Pular para conteúdo

Referência de VPC Flow Logs

O Senrigan carrega os Amazon VPC Flow Logs da mesma cópia do S3 que o CloudTrail e permite caçar sobre eles na página de agente 🌊 VPC Flow e no painel VPC Flow Logs Threat Hunting.

Configuração

Copie todo o prefixo AWSLogs/. Cada arquivo é direcionado pelo nome do objeto da AWS; digests, AWS Config, logs do ELB e outros arquivos são ignorados e contados no resumo da ingestão.

aws s3 sync s3://<your-bucket>/AWSLogs/ docker/logs/AWSLogs/
make ingest
make up

O que é ingerido

  • Flow logs em texto simples (.log.gz), no formato padrão ou personalizado, no layout padrão, por hora ou compatível com Hive do S3. Todos os campos documentados pela AWS são mantidos, inclusive os adicionados depois.
  • Flow logs em Parquet não são suportados: são ignorados e contados.
  • Com o GeoLite2 em docker/data/geoip/, cada endereço recebe país, cidade e ASN; o ingester enrich também pode preenchê-los depois.

Como ler a evidência de fluxo

  • Uma linha é um fluxo observado em uma interface durante uma janela de agregação — nunca uma conexão. O tráfego interno da VPC é observado duas vezes.
  • ACCEPT significa que um grupo de segurança ou NACL permitiu os pacotes, não que uma sessão foi estabelecida.
  • Os endpoints local e remoto só são definitivos quando o registro traz flow-direction (direction_source = 'record').
  • Registros rejeitados pelo Block Public Access não têm bytes, e traffic_path = 2 significa gateway de internet ou endpoint de gateway.
  • O tráfego para o resolvedor DNS da Amazon, metadados de instância, Time Sync e DHCP nunca é registrado.

🎯 18 caçadas integradas — página 🌊 VPC Flow

Toda caçada roda sem chave de API e declara os campos de que precisa: quando os dados selecionados não registram algum deles, a página informa cobertura insuficiente em vez de um resultado vazio.

# Caçada Categoria Severidade
1 🧭 Flow Log Sources and Field Coverage 🧭 Coverage P4
2 🧭 SKIPDATA Gaps by Interface 🧭 Coverage P3
3 🔍 Vertical Port Scans 🔍 Recon P3
4 🔍 Horizontal Sweeps 🔍 Recon P3
5 🚪 Internet Access to Admin / DB Ports 🚪 Exposure P1
6 🚪 Rejected, Then Accepted 🚪 Exposure P2
7 📤 Egress Spike vs Host Baseline 📤 Egress P1
8 📤 Unusual Destination Ports 📤 Egress P2
9 📤 DNS to Non-Amazon Resolvers 📤 Egress P3
10 📤 Outbound SMTP 📤 Egress P3
11 ⏱️ Periodic Observations to External Peers ⏱️ Periodicity P2
12 ↔️ New Internal Admin-Port Pairs ↔️ Lateral Movement P1
13 ↔️ Internal Inbound, Then External Egress ↔️ Lateral Movement P2
14 🧪 Unusual IP Protocols 🧪 Protocols P3
15 🧪 UDP Fan-Out to External Hosts 🧪 Protocols P3
16 🧪 ICMP and ICMPv6 Peers 🧪 Protocols P4
17 🌍 Accepted Inbound by Country 🌍 GeoIP P4
18 🛡️ BPA and Encryption-Control Rejections 🛡️ Posture P3

📊 Painel com 50 gráficos — VPC Flow Logs Threat Hunting

Comece pela aba Coverage: ela mostra quais assinaturas, campos e períodos as outras abas conseguem ver.

# Gráfico Aba
1 Flow Log Sources 🧭 Coverage
2 Capture Scope from CloudTrail 🧭 Coverage
3 NODATA / SKIPDATA Windows 🧭 Coverage
4 Records by Direction Source 🧭 Coverage
5 Field Availability by Source 🧭 Coverage
6 Flow Records 🚦 Overview
7 Bytes Observed 🚦 Overview
8 REJECT Ratio 🚦 Overview
9 Distinct External Peers 🚦 Overview
10 Interfaces Observed 🚦 Overview
11 SKIPDATA Windows 🚦 Overview
12 Flow Records by Action 🚦 Overview
13 Bytes by Direction 🚦 Overview
14 Top Rejected External Sources 🔍 Inbound / Recon
15 Vertical Scan Candidates 🔍 Inbound / Recon
16 Horizontal Scan Candidates 🔍 Inbound / Recon
17 Internet to Admin / DB Ports — Accepted 🔍 Inbound / Recon
18 SYN-Only Records from External Sources 🔍 Inbound / Recon
19 REJECT then ACCEPT — Same Peer, Target and Port 🔍 Inbound / Recon
20 Top External Destinations by Bytes 📤 Egress
21 Egress Volume vs Host Baseline 📤 Egress
22 Egress Bytes by Traffic Path 📤 Egress
23 Unusual Destination Ports 📤 Egress
24 DNS to Non-Amazon Resolvers 📤 Egress
25 Outbound SMTP 📤 Egress
26 Long-Running and Low-and-Slow Flows 📤 Egress
27 Periodic Flow-Log Observations ⏱️ Periodicity
28 Internal Admin-Port Traffic ↔️ Lateral Movement
29 First-Seen Internal Pairs ↔️ Lateral Movement
30 Internal Fan-Out by Source ↔️ Lateral Movement
31 Internal Inbound Followed by External Egress ↔️ Lateral Movement
32 ICMP / ICMPv6 Peers 🧪 Protocols & IPv6
33 UDP Fan-Out to External Hosts 🧪 Protocols & IPv6
34 Unusual IP Protocols 🧪 Protocols & IPv6
35 IPv6 Flows 🧪 Protocols & IPv6
36 Inbound Countries 🌍 GeoIP
37 Outbound Countries 🌍 GeoIP
38 External ASNs 🌍 GeoIP
39 Inbound Accepted — Origin Map 🌍 GeoIP
40 Inbound Rejected — Origin Map 🌍 GeoIP
41 Outbound Bytes — Destination Map 🌍 GeoIP
42 Inbound Records by Country and Action 🌍 GeoIP
43 Inbound Accepted Ports by Country 🌍 GeoIP
44 Top Outbound ASNs by Bytes 🌍 GeoIP
45 Rare Outbound Countries 🌍 GeoIP
46 REJECT Reasons (BPA / Encryption Controls) 🛡️ Posture
47 Encryption Status 🛡️ Posture
48 Egress to AWS Services by Path 🛡️ Posture
49 Middlebox Interfaces 🛡️ Posture
50 Egress Heatmap (UTC Hour × Weekday) 🛡️ Posture