Registros de flujo de red

El formato predeterminado (versión 2) trae, en este orden: versión, cuenta, interfaz, origen, destino, puerto de origen, puerto de destino, protocolo, paquetes, bytes, inicio, fin, acción y estado del registro. El protocolo es un número: 6 es TCP, 17 es UDP, 1 es ICMP. La acción ACCEPT dice que los grupos de seguridad y las listas de control de red permitieron el tráfico; REJECT, que alguno lo bloqueó. El estado NODATA dice que no hubo tráfico en el intervalo.

Muchos intentos rechazados al mismo puerto desde el mismo origen forman un patrón de sondeo o de fuerza bruta. La fila no dice la intención, pero ordena las pistas. Cuenta los registros REJECT hacia el puerto 22 por dirección de origen. Hay otra dirección que también aparece, con menos intentos.

La columna bytes es lo que pasó por la interfaz en ese minuto. Un mismo origen interno que envía varios minutos seguidos hacia una dirección externa puede ser una copia de respaldo o una salida de datos: el registro no sabe cuál. Suma los bytes de las filas que van hacia 203.0.113.99 puerto 443 y escribe el total en megabytes. Aquí, 1 MB son 1 000 000 de bytes.

El registro habla de interfaces de red, no de servidores. Para llegar al equipo hay que cruzar la interfaz con el inventario. La tabla interfaces dice qué instancia tiene cada una. Cruza la interfaz que envió los datos de la tarea anterior.

El registro de flujo no captura todo el tráfico. Según la documentación de Amazon VPC, deja fuera, entre otros, el tráfico hacia el servidor DNS de Amazon, hacia el servicio de metadatos de la instancia, hacia el servicio de sincronía de hora y el DHCP. La tabla lo_que_no_se_registra lo resume. Alguien propone usar este registro para descartar que una instancia haga consultas DNS sospechosas.