背景

VPCフローログ(CloudWatchLogsa
出力)をハンズオンする

VPCフローログについておさらい

●VPCフローログの公式ドキュメント
https://docs.aws.amazon.com/ja_jp/vpc/latest/userguide/flow-logs-basics.html

VPC、サブネット、またはネットワークインターフェイスのフローログを作成できます。サブネットまたは VPC のフローログを作成する場合、そのサブネットまたは VPC 内の各ネットワークインターフェイスが監視されます。

VPC内の各ネットワークインターフェースなので、EC2やALBなどを通過するトラフィックログを残せる

VPCフローログ設定

前提

VPC・サブネット作成済み
サブネットに作成

ロググループ作成

ログ出力用の「CloudWatchLogs」を作成する

「名前」「保持期間」を入力
KMSキー（暗号化は行わない）は空白で作成

作成された。

VPCフローログ作成

VPCの画面に移動し、対象のVPC選択⇒タブ内の『フローログ』内『フローログの作成』クリック

「名前」：任意の名前
「フィルタ」：すべて
「最大集約間隔」：1分

「サービスアクセス」：新規作成
「ログレコード」：デフォルト形式

サービスロールとは？

AWSサービスが他のAWSサービスを利用するためのIAMロール

作成された

ログを確認

VPCフローログを作成したVPC（サブネット）内にEC2を建てて下さい。
インターネットインターフェース関連のリソースがないとログがそもそも出ないため

「ログストリーム」内にしっかりと出力されているので選択する

「タイムスタンプ」：ログが取得された日時
「メッセージ」：ログに内容

ログの見方

AWSのデフォルトログ出力は以下の構成になっている

[フローログバージョン]　2が最新
[AWSアカウントID]
[インターフェースID(eniで始まる）]
[送信元IPアドレス]
[送信先IPアドレス]
[送信元ポート番号]
[送信先ポート番号]
[プロトコル] TCPが6　UDPが17
[パケット数]
[バイト数]
[通信の開始時間(UNIXエポック)]
[通信の終了時間(UNIXエポック)]
[通信に対するアクション] 許可:ACCEPT,却下:REJECT
[ログのステータス]　ログ記録に成功:OK

2 654654279488 eni-01f35fc1a2377de36 10.0.4.135 15.152.63.145 35098 123 17 1 76 1744521785 1744521793 ACCEPT OK

上の場合のログだと

送信先ポート番号:123の通信→NTP関連
送信元IPアドレス:AWS内部におけるEC2のプライベートIP(10.0.4.135)
送信先IPアドレス:AWS所有のIPアドレス(15.152.63.145)
AWSが所有するNTPサーバとの通信だと分かります。

おまけ

15.152.63.145　が本当にAWS所有のIPアドレスなのかを確認します。

https://ipinfo.io/
にアクセスしてIPアドレスを入力します。

AWSの大阪データセンターのIPアドレス帯でした。
グローバルIPアドレスはRIRという管理組織が管理するWHOISデータベースにどの団体が所有しているか、どのドメイン名で紐づいているかなどが記載されています。

また、AWSが所有するIPアドレス帯については下記のcurlコマンドでjsonファイルでも取得できます。

curl -O https://ip-ranges.amazonaws.com/ip-ranges.json

おまけ2

REJECTされた通信のIPアドレスも同様に検索してみてください
危険なIPアドレスからの通信と表示されるはずです