Ti ascolto.
E bentornati.
In questo video discuteremo le basi dei blocchi di flusso VPC.
Ora, prima di andare avanti e capire la funzione del registro di flusso VPC, facciamo una semplice analogia
per capire il caso d'uso dietro questa funzione.
L'analogia semplice per il video di oggi si basa su un registro dei visitatori, piuttosto comune in
India.
In genere, ogni volta che visitate una società o un ufficio in India, la guardia di sicurezza vi chiederà
di inserire i vostri dati nel registro dei visitatori.
I dati da inserire comprendono il nome del luogo da cui si proviene, il luogo di destinazione
e la persona che si desidera incontrare.
È inoltre necessario inserire la data e l'ora di iscrizione.
Mentre si esce da quest'area, è necessario inserire anche la data e l'ora di uscita e lo scopo
del lavoro.
Questo è molto utile perché l'ID permette all'agenzia di sicurezza di tenere traccia dei visitatori
e, in caso di problemi, di fare rapidamente riferimento alle informazioni contenute nel registro
dei visitatori nell'ambito dell'indagine.
Ora, in modo simile, anche per il vostro ambiente, potete avere più server e ci possono essere
migliaia di utenti che visitano il vostro sito web ogni giorno.
Quindi potreste avere un utente autentico.
Potreste anche avere degli hacker che potrebbero tentare di attaccare i vostri server e così via.
Quindi, ciò che serve in un ambiente è una funzione simile al registro dei visitatori, che fornisca informazioni
sugli indirizzi IP che visitano il vostro sito web e che vi permetta di tenere traccia di ciò che accade esattamente
in termini di traffico di rete nel vostro ambiente.
Ora questa funzione viene realizzata con l'aiuto del registro di flusso VPC.
Il VPC Flow log è una funzione che consente di acquisire informazioni sul traffico IP diretto e proveniente
dalle interfacce di rete della VPC.
In pratica, si può considerare come un registro dei visitatori.
Ora, una delle domande che ci si pone è che cosa viene catturato esattamente nel log del flusso VPC, perché
abbiamo già visto che cosa viene catturato in termini di registro dei visitatori.
In termini di portata delle informazioni acquisite, specificamente per il registro di flusso VPC, la prima cosa che viene
acquisita è la registrazione delle informazioni sul traffico che visita le risorse, come le istanze EC2.
Ad esempio, supponiamo che l'utente stia visitando l'istanza EC due, quindi verrà registrato
che un utente dall'IP 1077 2. 50 si è collegato all'istanza easy two.
Fornirà inoltre ulteriori informazioni sull'IP dell'istanza EC due e così via.
Quindi questo è un aspetto che catturerà.
Il secondo ambito di cattura è se una risorsa del vostro ambiente, come ad esempio EC due, si connette in uscita e questo
è molto comune tra i server che vengono violati, in particolare al giorno d'oggi il mining di Bitcoin
è molto popolare.
Quindi, nel caso in cui il vostro server venga violato, vedrete che l'attaccante installerà qui i pacchetti
relativi al mining di bitcoin.
Quindi il log del flusso VPC catturerà anche le informazioni specifiche quando si vedono due istanze che si connettono
a un IP in uscita.
Ecco quindi che viene catturata l'istanza EC due che si connette all'IP 192 160 0. 5 Quindi non solo gli IP dei visitatori registrati,
ma anche gli indirizzi IP a cui l'ambiente si connette.
Anche questo è registrato.
Queste sono le due principali informazioni da acquisire per il registro di flusso VPC.
Si tratta quindi di una schermata di esempio associata a un registro di flusso VPC.
In pratica, vi fornirò una panoramica di alto livello di ciò che significa.
Il primo IP che vedete qui è un IP sorgente.
Quindi, in pratica, significa che qualcuno da questo specifico IP 52 zero 5 a 44. 36 sta tentando di connettersi a una
risorsa con l'IP 7231 94. 2 39 E questo è il timestamp in cui è stata effettuata la connessione.
Si tratta di un aspetto molto importante, soprattutto quando il sito web viene violato.
Il registro dei flussi VPC è una delle prime cose che vengono controllate e in generale, se si costruiscono
dashboard in modo specifico, al giorno d'oggi molte organizzazioni lo fanno e anche nel centro operativo di sicurezza,
dove le cose vengono monitorate continuamente, 24 ore su 24, molti di questi dashboard hanno un aspetto simile a questo.
In pratica analizza il flusso di traffico, la porta di destinazione principale.
Quindi, in questo caso, la porta di destinazione principale è la 22.
Quindi qualcuno sta cercando di connettersi alla porta 22 che visita l'SSH dell'istanza facile da raggiungere.
Inoltre, mostra sostanzialmente da quale posizione geografica proviene la connessione.
Supponiamo che abbiate un sito web di commercio elettronico basato solo sull'India e che ora stiate assistendo a un'enorme ondata di traffico
proveniente da un paese diverso, come la Russia, la Cina e così via.
Si tratta quindi di un aspetto da tenere in considerazione, soprattutto perché i visitatori principali provengono esclusivamente
dall'India.
Quindi molte cose girano.
In particolare quando si costruisce il dashboard relativo ai registri di flusso VPC.
Detto questo, vi fornirò una rapida dimostrazione del registro di flusso VPC.
Attualmente nel mio ambiente ci sono due EC, due istanze in esecuzione e ho anche un registro di
flusso VPC abilitato.
Ora vi mostro come si può fare.
Quindi se apro rapidamente il VPC.
Quindi questo è fondamentalmente un VPC predefinito e sotto i registri di flusso vedrete che ho un registro
di flusso VPC abilitato qui.
Ora, l'ho già abilitato qualche giorno fa perché volevo darvi una panoramica del tipo di
traffico che vedrete.
Quindi tutte le informazioni del registro di flusso VPC vengono archiviate in cloud watch.
Quindi, se apro rapidamente i gruppi di log qui, apriamo il log del flusso VPC.
All'interno del flusso di log si notano due flussi di log, principalmente perché ci sono
due istanze EC2 in esecuzione in questa regione specifica e vengono acquisite informazioni per entrambe
le istanze.
Quindi, se apro rapidamente il flusso di log qui.
Qui si nota che ci sono molte voci di registro specificamente legate al registro del flusso VPC.
Quindi tutti questi IP, nella maggior parte dei casi, sono specificamente legati al malintenzionato che sta
cercando di connettersi all'ambiente, forse come parte della scansione Nmap o forse come forza bruta diretta
e molti altri.
Quindi, se lavorate nel campo della sicurezza, questa è una delle cose più interessanti che vedrete in particolare se registrate
le cose in modo più dettagliato.
Facciamo un esempio qui.
Questa è una delle voci qui presenti.
Quindi, in queste voci qui, vedete questa porzione specifica.
Questo è l'indirizzo IP, 45 155 205 99. Questo indirizzo IP sta cercando di connettersi a una delle istanze EC2 in esecuzione nell'ambiente
della Virginia settentrionale.
E qui dentro si vede sostanzialmente il rifiuto.
Quindi, in pratica, il pacchetto è stato rifiutato principalmente a causa di un gruppo di sicurezza.
Vediamo ora rapidamente da dove proviene questo indirizzo IP.
Quindi, facciamo una copia qui e apriamo rapidamente uno dei siti web che possono fare una ricerca
IP qui.
Quindi, quando incollo l'indirizzo IP qui, vediamo da quale paese proviene.
Il Paese è la Russia.
Qualcuno da San Pietroburgo sta cercando di connettersi alla mia istanza EC2 demo, che è in esecuzione nella regione della
Virginia settentrionale e questo è piuttosto comune.
Quindi, in qualsiasi sito web gestito in un ambiente di produzione, vedrete molti visitatori
da tutto il mondo che cercano di connettersi a varie porte interessanti, SSH, la porta otto di SQL
e molte altre.
È quindi possibile creare molti cruscotti interessanti.
Inoltre, sulla base di questi dati, è possibile creare soluzioni di sicurezza in grado di bloccare determinati
IP.
Spesso accade che da un singolo IP si vedano decine di migliaia di richieste nel corso della settimana.
Quindi, in questi casi, quale organizzazione lo aggiunge all'interno dell'elenco dei blocchi?
Quindi il traffico di rete in entrata o la connessione TCP verrebbero rifiutati direttamente.
Spero quindi che, con una panoramica di alto livello, abbiate capito le basi del flusso VPC e che abbiate anche analizzato
il tipo di caso d'uso che sta cercando di risolvere.
Ora, prima di concludere, vi mostrerò anche come potete procedere per abilitare il log del flusso VPC.
Ora prendiamo un esempio di VPC in una delle regioni qui sopra, e questo VPC è fondamentalmente un VPC predefinito.
Ora c'è un'opzione chiamata registri di flusso e, per impostazione predefinita, i registri di flusso non sono abilitati.
Quindi si può andare avanti e fare clic su Crea un registro di flusso qui.
È necessario specificare varie cose, come il filtro dei nomi e altre cose.
Quindi, prima di tutto, facciamo una cosa.
Procediamo con l'attivazione dei registri di sorveglianza del cloud.
Quindi, all'interno del servizio cloud, apriamolo rapidamente.
All'interno del servizio.
Passiamo ai gruppi di log e creiamo un gruppo di log qui.
Il gruppo di log è fondamentalmente il luogo in cui vengono memorizzati i dati di log del flusso VPC.
Quindi lo chiamerò registro di flusso VPC e farò clic su crea.
È fantastico.
Quindi ora, all'interno dell'impostazione del registro di flusso VPC, è necessario assegnare un nome.
Quindi chiamiamolo registro di flusso demo.
Ora, all'interno del filtro, è possibile specificare il tipo di traffico che si desidera catturare.
Quindi, in generale, una delle cose importanti da catturare è anche il traffico di scarto, perché vi fornirà
molte informazioni.
Il modo migliore è quindi quello di catturare tutto il traffico.
Quindi, diamo un "all" e all'interno dell'intervallo massimo aggregato, manteniamo il valore predefinito.
E poi viene l'importante impostazione della destinazione in cui si desidera memorizzare i dati.
Direi di inviarlo al cloud, che esegue il log all'interno dei gruppi di log di destinazione.
Andiamo avanti e selezioniamo i registri di flusso della VPC che abbiamo creato e per il ruolo IAM, nel caso in cui non
abbiate un ruolo IAM, potete andare avanti e farlo rapidamente.
È quindi possibile fare clic su Imposta autorizzazione e verrà automaticamente assegnato un nome al ruolo e la politica associata
per quel ruolo.
Tutto ciò che dovete fare è fare clic su "Consenti".
Perfetto.
Quindi, una volta creato il ruolo IM, aggiorniamolo rapidamente e ora possiamo specificare il ruolo dei registri
di flusso e il formato dei record di registro.
Manteniamo quello predefinito e possiamo procedere alla creazione di un registro di flusso.
È fantastico.
Quindi viene creato il registro di flusso.
Quindi, se apriamo rapidamente qui, vediamo che il registro di flusso è stato creato.
Ora la prossima cosa da fare è passare all'istanza EC due.
Apriamo le istanze e avviamo una delle due istanze semplici in esecuzione in questo ambiente.
Quindi procedo con l'avvio.
Ora, all'interno del gruppo di sicurezza, vediamo rapidamente quali sono le regole disponibili.
Quindi avete una regola dell'80 su 0000.
Avete una regola del 20 su 0000.
Quindi è sufficiente mantenere l'istanza EC2 in funzione per un po' di tempo e nei registri di flusso
si vedranno molte voci interessanti.
Quindi metteremo in pausa il video e forse, dopo un po' di tempo di esecuzione della build di due istanze
EC, esploreremo il log del flusso VPC per vedere alcune voci interessanti.
Per questo motivo, mettiamo subito in pausa il video.
Va bene.
Quindi è stato chiuso a circa 15 minuti e il nostro utile registro di flusso VPC è ora pronto.
Ora, questo mostra fondamentalmente una delle interfacce, soprattutto perché abbiamo solo un'istanza EC2 in
esecuzione.
Apriamo quindi rapidamente questo file e vediamo quanti traffici di rete sono stati completati negli
ultimi 15 minuti.
Qui si vedono molte connessioni che avvengono in un breve lasso di tempo e alcune
di esse vengono accettate e altre rifiutate.
Quindi vengono sostanzialmente rifiutati a livello di gruppo di sicurezza, principalmente perché non abbiamo una regola consentita
in questo caso.
Apriamo quindi una di esse.
Espandiamoci rapidamente e sappiamo che questo è l'IP di origine e questo è l'IP di destinazione
246 È possibile anche verificarlo.
Quindi, se apriamo rapidamente i dettagli dell'istanza qui, all'interno dell'IP di destinazione,
vediamo che ce ne sono 46. 2 46 qualcosa di simile a questo.
Vediamo quindi qual è l'IP di origine in termini di paese di provenienza.
Quindi si può semplicemente fare la localizzazione IP.
Esistono molti siti web che forniscono la posizione in base all'indirizzo IP.
Permettetemi quindi di incollare uno degli indirizzi IP che abbiamo trovato e che è interessante.
Questo indirizzo IP, ancora una volta, proviene da Mosca, dalla Russia.
Esploriamo anche per voi che tra questi avete anche qualcosa da 193.
Proviamo.
Quindi questo proviene dall'Ucraina.
Interessante.
Abbiamo quindi molti visitatori interessanti per il nostro ambiente demo.
In genere, nell'organizzazione con cui ho lavorato, si vedono quasi tutti i paesi
nel registro di flusso VPC, tranne il continente Antartide.
Ottimo.
A questo punto non dovremo fare altro che semplificare, spero che in una panoramica di alto livello abbiate
capito le basi del registro di flusso VPC e anche l'importanza di abilitarlo nell'ambiente di produzione.
Con questo si conclude il video di oggi.