คำถาม

มีวิธีบันทึกการเชื่อมต่อที่ถูกบล็อกโดยไฟร์วอลล์เครือข่าย AWS หรือกรองบันทึกการเชื่อมต่อที่ถูกบล็อกหรือไม่

พื้นหลัง

กำลังตั้งค่ากฎและต้องการทราบว่า IP หรือโดเมนใดที่ถูกบล็อก

มองไปที่ การบันทึกการรับส่งข้อมูลเครือข่ายจากไฟร์วอลล์เครือข่าย AWS แต่ไม่ชัดเจนว่าเป็นไปได้หรือไม่

คุณสามารถบันทึกโฟลว์ล็อกและบันทึกการแจ้งเตือนจากเอ็นจิ้นสถานะไฟร์วอลล์เครือข่ายของคุณ
บันทึกโฟลว์คือบันทึกโฟลว์ทราฟฟิกเครือข่ายมาตรฐาน เรกคอร์ดบันทึกโฟลว์แต่ละรายการจะบันทึกโฟลว์เครือข่ายสำหรับ 5 ทูเพิลที่เฉพาะเจาะจง

บันทึกการแจ้งเตือนรายงานการรับส่งข้อมูลที่ตรงกับกฎสถานะของคุณซึ่งมีการดำเนินการที่ส่งการแจ้งเตือน กฎที่มีสถานะจะส่งการแจ้งเตือนสำหรับการดำเนินการของกฎ DROP และ ALERT

จากบันทึกการไหล ไม่ชัดเจนว่าผ่านหรือถูกบล็อก

{
    "firewall_name": "เครือข่าย-ไฟร์วอลล์-sagemaker-studio-anfw",
    "availability_zone": "เรา-ตะวันออก-1a",
    "event_timestamp": "1628236046",
    "เหตุการณ์": {
        "การประทับเวลา": "2021-08-06T07:47:26.000068+0000",
        "flow_id": 1108238612337889,
        "event_type": "netflow",
        "src_ip": "51.222.5.114",
        "src_port": 57528,
        "dest_ip": "10.2.2.60",
        "dest_port": 8088,
        "โปรโต": "TCP",
        "netflow": {
            "pkts": 1,
            "ไบต์": 40,
            "เริ่มต้น": "2021-08-06T07:46:24.365793+0000",
            "สิ้นสุด": "2021-08-06T07:46:24.365793+0000",
            "อายุ": 0,
            "min_ttl": 239,
            "max_ttl": 239
        },
        "tcp": {
            "tcp_flags": "02",
            "ซิน": จริง
        }
    }
}

คุณต้องกำหนดค่าไฟร์วอลล์ของคุณเพื่อบันทึกประเภทบันทึกของ "Alert"

จากนั้นจะแสดงแหล่งที่มา ปลายทาง และการดำเนินการ (เช่น DROP หรือ ALLOW)

นี่คือเอกสารบางส่วนเกี่ยวกับวิธีเปลี่ยนประเภทบันทึก:
https://docs.aws.amazon.com/network-firewall/latest/developerguide/firewall-update-logging-configuration.html