中級・異常系 Pro-lite対象・登録不要
Web偵察・ポートスキャン兆候の検知
同一接続元から公開Load Balancerへ短時間に複数の宛先TCP portが試行された兆候をFlow Logsで相関し、一時遮断と影響確認後に不要な公開ruleを削減する防御シナリオです。
- 結果
- 偵察兆候検知 / 公開rule 3件から1件
- 主なプロトコル
- TCP / VPC Flow Logs / SIEM / Security Group
- 停止または分岐地点
- 公開Load Balancerへの複数宛先port試行をFlow Logsで相関し、アクセス成立前の遮断、影響確認、不要な公開port削減まで進める防御対応を追います。
最初に確認する証跡
- Flow Logsの接続元・宛先・distinct port数・時間窓とACCEPT／REJECT集約
- Load Balancer・WAF・Backend・認証ログの成功成果0件
- 一時denyと公開ruleの3件から承認済み443だけの1件への削減
正常系との違い
正常なWebアクセスは承認済み443へ到達しTLSとHTTPへ進みます。このシナリオは443のFlow ACCEPTだけを成功と見なさず、アプリケーション成果0件を確認し、接続元denyとは別に不要な公開portを閉じます。
このページは学習用の模擬シナリオです。実環境への通信や入力内容の保存は行いません。
パケットの動きで確認するキャンバスを読み込んでいますパケットとログを準備しています。