Alibaba Cloud VPC Flow Log の Log Analysis Report を使ってみた

VPC Flow Logとは

VPC Flow Logは、Alibaba Cloud VPC内のネットワークインターフェースから送受信されるトラフィックデータをキャプチャーし、保存する機能です。これにより、全てのネットワークアクティビティを詳細に把握することができ、費用の最適化やトラブルシューティングのための情報を提供することができます。

具体例としては、以下のような用途があります：

• フローログを調査してネットワーク伝送の状況を分析することで、ネットワークトラフィックの費用を最適化することができます。
• IPアクセス履歴や出方向および入方向のトラフィック情報を通じて、異常なIPや侵入したIPのアクセス記録を分析することができます。

Log Analysis Reportとは

Log Analysis Reportは、VPC Flow Logのデータを分析し、視覚的にわかりやすいチャートを生成する機能です。これにより、ネットワークトラフィックの状況や異常なアクティビティを迅速に発見し、対策を講じることが容易になります。以下に、Log Analysis Reportを使ってみた具体的なステップをご紹介します。

1. VPC Flow Logの設定

まずは、VPC Flow Logの設定を行います。Alibaba Cloudコンソールにログインし、以下の手順でVPC Flow Logを設定します。

1-1. VPCコンソールのFlow Logメニューに移動します。初回の場合、有効化する必要がありますので、「Enable Now」をクリックして有効化します。

1-2. 「Create a flow log」をクリックし、対象VPCとFlow Logを保存するLogstoreを指定します。

1-3. Logstoreを指定すると、「Enable Log Analysis Report」というオプションが表示されますので、利用する場合はチェックを入れて「OK」をクリックします。

1-4. 作成されたFlow Logを確認します。

2．VPC Flow Logの確認

VPC Flow Logの設定が完了し、しばらくするとFlow Logデータが収集され始めます。ログ記録のため、対象VPC内に仮想サーバー（ECS）を作成し、外部へ通信させてみます。ECSの作成については本ブログでは割愛します。

2-1. 対象VPCのテストECSにて、ECSのプライベートIPを確認し、「8.8.8.8」にPingを送信します。

2-2. Log Serviceコンソールに移動し、VPC Flow Logを保存するLogstoreで「8.8.8.8」でフィルターをかけ検索すると、以下２種類の通信が記録されていることが確認できました。

3．Log Analysis Reportの確認

手順1-3で「Enable Log Analysis Report」を有効にすることで、VPC Flow Logを保存するLogstoreのダッシュボードにて、収集されたVPC Flow Logのデータをもとに以下の6つのLog Analysis Reportが生成されます。最後尾の「en」と「cn」はそれぞれのダッシュボードの言語を示しており、実質3種類のダッシュボードとなります。

• vpc_flow_log_overview_en 
• vpc_flow_log_rejection_cn 
• vpc_flow_log_rejection_en 
• vpc_flow_log_traffic_cn 
• vpc_flow_log_traffic_en

3-1. vpc_flow_log_overview_en には以下15種の図表が含まれています。

3-2. vpc_flow_log_rejection_en には以下15種の図表が含まれています。

3-3. vpc_flow_log_traffic_en には以下12種の図表が含まれています。

4. Log Analysis Reportのカスタマイズ

Log Analysis Reportの図表は、VPC Flow Logをさまざまな形式で集計し、その結果を内蔵のチャートで可視化する機能です。そのため、集計方式やチャートをカスタマイズすることも可能です。ダッシュボード vpc_flow_log_traffic_en内の「Top 10 Destination Address by Bytes」という図表を例として説明します。トップ10の宛先にイントラネット宛や、VPC内ECS宛も含まれるため、インターネット宛のみを絞り込んでみたいと思います。

4-1. デフォルトの「Top 10 Destination Address by Bytes」を確認します。トップ10の宛先にはイントラネットIPや、VPC内ECSのIPも含まれていることを確認します。

4-2. 右上の「Edit」をクリックし、編集画面に遷移します。

4-3. Search & Analysis 文に「アウトバウンド通信限定」と「イントラネット除外」の構文を追加し、宛先がインターネット通信で絞り込まれるようにします。

追加前：

log-status : OK and version : 1 | select dstaddr, sum(bytes) as total_bytes group by dstaddr order by total_bytes desc limit 10

追加後：

log-status : OK and version : 1 and direction:"out" | select dstaddr, sum(bytes) as total_bytes where ip_to_domain(dstaddr) != 'intranet' group by dstaddr order by total_bytes desc limit 10

4-4. チャートタイプを「Column Chart」から「Treemap Chart」に変更し、見た目の変化を確認します。

4-5. ダッシュボード vpc_flow_log_traffic_enでの各チャートの配置位置もカスタマイズ可能です。

まとめ

以上がAlibaba Cloud VPC Flow Logの設定とLog Analysis Report機能の使用手順およびその結果です。Log Analysis Reportを利用することで、ネットワークトラフィックの可視化が容易になり、全体の状況や特定のトラフィック動向を把握できます。また、フィルタリングや表示形式のカスタマイズにより、特定の条件に基づいた詳細な分析も行えます。Log Analysis Reportは、ネットワーク管理に役立つツールであることが確認できました。

実際のネットワーク利用状況の可視化においてもLog Analysis Reportを活用し、設定を行う際の参考にしていただければ幸いです。最後までご覧いただき、ありがとうございました。

関連サービス