VPC Flow Logs ハンズオン

📋 概要

VPC Flow Logs は VPC 内のネットワークインターフェイスを通過する IP トラフィックを記録する機能です。このハンズオンでは VPC フローログを CloudWatch Logs に送信し、Logs Insights で通信パターンを分析、さらにメトリクスフィルターで拒否トラフィックをモニタリングします。

🏗️ アーキテクチャ

フローログのフィールド構造

VPC Flow Logs のデフォルトフォーマット（v2）は以下のフィールドを含みます。

version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status

✅ 前提条件

• AWS アカウントにログイン済みであること
• 適切な IAM 権限（VPC・CloudWatch・IAM の読み書き）を持つユーザーであること
• 既存の VPC が存在すること（デフォルト VPC でも可）
• テスト用に EC2 インスタンスを 1 台起動しておくこと（オプション）

🔐 ステップ 1 ― Flow Logs 用 IAM ロールの作成

VPC Flow Logs が CloudWatch Logs にログを書き込むための IAM ロールを作成します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "vpc-flow-logs.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Resource": "*"
    }
  ]
}

🌊 ステップ 2 ― VPC Flow Logs を有効化する

対象 VPC にフローログを設定し、CloudWatch Logs へ送信します。

🔬 ステップ 3 ― テスト通信の実施

フローログにデータが記録されるよう、VPC 内で通信を発生させます。

2 123456789012 eni-0a1b2c3d4e 203.0.113.5 10.0.1.42 12345 80 6 10 2048 1700000000 1700000060 ACCEPT OK
2 123456789012 eni-0a1b2c3d4e 203.0.113.8 10.0.1.42 54321 8080 6 1 40 1700000010 1700000070 REJECT OK

🔍 ステップ 4 ― CloudWatch Logs Insights で通信を分析する

Logs Insights を使って VPC 内のトラフィックパターンを可視化します。

クエリ例

① REJECT されたトラフィックを確認する

fields @timestamp, srcaddr, dstaddr, dstport, protocol, action, bytes
| filter action = "REJECT"
| sort @timestamp desc
| limit 50

② 送信元 IP のアクセス頻度ランキング

fields srcaddr
| filter action = "ACCEPT"
| stats count() as request_count by srcaddr
| sort request_count desc
| limit 20

③ ポート別トラフィック量（上位 10 件）

fields dstport, bytes
| filter action = "ACCEPT"
| stats sum(bytes) as total_bytes by dstport
| sort total_bytes desc
| limit 10

④ 5 分ごとの REJECT 数推移（時系列グラフ用）

fields @timestamp, action
| filter action = "REJECT"
| stats count() as reject_count by bin(5m)
| sort @timestamp asc

⑤ 大量通信を行っている IP を特定する

fields srcaddr, bytes, packets
| stats sum(bytes) as total_bytes, sum(packets) as total_packets by srcaddr
| sort total_bytes desc
| limit 10

⑥ プロトコル別通信量

fields protocol, bytes
| stats sum(bytes) as total_bytes by protocol
| sort total_bytes desc

📊 ステップ 5 ― メトリクスフィルターの作成

REJECT トラフィックの数をカウントするメトリクスフィルターを作成し、CloudWatch メトリクスとして可視化します。

[version, account, eni, source, destination, srcport, destport, protocol, packets, bytes, windowstart, windowend, action="REJECT", log_status]

🔔 ステップ 6 ― CloudWatch アラームの設定

REJECT トラフィックが急増した場合に通知するアラームを設定します。

🧹 クリーンアップ

削除手順（逆順で実施）

1. CloudWatch アラームを削除
   CloudWatch → アラーム → VPC-High-Reject-Traffic を選択 → 「アクション」→「削除」
2. SNS サブスクリプション・トピックを削除（設定した場合）
   SNS → サブスクリプション → 対象を削除 → トピック → vpc-flow-logs-alert を削除
3. メトリクスフィルターを削除
   CloudWatch → ロログ → ロググループ → フローログのグループ → メトリクスフィルタータブ → VPC-Reject-Traffic を削除
4. VPC フローログを無効化
   VPC コンソール → お使いの VPC → 対象 VPC → フローログタブ → フローログを選択 → 「アクション」→「フローログの削除」
5. CloudWatch ロググループを削除
   CloudWatch → ロログ → ロググループ → /vpc/flow-logs/<vpc-id> を選択 → 「アクション」→「ロググループの削除」
6. IAM ロールとポリシーを削除
   IAM → ロール → VPCFlowLogsRole を削除
   IAM → ポリシー → VPCFlowLogsPolicy を削除

学習のまとめ