网络层的流量记录
VPC 流日志记录网卡层面的流量元数据：源地址、目的地址、端口、协议与动作（接受或拒绝），并按采样周期投递到日志服务、对象存储或消息队列。它不记录报文内容，但足以支撑安全审计、连通性排障与流量画像。作为网络侧的留存记录，它比主机日志更完整，因为主机日志在事件中可能已被清理。
基本信息
| 记录内容 | 五元组加动作与字节包数，按采样周期聚合 |
|---|---|
| 典型用途 | 安全审计、连通性排障、流量画像与成本归因 |
| 投递目标 | 日志服务、对象存储或消息队列 |
| 覆盖范围 | 可对整个 VPC、指定子网或指定网卡开启 |
| 成本 | 按日志量计费，大流量环境需先估算费用与采样率 |
| 与主机日志的区别 | 不依赖实例内 Agent，实例被入侵后记录仍在 |
分析目标与查询思路
| 分析目标 | 典型条件 | 价值 |
|---|---|---|
| 被拒绝的连接 | 动作为拒绝并指定目的端口 | 定位安全组或 ACL 拦住了谁 |
| 异常外联 | 目的地址不在内网段且动作为接受 | 发现可疑的外部连接与数据外传 |
| 流量排行 | 按源与目的聚合计数 | 找出带宽消耗最大的链路 |
| 丢包方向 | 对比两侧是否都有记录 | 判断丢在源侧、目标侧还是中间 |
| 成本归因 | 按业务网段统计跨区流量 | 支撑网络费用的分账 |
典型使用场景
- 数据外传类安全事件的回溯与取证
- 排查某个端口为什么不通：确认是被拒绝还是流量根本没到达
- 收窄安全组前观察一到两周的真实外联，作为放行依据
- 跨可用区与跨云流量的成本归因与分摊
- 满足合规要求的网络访问审计与留存
流日志分析示例
流日志分析示例
查 REJECT：action = REJECT and dst_port = 3306
查外联：dst_addr not in 10.0.0.0/8 and action = ACCEPT
看 TOP 会话：按 src_addr, dst_addr 聚合计数
对比变更：按时间窗口过滤，比较改动前后同一条件的记录量流日志是网络层的记录：安全事件回溯（例如数据外传）时它比主机日志更完整，因为攻击者可以清理主机日志，而网络侧记录由平台留存，不受失陷主机影响。
只开日志不建告警等于数据沉睡：日志存下来了却没人看，安全事件只能靠事后翻查。至少应针对异常外联与特定端口被大量拒绝这两类情况建立告警。