Amazon Network Firewall 모범 사례 #4 – 로그 수집 및 분석

간단 소개

AWS Network Firewall(ANF) 로그 설정, 관리, 분석 방법을 제시하고, 로그를 활용한 보안 위협 탐지 및 문제 해결 방안을 설명합니다.

AI Summary

ANF 로그 관리 및 활성화
- ANF 로그는 보안 문제 해결, 위협 탐지, 감사 대비에 중요하며, Alert Log와 Flow Log 두 가지 타입으로 제공됩니다.
- 로그는 Amazon S3, CloudWatch Logs, Kinesis Data Firehose에 저장 가능하며, 필요에 따라 암호화 옵션을 설정할 수 있습니다.
- 로그 설정 변경 시에는 기존 설정을 비활성화 후 재활성화해야 합니다.
로그 정보 분석 및 활용
- Alert Log는 규칙 매칭 정보를, Flow Log는 트래픽 흐름 정보를 제공하며, flow_id를 통해 두 로그를 연관 분석할 수 있습니다.
- app_proto 필드가 'failed'로 표시되는 경우는 Suricata 엔진이 트래픽을 식별할 수 없거나 유효성 검사에 실패한 경우입니다.
- UDP 프로토콜과 함께 'flow:established' 키워드를 사용할 때는 양방향 트래픽이 모두 ANF를 통과해야 합니다.
로그 검색 및 분석 방법
- Amazon Athena를 사용하여 S3에 저장된 로그를 분석할 수 있으며, 테이블 생성 후 다양한 쿼리문을 통해 필요한 정보를 추출할 수 있습니다.
- CloudWatch Logs를 사용하는 경우, 필터 옵션을 활용하여 로그를 분석할 수 있습니다.