Oracle Cloud Infrastructureドキュメント

VCNフロー

VCNフロー・ダッシュボードは、OCI VCNフロー・ログを使用してネットワーク・トラフィックをモニターし、接続性およびセキュリティ上の懸念事項を調査するのに役立ちます。

「概要」タブには、記録されたアクティビティ、受入済トラフィックおよび拒否済トラフィックおよび取得ステータスの要約が表示されます。トラフィック分析では、ソース、宛先、ポート、プロトコルおよびサブネット・アクティビティを調べます。セキュリティ分析では、さらなる調査のために、潜在的なスキャン・アクティビティ、パブリック宛先への大規模な転送および機密ポートへの受信トラフィックが強調表示されます。

前提条件および使用上のノート:

  • OCI VCNフロー統合スキーマ・ログ・ソースを使用してVCNフロー・ログを取り込みます。

  • 時間範囲を選択し、コンパートメントおよびエンティティ・フィルタを使用して分析を絞り込みます。結果には、これらの選択内の収集されたログのみが反映されます。

  • トラフィック・レコードは、取得ウィンドウ中のネットワーク・インタフェースでのフローを1方向に要約し、他のレコードは取得ステータスを報告します。レコード数は、パケットや一意の接続ではなく、ログエントリを表します。

  • セキュリティ・ウィジェットは、確認済のセキュリティ結果ではなく、調査リードを提供します。ログ・エクスプローラでウィジェットを開き、結果および関連レコードを確認します。

  • 最大7日間の時間範囲を使用します。範囲を長くすると、部分的な結果が返されるか、ログ・ボリュームが非常に大きい場合に失敗する可能性があります。

VCNフロー・ダッシュボードの「概要」タブに表示されるウィジェットのリストを次に示します:

ウィジェット 説明
合計フロー・ログ VCNフロー・ログ・レコードの合計数、トレンド線、および同じ長さの前期間からの変化率が表示されます。これを使用して、ロギング・ボリュームの変更を識別します。カウントには、個々のパケットや接続ではなく、トラフィック・レコードとキャプチャ・ステータス・レコードが含まれます。
不足バイト数の合計 記録された合計バイト数、トレンド線、および前の期間との比較を表示します。合計には内部トラフィック、インバウンドトラフィック、アウトバウンドトラフィックが含まれ、両方のインタフェースで記録されたトラフィックは2回カウントできます。
拒否率% 受入済および否認済レコードのパーセントとして、トレンド明細および前期間との比較とともに否認済レコードを表示します。これを使用して、セキュリティ・リストまたはネットワーク・セキュリティ・グループによってブロックされたトラフィックの変化を調査します。
観測サブネット フロー・ログで表される個別のサブネットの数を示します。この数は、テナンシ内のサブネットの合計数ではなく、監視されたロギング・アクティビティを反映します。
アクション別のトラフィック 受入済および拒否済のフロー・ログ・レコードの分布を示します。これを使用して、ネットワーク・セキュリティ・ルールによって許可またはブロックされるトラフィック・レコードの量と割合を比較します。
ステータス分布 フロー・ログ取得ステータスの分布を示します: 通常のトラフィック・レコードの場合はOK、取得ウィンドウ中にトラフィックが記録されなかった場合はNODATA、システム・エラーまたは容量の問題によりレコードがスキップされた場合はSKIPDATA。これを使用して、レポートされた取得ギャップを特定します。パーセンテージは、正常に取得されたトラフィックのパーセンテージではなく、ログ・レコードの共有を表します。
パブリックIPの場所 パブリック・ソースまたは宛先IPアドレスのおおよその位置を示し、ログ・レコード数を表すバブル・サイズを示します。これを使用して、調査のために地理的濃度または予期しない場所を特定します。場所情報がないレコードは除外されます。
処理別フロー・ボリューム推移 一定期間の受入済および拒否済フロー・ログ・レコード件数を表示します。これを使用して、許可されたトラフィックとブロックされたトラフィックのスパイク、ドロップ、または持続的な変更を特定します。

VCNフロー・ダッシュボードの「トラフィック分析」タブに表示されるウィジェットのリストを次に示します:

ウィジェット 説明
ネットワーク・スループット・トレンド 左軸と右軸をそれぞれ使用して、時間の経過とともに記録されたバイトとパケットを表示します。各ポイントはレートではなくインターバル合計を表すため、集計間隔を考慮して、バーストまたは予期しないドロップを識別するために使用します。
上位ソース・ポート TCPおよびUDPフロー・ログ・レコード数が最も多い最大5つのソース・ポート番号を示し、各ポート番号の両方のプロトコルを組み合せます。これを使用して、頻繁に監視されるソース・ポートを識別します。パーセンテージは、表示されるレコードの共有を表します。
上位宛先ポート TCPおよびUDPフロー・ログ・レコード数が最も多い最大5つの宛先ポート番号を示し、各ポート番号の両方のプロトコルを組み合せます。これを使用して、頻繁にターゲット指定されるポートを識別します。パーセンテージは、表示されたレコードの共有を表し、ポート番号のみでは、関連するアプリケーションが確認されません。
上位プロトコル ログ・レコード数別の、TCP、UDP、ICMPなど、最も頻繁に記録されるネットワーク・プロトコルを示します。プロトコルの組み合わせを比較する場合に使用します。パーセンテージは、バイトやパケットではなく、表示されたレコードのシェアを表します。
バイト・アウトによる上位ソースIP 合計記録バイト数が最も多い最大5つのソースIPアドレスを表示します。これを使用して、ネットワーク内外のソースなど、最もトラフィックに寄与するソースを特定します。
出力バイト数別の上位宛先IP 記録された合計バイト数が最も多い最大5つの宛先IPアドレスを表示します。インターネット・トラフィックのみではなく、内部および外部の宛先など、最もトラフィックを受信する宛先を識別するために使用します。
アクション別上位宛先ポート TCPおよびUDPフロー・ログ・レコードがもっとも多く、受け入れられた数と拒否された数に分割された最大5つの宛先ポート番号を表示します。これを使用して、大量のブロック・トラフィックがあるポートを識別し、関連するソース、宛先およびプロトコルを調査します。
処理別上位プロトコル 最も頻繁に記録されるネットワーク・プロトコルを示し、受け入れられたログ・レコード数と拒否されたログ・レコード数に分割されます。これを使用して、許可されているトラフィックとブロックされているトラフィックが最も多いプロトコルを比較します。
上位拒否済ソースIP 最も拒否されたフロー・ログ・レコードを含む最大5つのソースIPアドレスを表示します。これを使用して、ソースに優先順位を付けて調査します。拒否数が多いだけでは、悪意のあるアクティビティは確立されません。
上位拒否された宛先ポート 最も拒否されたフロー・ログ・レコードを含む最大5つの宛先ポートを表示します。これを使用して、ブロックされた大量のトラフィックを受信するポートを識別し、アクティビティが予想されているかどうかを調査します。
VCN/サブネット・アクティビティ 許容数と拒否数、拒否率、記録バイト数、および関連するVCNとサブネットOCIDsを含む、フロー・ログ・レコード数が最も多い最大5つのサブネットを表示します。これを使用して、サブネット・アクティビティを比較し、ブロックされたトラフィックが集中している場所を特定します。

「VCNフロー」ダッシュボードの「セキュリティ分析」タブに表示されるウィジェットのリストを次に示します:

ウィジェット 説明
拒否されたトラフィック・スナップショット 拒否されたログレコード数と、個別のソースIP、宛先IP、および宛先ポート数を表示します。ブロックされたトラフィックを調査するための開始点として使用します。宛先のポート数にはTCPおよび UDPのみが含まれ、その他の合計には拒否されたすべてのプロトコルが含まれます。
垂直ポートスイープの容疑者 拒否されたTCP/UDPトラフィックおよびパブリック・ソースからの受信トラフィックを使用して、VCNおよびプロトコル別にグループ化された1つのホスト上の少なくとも20の異なる宛先ポートに接続するソースを強調表示します。ただし、応答の可能性は除外されます。これを使用して、可能なポート・スキャンを調査します。受け入れられた内部トラフィックは除外され、推奨される時間範囲は最大7日間です。
水平ホスト・スイープの容疑者 クリティカル・ポート上の少なくとも3つの宛先ホストに接続しているソース、またはVCNとプロトコルでグループ化された別の監視ポート上の少なくとも10のホスト、拒否されたTCP/UDPトラフィック、パブリック・ソースからの受信トラフィック、管理ポートとデータベース・ポートで受信された内部トラフィックがハイライトされますが、応答の可能性は除外されます。これを使用して、ホスト・スキャンの可能性を調査します。クリティカル・ポートが最初に表示され、推奨される時間範囲は最大7日間です。
パブリック・エグレス・トップ・トーク 受け入れられたトラフィックの記録されたバイト数とフローレコード数をパブリック宛先IPアドレスと比較し、ソースIP、宛先IPおよび宛先ポートでグループ化します。これを使用して、大規模または異常な転送を調査します。パブリック宛先分類のないレコードは除外され、パブリック宛先は必ずしもインターネット転送を意味しません。
受入済外部機密ポート・ヒット パブリックIPアドレスから選択した機密宛先ポートへの受信トラフィックのおおよそのソース・ロケーションおよびログ・レコード数を表示します。これを使用して、予期しない可能性のあるアクセスを確認します。パブリックIP分類または場所情報がないレコードは除外され、受入れによって正常なアプリケーション接続またはログインが確立されません。