AWS VPC Flow LogsでVPCのネットワーク通信を可視化する方法｜S3・CloudWatch Logs連携と異常検知の設計パターン

この記事のポイント

・aws ec2 create-flow-logsでVPC・サブネット・ENIの3レベルで有効化できる
・actionフィールドがREJECTの記録を絞り込むと不審アクセスを素早く特定できる
・S3送信はコストが低く長期保存向き、CloudWatch Logsはリアルタイム分析に強い
・traffic-type REJECTから始めて必要に応じてALLに拡張するのがコスト効率のよい設計

# bucket-policy.json として保存する
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AWSLogDeliveryWrite",
      "Effect": "Allow",
      "Principal": { "Service": "delivery.logs.amazonaws.com" },
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::my-flowlogs-bucket/vpc-logs/AWSLogs/123456789012/*",
      "Condition": {
        "StringEquals": {
          "s3:x-amz-acl": "bucket-owner-full-control",
          "aws:SourceAccount": "123456789012"
        }
      }
    },
    {
      "Sid": "AWSLogDeliveryAclCheck",
      "Effect": "Allow",
      "Principal": { "Service": "delivery.logs.amazonaws.com" },
      "Action": "s3:GetBucketAcl",
      "Resource": "arn:aws:s3:::my-flowlogs-bucket"
    }
  ]
}

# バケットポリシーを適用する
aws s3api put-bucket-policy \
  --bucket my-flowlogs-bucket \
  --policy file://bucket-policy.json \
  --region ap-northeast-1

# VPCレベルでFlow Logsを有効化（S3送信・すべての通信を記録）
aws ec2 create-flow-logs \
  --resource-type VPC \
  --resource-ids vpc-0a1b2c3d4e5f67890 \
  --traffic-type ALL \
  --log-destination-type s3 \
  --log-destination arn:aws:s3:::my-flowlogs-bucket/vpc-logs/ \
  --region ap-northeast-1

# 実行後の出力例
{
    "ClientToken": "",
    "FlowLogIds": [
        "fl-0abc1234def56789"
    ],
    "Unsuccessful": []
}

# 有効化状態を確認する
aws ec2 describe-flow-logs \
  --filter "Name=resource-id,Values=vpc-0a1b2c3d4e5f67890" \
  --region ap-northeast-1 \
  --query 'FlowLogs[*].{ID:FlowLogId,Status:FlowLogStatus,Dest:LogDestinationType}' \
  --output table

# 出力例
-----------------------------------------------------------------
|                       DescribeFlowLogs                        |
+----+----------------------+------+--------+------------------+
| Dest                    |         ID          |    Status    |
+-------------------------+---------------------+--------------+
|  s3                     |  fl-0abc1234def56789 |  ACTIVE     |
+-------------------------+---------------------+--------------+

# trust-policy.json として保存する
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "Service": "vpc-flow-logs.amazonaws.com" },
      "Action": "sts:AssumeRole"
    }
  ]
}

# IAMロールを作成する
aws iam create-role \
  --role-name VPCFlowLogsRole \
  --assume-role-policy-document file://trust-policy.json

# CloudWatch Logs書き込みポリシーをアタッチする（最小権限版）
aws iam put-role-policy \
  --role-name VPCFlowLogsRole \
  --policy-name FlowLogsCloudWatchPolicy \
  --policy-document '{
    "Version": "2012-10-17",
    "Statement": [{
      "Effect": "Allow",
      "Action": [
        "logs:CreateLogGroup",
        "logs:CreateLogStream",
        "logs:PutLogEvents",
        "logs:DescribeLogGroups",
        "logs:DescribeLogStreams"
      ],
      "Resource": "*"
    }]
  }'

# ロググループを作成する（存在しない場合）
aws logs create-log-group \
  --log-group-name /aws/vpc/flowlogs \
  --region ap-northeast-1

# CloudWatch Logs送信でFlow Logsを有効化する
aws ec2 create-flow-logs \
  --resource-type VPC \
  --resource-ids vpc-0a1b2c3d4e5f67890 \
  --traffic-type ALL \
  --log-destination-type cloud-watch-logs \
  --log-group-name /aws/vpc/flowlogs \
  --deliver-logs-permission-arn arn:aws:iam::123456789012:role/VPCFlowLogsRole \
  --region ap-northeast-1

# 直近1時間のREJECTを送信元IP別に集計するInsightsクエリ
fields @timestamp, srcaddr, dstaddr, srcport, dstport, action
| filter action = "REJECT"
| stats count() as reject_count by srcaddr
| sort reject_count desc
| limit 20

# バージョン2 標準フォーマットのヘッダー
version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status

# 実際のログレコード例（アカウントID・ENI IDはマスク済み）
2 123456789012 eni-0a1b2c3d4e5f 203.0.113.45 10.0.1.100 52341 22 6 4 240 1720000000 1720000060 REJECT OK
2 123456789012 eni-0a1b2c3d4e5f 10.0.1.100 10.0.2.200 54321 443 6 20 4120 1720000060 1720000120 ACCEPT OK
2 123456789012 eni-0a1b2c3d4e5f - - - - - - - 1720000120 1720000180 - NODATA

-- Athena: REJECTされた外部IP（プライベートアドレス以外）をポート別に集計する
SELECT srcaddr, dstport, count(*) AS reject_count
FROM vpc_flow_logs
WHERE action = 'REJECT'
  AND srcaddr NOT LIKE '10.%'
  AND srcaddr NOT LIKE '172.16.%'
  AND srcaddr NOT LIKE '192.168.%'
GROUP BY srcaddr, dstport
ORDER BY reject_count DESC
LIMIT 30;

# CloudWatch Insights: サブネット間のACCEPT通信を確認する
# （例: 10.0.1.0/24 のアプリ層から 10.0.2.0/24 のDB層への通信）
fields @timestamp, srcaddr, dstaddr, dstport, action
| filter action = "ACCEPT"
  and srcaddr like "10.0.1."
  and dstaddr like "10.0.2."
| sort @timestamp desc
| limit 50

# CloudWatch Insights: DNS通信（UDP 53）の状況を確認する
fields @timestamp, srcaddr, dstaddr, dstport, protocol, action
| filter dstport = 53 and protocol = 17
| stats count() as dns_count by action

# セキュリティ監査特化型の設定（REJECTのみ・S3送信）
aws ec2 create-flow-logs \
  --resource-type VPC \
  --resource-ids vpc-0a1b2c3d4e5f67890 \
  --traffic-type REJECT \
  --log-destination-type s3 \
  --log-destination arn:aws:s3:::my-flowlogs-bucket/vpc-reject-logs/ \
  --region ap-northeast-1

aws ec2 describe-flow-logs \
  --filter "Name=resource-id,Values=vpc-0a1b2c3d4e5f67890" \
  --region ap-northeast-1 \
  --query 'FlowLogs[*].{Status:FlowLogStatus,Error:DeliverLogsErrorMessage}' \
  --output table

# バケットポリシーが正しく設定されているか確認する
aws s3api get-bucket-policy \
  --bucket my-flowlogs-bucket \
  --output text

# ポリシーが存在しない場合は以下のエラーが返る
# An error occurred (NoSuchBucketPolicy) when calling the GetBucketPolicy operation:
# The bucket policy does not exist