[AWS] VPC Traffic Mirroring

안녕하세요.

VPC Traffic Mirroring에 대해 포스팅 하겠습니다.

 

VPC Traffic Mirroring이란?

트래픽 미러링은 유형의 탄력적 네트워크 인터페이스에서 네트워크 트래픽을 복사하는 데 사용할 수 있는 Amazon VPC 기능입니다.

 

VPC Traffic Mirroring을 통해 기존  VPC와 함께 사용하여 대규모 네트워크 트래픽을 캡처하고 검사할 수 있는데요, 다음과 같은 기능을 수행할 수 있습니다.

• 네트워크 및 보안 이상 감지 – VPC의 모든 워크로드에서 관심 트래픽을 추출하여 원하는 감지 도구로 라우팅할 수 있습니다. 따라서 기존의 로그 기반 도구를 사용할 때보다 더 빠르게 공격을 감지하고 대응할 수 있습니다.
• 운영 통찰력 확보 – VPC 트래픽 미러링을 사용하여 보다 정확한 정보를 기반으로 보안 결정을 내리는 데 필요한 네트워크 가시성 및 제어 기능을 활용할 수 있습니다.
• 규정 준수 및 보안 제어 구현 – 모니터링, 로깅 등을 요구하는 규제 및 규정 준수 요구 사항을 충족할 수 있습니다.
• 문제 해결 – 테스트 및 문제 해결을 위해 내부적으로 애플리케이션 트래픽을 미러링할 수 있습니다. 트래픽 패턴을 분석하여, 애플리케이션의 성능을 저하시키는 주요 지점(choke point)을 사전 예방적으로 찾아낼 수 있습니다.

VPC 트래픽 미러링은 VPC를 통과하는 네트워크 패킷에 직접 액세스할 수 있는 “가상 파이버 탭”으로 생각할 수 있습니다.

모든 트래픽을 캡처하도록 선택하거나 필터를 사용하여 특히 관심 있는 패킷을 캡처할 수 있으며 패킷당 캡처된 바이트 수를 제한하는 옵션을 사용할 수 있습니다. 다중 계정 AWS 환경에서 VPC 트래픽 미러링을 사용하여 여러 AWS 계정에 분산되어 있는 VPC의 트래픽을 캡처한 다음 검사를 위해 중앙 VPC로 라우팅할 수 있습니다.

 

VPC Traffic Mirroring의 핵심 요소

• 미러 소스
  • 모니터링할 네트워크 인터페이스
  • 특정 VPC 내에 존재하며 트래픽 소스로 사용할 수 있는 AWS 네트워크 리소스입니다. VPC 트래픽 미러링은 ENI(Elastic Network Interfaces)를 미러 소스로 사용하도록 지원합니다.
• 미러 타겟
  • 미러링된 트래픽의 대상
  • 미러된 트래픽의 타겟으로 사용되는 ENI 또는 Network Load Balancer입니다. 타겟은 미러 소스와 동일한 AWS 계정에 있거나 위에서 언급 한 중앙-VPC 모델 구현에 사용되는 다른 계정에 있을 수 있습니다.
• 미러 필터
  • 미러링되는 트래픽을 정의하는 규칙 집합
  •  캡처(수락) 또는 건너 뛸(거부) 인바운드 또는 아웃바운드(소스와 관련된) 트래픽의 사양입니다. 필터에서 프로토콜, 소스 및 대상 포트의 범위, 소스 및 타겟의 CIDR 블록을 지정할 수 있습니다. 규칙은 번호가 매겨져, 특정 미러 세션의 범위 내에서 순서대로 처리됩니다.
• 트래픽 미러 세션
  • 소스, 필터 및 대상 간의 관계를 설정
  • 필터를 사용하는 미러 소스와 타겟 간의 연결입니다. 세션은 번호가 매겨져 순서대로 평가되며 첫 번째 일치(수락 또는 거부)가 패킷의 운명을 결정하는 데 사용됩니다. 지정된 패킷은 최대 하나의 타겟으로 전송됩니다.

 

트래픽 미러링 작동 방식

트래픽 미러링은 인스턴스에 연결된 네트워크 인터페이스에서 인바운드 및 아웃바운드 트래픽을 복사합니다. 

 

미러링된 트래픽을 다른 인스턴스의 네트워크 인터페이스, UDP 수신기가 있는 Network Load Balancer 또는 UDP 수신기가 있는 게이트웨이 로드 밸런서로 보낼 수 있습니다. 

트래픽 미러 소스와 트래픽 미러 대상(모니터링 어플라이언스)은 동일한 VPC에 있을 수 있고, 리전 내 VPC 피어링, 전송 게이트웨이를 통해 연결되거나 게이트웨이 로드 밸런서 엔드포인트를 통해 다른 VPC의 게이트웨이 로드 밸런서에 연결되는 다른 VPC에 있을 수 있습니다.

 

트래픽 미러링의 이점

• 간소화된 작업 - EC2 인스턴스에서 패킷 전달 에이전트를 관리할 필요 없이 VPC 트래픽의 모든 범위를 미러링합니다.
• 향상된 보안 - 사용자 공간에서 비활성화하거나 변조할 수 없는 탄력적 네트워크 인터페이스에서 패킷을 캡처합니다.
• 향상된 모니터링 옵션 - 미러링된 트래픽을 모든 보안 장치로 보냅니다.