AWS 網絡防火牆 - 如何記錄被阻止的連接

Question

問題

有沒有辦法記錄被 AWS 網絡防火牆阻止的連接，或者過濾被阻止的連接的日志？

背景

目前正在設置規則，想知道哪些 IP 或域名被屏蔽了。

查看來自 AWS 網絡防火牆的 Logging.network 流量，但不清楚是否可行。

您可以記錄來自網絡防火牆狀態引擎的流日志和警報日志。
流日志是標准的網絡流量日志。 每個流日志記錄捕獲特定 5 元組的網絡流。

警報日志報告與您的有狀態規則相匹配的流量，這些規則具有發送警報的操作。 有狀態規則為規則操作 DROP 和 ALERT 發送警報。

從流日志中，不清楚它是通過還是阻止。

{
    "firewall_name": "network-firewall-sagemaker-studio-anfw",
    "availability_zone": "us-east-1a",
    "event_timestamp": "1628236046",
    "event": {
        "timestamp": "2021-08-06T07:47:26.000068+0000",
        "flow_id": 1108238612337889,
        "event_type": "netflow",
        "src_ip": "51.222.5.114",
        "src_port": 57528,
        "dest_ip": "10.2.2.60",
        "dest_port": 8088,
        "proto": "TCP",
        "netflow": {
            "pkts": 1,
            "bytes": 40,
            "start": "2021-08-06T07:46:24.365793+0000",
            "end": "2021-08-06T07:46:24.365793+0000",
            "age": 0,
            "min_ttl": 239,
            "max_ttl": 239
        },
        "tcp": {
            "tcp_flags": "02",
            "syn": true
        }
    }
}

Answer 1

是的，您可以獲得.network 日志。

AWS 網絡防火牆是一項托管服務，您可以使用它為您的 Amazon Virtual Private Cloud 實例部署必要的網絡保護。 AWS Network Firewall 與 AWS Firewall Manager 協同工作，因此您可以根據 AWS Network Firewall 規則構建策略，然后在您的 VPC 和賬戶中集中應用這些策略。 https://docs.aws.amazon.com/athena/latest/ug/querying.network-firewall-logs.html

如何創建亞馬遜 cloudwatch 日志https://docs.aws.amazon.com.network-firewall/latest/developerguide/logging-cw-logs.html

AWS 網絡防火牆日志記錄目的地https://docs.aws.amazon.com.network-firewall/latest/developerguide/firewall-logging-destinations.html

Answer 2

在您的防火牆中，記錄配置。 請為Alerts啟用日志，然后您可以選擇警報（來自被阻止請求的日志）的發送位置。 您將擁有 s3 或 cloudwatch 日志組等選項。 祝你好運。