OCI Logging - VCN flow logsを用いてNetworkアクセス状況を分析したときのメモ

17814 ワード
oraclecloud log oci analytics log テキストリンク

この記事で記載すること

OCIの外部と内部、OCI内部間の通信ログの取得方法と取得したログの分析方法についてメモを記載する。

OCI Logging / VCN flow logsの利活用イメージ


※ 本記事では、上記のOCI StreamingのところをLog Analyticsに置き換えて、VCN flow logsで取得したログ分析する

OCI Logging / VCN flow logsに関連する基本操作

VCN flow logsの有効化

１． Loggingサービスメニューを選択
OCI Consoleメニュー > Observability & Management > Logging > Logsを選択

２． service logの有効化
「Enable service log」ボタンをクリック

３． パラメータを登録→Service Logの有効化

分類 項目 値
Resource Service ログ取得対象VCN
Resource Resource ログ取得対象Subnet
Configure Log Log Category Flow Logs
Log Location Log Group 任意（保存したLog Group）
Log Retention Log Retention 任意


Logの分析

Logging / searching loggingを利用したログの分析

１．searching loggingサービスの起動
OCI Consoleメニュー > Observability & Management > Logging > Searchを選択

２．searchするログの選択
Search > Select logs to search

３．Custom Fileterの設定

例①：REJECTしたデータのsearch

Custom filtersに以下を入力
data.action = 'REJECT'

例②：特定のサーバへの接続のsearch
data.destinationAddress='10.7.1.15'

例③：DBサーバへのOracle Net接続のsearch
data.destinationAddress='10.7.1.120'
data.destinationPort=1521

４．設定したsearchの保存
Save Search > New Saved Searchの登録

Logging Analyticsを利用したLogの分析

Logging Analyticsを使ってLoggingで取得したLogを以下のステップで分析準備
１．Loggingを使ってLogを収集（前述）
２．Logging Anaytlicsの準備
３．Service Connector Hubの準備
４．Loggin AnalyticsでLogを分析

■ VCN flow logs + Service Connector + Logging Analyticsのフローイメージ

■ Service Connector Hubを用いたフロー全体像（21/6/14時点）

２．Logging Anaytlicsの準備

Logging Analytics（LA）の有効化

LAコンソールの起動
OCI Consoleメニュー > Observability & Management > Logging Analyticsを選択

LAの有効化
Start Using Logging Analyticsをクリック

Set Up Ingestionをクリック

ここではDefaultのままでNextをクリック

Set Up Ingestionをクリック

option: Go to OCI Audit Analytics Dashboardをクリック

log groupの作成

LAのAdministorationコンソールの起動
OCI Consoleメニュー > Observability & Management > Logging Analytics > Administrationを選択

左ペインにあるLog Groupsをクリック

Create Log Groupをクリック

「flow_logs」をLog Group名としてLog Groupを作成

３．Service Connector Hubの準備

１．Service Connecter Hubサービスの起動
OCI Consoleメニュー > Observability & Management > Logging > Service Connectorsを選択

２．Log AnnalyticsがLoggingで収集したデータを利活用するための準備
Create Service Connector > パラメータをセットしてcreateをクリック
主なパラメータ

項目 値 補足
- Connector Name (任意：ここではVCN_FLOW_LOG2LA)
Source Logging
Configure source connection Log Group / Logs 事前設定済みの値を選択
Log Filter Task （Filter条件） (option)
Configure Function Task (option)

CreateをクリックしてPolicyを自動生成

Createをクリック

以下のような画面が表示される

４．Loggin AnalyticsでLogを分析

LA Dashboardの起動

LA / Dashboardsを選択

VCN Flow Logsをクリック

VCN Flow Logsダッシュボードが表示される

分析トライアル

例：DBサーバへのアクセスもとの特定

Total Packets In by Destination Portの1521(DB Port)をクリック

DBアクセスの詳細を確認

DBアクセスを一覧表示
Tableの表示 > Source IPの追加

例：Tree Mapをもとにアクセス元とアクセス頻度の確認 → アクセス頻度が高いアクセス元の深堀分析

赤枠のところをクリック

クリック後の遷移画面（Log Explorerが表示）

Destination Portごとの通信頻度の確認
→ 443ポートへのアクセスが大半を占めている

Destionリストの一覧を表示

例：REJECTされた通信をリスト表示する

Log Explorerを選択

検索条件をクリア
「×」をクリック → 「Run」をクリック

Actionをフィールドに追加

REJECTをクリック（Search条件に追加）

REJECT一覧が表示される

※ 検索条件の設定に以下と入力することでも可能

'Log Source' = 'OCI VCN Flow Unified Schema Logs' and Action = REJECT

参考情報

Documentation

Logging

Service Connector Hub

Logging Analytics

API Refernce

Workshop

Blogs

Webiner