질문
AWS 네트워크 방화벽에 의해 차단된 연결을 기록하거나 차단된 연결의 로그를 필터링하는 방법이 있습니까?
배경
현재 규칙을 설정 중인데 어떤 IP나 도메인이 차단되었는지 알고 싶습니다.
보고AWS 네트워크 방화벽에서 네트워크 트래픽 로깅그러나 그것이 가능한지는 확실하지 않습니다.
네트워크 방화벽 상태 저장 엔진의 흐름 로그 및 경고 로그를 기록할 수 있습니다.
흐름 로그는 표준 네트워크 트래픽 흐름 로그입니다. 각 흐름 로그 레코드는 특정 5튜플에 대한 네트워크 흐름을 캡처합니다.
경고 로그는 경고를 보내는 작업이 있는 상태 저장 규칙과 일치하는 트래픽을 보고합니다. 상태 저장 규칙은 DROP 및 ALERT 규칙 작업에 대한 경고를 보냅니다.
흐름 로그에서는 통과 또는 차단 여부가 명확하지 않습니다.
{
"firewall_name": "network-firewall-sagemaker-studio-anfw",
"availability_zone": "us-east-1a",
"event_timestamp": "1628236046",
"event": {
"timestamp": "2021-08-06T07:47:26.000068+0000",
"flow_id": 1108238612337889,
"event_type": "netflow",
"src_ip": "51.222.5.114",
"src_port": 57528,
"dest_ip": "10.2.2.60",
"dest_port": 8088,
"proto": "TCP",
"netflow": {
"pkts": 1,
"bytes": 40,
"start": "2021-08-06T07:46:24.365793+0000",
"end": "2021-08-06T07:46:24.365793+0000",
"age": 0,
"min_ttl": 239,
"max_ttl": 239
},
"tcp": {
"tcp_flags": "02",
"syn": true
}
}
}
답변1
"경고" 로그 유형을 기록하도록 방화벽을 구성해야 합니다.
그런 다음 소스, 대상 및 작업(예: DROP 또는 ALLOW)이 표시됩니다.
다음은 로그 유형을 변경하는 방법에 대한 몇 가지 문서입니다.
https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-update-logging-configuration.html