Registros de flujo de VPC y de DNS

Un registro de flujo de VPC resume el tráfico de una interfaz de red durante una ventana de agregación: origen, destino, puertos, protocolo (el número de IANA: 6 es TCP, 17 es UDP), paquetes, bytes, inicio y fin, y una acción, ACCEPT o REJECT. No trae el contenido de los paquetes ni nombres de dominio. Dice que hubo una conversación y cuánto pesó, no qué se dijo.

La tabla instancias relaciona cada interfaz con una máquina. Las direcciones 10.40.x.x son privadas de la VPC de la empresa; las demás, públicas.

Abre la consola. Ejecuta SELECT * FROM flow ORDER BY bytes DESC y mira la primera fila. Aquí el origen es una instancia de la VPC y el destino una dirección pública.

Los registros de consultas del Resolver guardan el nombre pedido (query_name), el código de respuesta (rcode; NOERROR es el más común, NXDOMAIN indica que el nombre no existe) y la respuesta que se devolvió. Cruzando la respuesta con la dirección de un flujo se encuentra el nombre que la instancia resolvió antes de hablar con ella.

Ejecuta SELECT * FROM dns WHERE respuesta = '203.0.113.99'.

Un flujo se parte en varios registros cuando la conversación dura más que la ventana de agregación. Para el volumen total hacia un destino se suman los bytes de todos sus registros. Una mebibyte (MiB) son 1 048 576 bytes.

Ejecuta SELECT * FROM flow WHERE destino = '203.0.113.99' y suma la columna bytes.

Los tres intentos al puerto 22 desde una misma dirección aparecen como REJECT: el grupo de seguridad no los dejó pasar. Los flujos hacia el exterior aparecen como ACCEPT: el tráfico estaba permitido y se aceptó. La acción habla de la red, no de la aplicación: un ACCEPT no dice si el programa de destino respondió bien, ni si lo que se envió era legítimo.