Question

운영하고 있는 VPC의 아웃바운드 트래픽 제어가 필요합니다.

현재는 아웃바운드가 Any로 허용(네트워크 ACL은 전체 허용이며 보안 그룹으로 인바운드 트래픽만 제어하고 있음)되어 있고 이 부분을 개선 하려고 합니다.

상단에 허용될 정책들을 추가하며 최종적으로는 해당 화이트리스트 정책 외에 모두 차단하는 것이 목표입니다.

서비스 담당자를 통해 사용하는 트래픽 정의가 일부 가능하긴 하지만 놓치는 부분이 분명 있을 수 있습니다.

보안 그룹의 아웃바운드 > 각 규칙에 의해 차단/허용되어 흐르고 있는 트래픽 현황을 확인할 수 있는 방법 문의 드립니다.

트래픽 현황에는 적어도 출발지/목적지/포트 정보가 포함되어야 합니다.

확인 후 가이드 부탁 드립니다.

추가로, 가이드 주신 방법으로 진행할 때 비용이 발생하는 포인트 가이드 부탁 드립니다.

Answer

네트워크 트래픽을 수집하기 위해서 VPC Flow Logs를 활용합니다.

• 특정 VPC 에서 Flow Logs를 사용하여 VPC 서브넷과 ENI의 네트워크 트래픽이 CloudWatch Logs를 통해 저장된 후, 분석 할 수 있습니다.

• 로그 정보는 보안 그룹 및 네트워크 접근(ACL) 규칙에 의해 허용 및 차단된 트래픽 정보를 포함 합니다.

• 소스 / 목적지 IP 주소, 포트 프로토콜 번호 패킷 바이트 모니터링 간격 시간, 그리고 이에 따른 액션 정보도 확인 할 수 있습니다.

[VPC Flow Logs 가이드]

확인하고자 하는 네트워크의 VPC에서 Flow Log를 생성합니다.

1. 얻고자 하는 트래픽 유형을 선택합니다.

2. 로그 데이터를 게시할 대상을 선택합니다.

• CloudWatch로 받고자 하는 경우 클라우드 로그 그룹을 생성해줍니다.

• S3로 받고자 하는 경우 버킷을 생성해 줍니다.

3. IAM  역할을 생성해 줍니다.

4. 확인 하고자 하는 형식을 지정해줍니다.

[VPC Flow Logs를 사용 하였을때 발생하는 비용]

VPC Flow Logs 이용 시 추가 비용이 발생하지 않습니다.

다만, 로그 데이터를 저장하는 CloudWatch Logs 스토리지나 S3버킷에 대한 요금만 청구됩니다.

CloudWatch Logs , S3 요금표 첨부 해드립니다.

• CloudWatch Logs 요금표

Amazon CloudWatch 요금 : https://aws.amazon.com/ko/cloudwatch/pricing/

• S3요금표

Amazon S3 요금 : https://aws.amazon.com/ko/s3/pricing/?nc=sn&loc=4