阿里云VPC流日志——又一款安全日志分析的新利器

本文涉及的产品
日志服务 SLS,月写入数据量 50GB 1个月
简介: 带你体验阿里云VPC流日志的强大功能,并实际介绍如何快速上手,进行安全日志查询、分析和展示。

从阿里云华北5区开通VPC流日志以来,我一直在跟踪这个产品。这是一款可以采集VPC边界流量会话日志的先进产品;使用该产品后,企业安全和运维团队终于可以从流量视角全面分析安全威胁,安全检测能力将大幅增强。

今天咱们就来做一个如何使用VPC流日志这款产品如何实现安全分析的案例

概述

VPC流日志

按照官方说明:

VPC提供流日志功能,可以记录VPC网络中弹性网卡(ENI)的传入和传出流量信息,帮助您检查访问控制规则、监控网络流量、进行网络故障排查。

VPC流日志可以记录哪些内容?

您可以捕获指定弹性网卡的流量,也可以捕获指定VPC交换机的流量。如果选择为VPC或交换机创建流日志,则会捕获VPC和交换机中所有弹性网卡的流量,包括在开启流日志功能后新建的弹性网卡。

捕捉到的流量信息存储在阿里云日志服务中,您可以在日志服务中查看和分析相关数据。流日志功能测试期间暂不收取费用,日志服务将收取相应的存储和检索费用。详细信息,请参见日志服务计费。

'流日志功能捕获的流量信息会以流日志记录的方式写入日志服务中。每条流日志记录会捕获特定捕获窗口中的特定五元组网络流,捕获窗口大约为10分钟,该段时间内流日志服务会先聚合数据,然后再发布流日志记录。'

具体怎么用?

如果你想快速体验这款产品,可以考虑如下步骤:

  1. 创建一个SLS的日志项目,并为之分配一个logstore
  2. 在VPC内创建一个流日志项目,并将日志的存储绑定到你的logstore
  3. 启动流日志产品
  4. 几分钟后去SLS控制台查看VPC流日志的强大审计功能
  5. 根据自己的需要查询分析日志或定制监控仪表板

VPC流日志产品实战操作

为了帮助大家以最快地速度体验到这款产品,我来介绍一个实例操作。

准备好日志存储服务

登录SLS控制台,创建一个日志存储项目,如下:

logstore

之后,进入该项目,在项目内创建Logstore。Logstore是Project的资源集合,Logstore中的所有数据都来自于同一个数据源。通常创建Project后,您需要创建Logstore。

logstore2

创建和启动VPC流日志

进入专有网络VPC产品界面,点击左侧菜单按钮中【流日志】选项。

console_vpc_flow

点击【创建流日志】,进行参数配置。

vpc_flow_create

资源类型可以选择:

  • 弹性网卡(可以针对某个具体要关注的ECS网卡流量)
  • 交换机(针对VPC内某交换机下的所有流量)
  • 专有网络(针对整个VPC边界的网络流量,建议按需配置使用)

流量类型支持:

  • 全部流量
  • 被访问控制策略允许的流量
  • 被访问控制策略拒绝的流量

在【logstore】处选择并设置好自己的Project Name和Logstore Name。

注意:logstore和VPC 流日志必须在一个计算区域,如:华北5

点击【确定】按钮后,完成流日志项目的创建,并等待启动。

creating

使用VPC流日志进行安全分析

VPC流日志服务启动后,稍等片刻即可进入日志区进行日志查询和分析。进入SLS控制台,最直接的日志展示效果如下:

vpc_flow

用户可以根据自己的需要,自定义查询条件,查询分析日志流里所有网络会话的流量日志。例如,查看所有目标端口的22的网络会话,并对源IP进行统计分组聚合。

查询语句:SELECT srcaddr, count(*) as number GROUP BY srcaddr LIMIT 10,效果如下:

search

当然用户还可以根据自己需要做其他的图表展示。

search_charts

甚至还可以根据自定义需求,将VPC流日志的分析结果以Dashboard方式进行大屏展现,如下:

search_time

interactive

dashboard

这样使用VPC流日志,是不是很酷?

总结

阿里云VPC流日志为运维和安全人员提供了重要的辅助攻击,特别是针对安全事件分析和攻击溯源类的需求。平台提供了更加底层的统一能力,这让安全人员得以实现更大自由度的发挥,打破了过去只能依靠主机安全和WAF类日志做分析的局面。

官方介绍:目前,仅华北5(呼和浩特)、马来西亚(吉隆坡)、印度尼西亚(雅加达)、英国(伦敦)、印度(孟买)地域支持流日志功能。但实际已经有越来越多的区域正在逐步支持,期待你的创新使用:)

参考资料

相关实践学习
日志服务之使用Nginx模式采集日志
本文介绍如何通过日志服务控制台创建Nginx模式的Logtail配置快速采集Nginx日志并进行多维度分析。
目录
相关文章
|
2天前
|
XML 安全 Java
【日志框架整合】Slf4j、Log4j、Log4j2、Logback配置模板
本文介绍了Java日志框架的基本概念和使用方法,重点讨论了SLF4J、Log4j、Logback和Log4j2之间的关系及其性能对比。SLF4J作为一个日志抽象层,允许开发者使用统一的日志接口,而Log4j、Logback和Log4j2则是具体的日志实现框架。Log4j2在性能上优于Logback,推荐在新项目中使用。文章还详细说明了如何在Spring Boot项目中配置Log4j2和Logback,以及如何使用Lombok简化日志记录。最后,提供了一些日志配置的最佳实践,包括滚动日志、统一日志格式和提高日志性能的方法。
66 30
【日志框架整合】Slf4j、Log4j、Log4j2、Logback配置模板
|
29天前
|
XML JSON Java
Logback 与 log4j2 性能对比:谁才是日志框架的性能王者?
【10月更文挑战第5天】在Java开发中,日志框架是不可或缺的工具,它们帮助我们记录系统运行时的信息、警告和错误,对于开发人员来说至关重要。在众多日志框架中,Logback和log4j2以其卓越的性能和丰富的功能脱颖而出,成为开发者们的首选。本文将深入探讨Logback与log4j2在性能方面的对比,通过详细的分析和实例,帮助大家理解两者之间的性能差异,以便在实际项目中做出更明智的选择。
176 3
|
29天前
|
存储 缓存 关系型数据库
MySQL事务日志-Redo Log工作原理分析
事务的隔离性和原子性分别通过锁和事务日志实现,而持久性则依赖于事务日志中的`Redo Log`。在MySQL中,`Redo Log`确保已提交事务的数据能持久保存,即使系统崩溃也能通过重做日志恢复数据。其工作原理是记录数据在内存中的更改,待事务提交时写入磁盘。此外,`Redo Log`采用简单的物理日志格式和高效的顺序IO,确保快速提交。通过不同的落盘策略,可在性能和安全性之间做出权衡。
1607 14
|
24天前
|
Python
log日志学习
【10月更文挑战第9天】 python处理log打印模块log的使用和介绍
25 0
|
26天前
|
数据可视化
Tensorboard可视化学习笔记(一):如何可视化通过网页查看log日志
关于如何使用TensorBoard进行数据可视化的教程,包括TensorBoard的安装、配置环境变量、将数据写入TensorBoard、启动TensorBoard以及如何通过网页查看日志文件。
145 0
|
29天前
|
存储 分布式计算 NoSQL
大数据-136 - ClickHouse 集群 表引擎详解1 - 日志、Log、Memory、Merge
大数据-136 - ClickHouse 集群 表引擎详解1 - 日志、Log、Memory、Merge
35 0
|
30天前
|
缓存 Linux 编译器
【C++】CentOS环境搭建-安装log4cplus日志组件包及报错解决方案
通过上述步骤,您应该能够在CentOS环境中成功安装并使用log4cplus日志组件。面对任何安装或使用过程中出现的问题,仔细检查错误信息,对照提供的解决方案进行调整,通常都能找到合适的解决之道。log4cplus的强大功能将为您的项目提供灵活、高效的日志管理方案,助力软件开发与维护。
49 0
|
2月前
|
Java
日志框架log4j打印异常堆栈信息携带traceId,方便接口异常排查
日常项目运行日志,异常栈打印是不带traceId,导致排查问题查找异常栈很麻烦。
|
2月前
|
存储 监控 数据可视化
SLS 虽然不是直接使用 OSS 作为底层存储,但它凭借自身独特的存储架构和功能,为用户提供了一种专业、高效的日志服务解决方案。
【9月更文挑战第2天】SLS 虽然不是直接使用 OSS 作为底层存储,但它凭借自身独特的存储架构和功能,为用户提供了一种专业、高效的日志服务解决方案。
136 9
|
3月前
|
API C# 开发框架
WPF与Web服务集成大揭秘:手把手教你调用RESTful API,客户端与服务器端优劣对比全解析!
【8月更文挑战第31天】在现代软件开发中,WPF 和 Web 服务各具特色。WPF 以其出色的界面展示能力受到欢迎,而 Web 服务则凭借跨平台和易维护性在互联网应用中占有一席之地。本文探讨了 WPF 如何通过 HttpClient 类调用 RESTful API,并展示了基于 ASP.NET Core 的 Web 服务如何实现同样的功能。通过对比分析,揭示了两者各自的优缺点:WPF 客户端直接处理数据,减轻服务器负担,但需处理网络异常;Web 服务则能利用服务器端功能如缓存和权限验证,但可能增加服务器负载。希望本文能帮助开发者根据具体需求选择合适的技术方案。
141 0