weg ist also, den gesamten Verkehr zu erfassen.
Geben wir also alles und behalten wir innerhalb des maximalen aggregierten Intervalls die Standardeinstellung bei.
Und dann kommt die wichtige Einstellung des Ziels, in dem Sie die Daten speichern möchten.
Ich würde sagen, senden Sie es an die Cloud, die innerhalb der Zielprotokollgruppen protokolliert.
Lassen Sie uns fortfahren und die VPC-Flow-Protokolle auswählen, die wir erstellt haben, und für die IAM-Rolle, falls Sie
keine IAM-Rolle haben, können Sie fortfahren und dies schnell tun.
Sie können also auf "Berechtigung einrichten" klicken, und es wird automatisch ein Rollenname und die zugehörige Richtlinie für
diese Rolle angegeben.
Alles, was Sie tun müssen, ist auf "Zulassen" zu klicken.
Perfekt.
Nachdem Sie die IM-Rolle erstellt haben, können Sie nun die Rolle der Ablaufprotokolle und
das Format der Protokollsätze festlegen.
Belassen wir es bei der Standardeinstellung, und wir können ein Ablaufprotokoll erstellen.
Das ist großartig.
So wird das Ablaufprotokoll erstellt.
Wenn wir also schnell hier öffnen, sehen Sie, dass das Flussprotokoll erstellt wurde.
Als Nächstes gehen wir hier zur Instanz EC zwei.
Öffnen wir die Instanzen und starten wir eine der beiden einfachen Instanzen, die in dieser Umgebung
laufen.
Also fange ich damit an.
Schauen wir uns nun innerhalb der Sicherheitsgruppe kurz an, welche Regeln zur Verfügung stehen.
Sie haben also eine Regel von 80 auf 0000.
Sie haben eine Regel von 20 auf 0000.
Lassen Sie also die EC2-Instanz eine Weile laufen, und Sie werden in den Ablaufprotokollen eine
Menge interessanter Einträge sehen.
Wir werden also das Video anhalten und vielleicht nach einer kurzen Zeit, in der der Aufbau von zwei EC-Instanzen läuft,
das VPC-Ablaufprotokoll untersuchen, um einige der interessanten Einträge zu sehen.
Deshalb werden wir das Video jetzt kurz unterbrechen.
Also gut.
Es ist also seit etwa 15 Minuten geschlossen und unser nützliches VPC-Flowprotokoll ist nun fertig.
Hier wird im Grunde nur eine der Schnittstellen gezeigt, vor allem weil wir nur eine EC2-Instanz haben, die
gerade läuft.
Öffnen wir also schnell die Seite und sehen wir uns an, wie viel Netzwerkverkehr in den letzten 15 Minuten
abgewickelt wurde.
Und hier sehen Sie, dass innerhalb einer kurzen Zeitspanne eine Vielzahl von Verbindungen zustande
kommen, von denen einige angenommen und andere abgelehnt werden.
Sie werden also grundsätzlich auf der Ebene der Sicherheitsgruppe abgelehnt, vor allem, weil wir keine Regel haben, die
dies zulässt.
Lassen Sie uns also eine davon öffnen.
Lassen Sie uns das schnell erweitern. Im Grunde wissen wir, dass dies die Quell-IP ist und dies die Ziel-IP
246 Sie können das sogar überprüfen.
Wenn wir also schnell die leicht zugänglichen Instanzdetails hier drüben in der Ziel-IP öffnen, sehen
Sie, dass Sie 46 haben. 2 46 etwas Ähnliches wie hier.
Sehen wir uns also an, aus welchem Land die IP-Quelle stammt.
Sie können also einfach den IP-Standort ermitteln.
Es gibt eine Reihe von Websites, die den Standort anhand der IP-Adresse ermitteln.
Lassen Sie mich nur eine der IP-Adressen einfügen, die wir gefunden haben und die interessant sind.
Diese IP-Adresse wiederum stammt aus Moskau, aus Russland.
Lassen Sie uns auch für Sie erkunden, ob Sie auch etwas von 193 haben.
Probieren wir es aus.
Dies kommt also aus der Ukraine.
Interessant.
Wir haben also eine Menge interessanter Besucher für unsere Demo-Umgebung.
In der Organisation, mit der ich zusammengearbeitet habe, sind in der Regel fast alle Länder im
VPC-Flowprotokoll zu sehen, mit Ausnahme des Kontinents Antarktis.
Großartig.
Ich hoffe, Sie haben die Grundlagen des VPC Flow Logs und die Bedeutung
der Aktivierung in der Produktionsumgebung verstanden.
Damit endet unser heutiges Video.