みなさん、こんにちは！日々のインフラ管理や開発、本当にお疲れ様です。
突然ですが、みなさんのご自宅の防犯について少し想像してみてください。頑丈な玄関ドアに鍵をかけ、窓にも補助錠をつけて、さらに最近では防犯カメラも設置しているかもしれませんね。では、もし「泥棒がどこから入ってきたか」「家の中の大切なアルバムや通帳が、どの部屋を通って外に持ち出されたか」を後からすべて確認できる「魔法の防犯カメラ＆足跡ノート」があったとしたら、どうでしょう？すごく安心だと思いませんか？
実は、私たちがクラウド（AWS、Azure、GCPなど）上に構築しているサーバーの世界にも、これとまったく同じ仕組みが存在します。それが今回お話しする「VPCフローログ」です。
今回は、セキュリティの専門用語や小難しい理屈はいったん横に置いて、「クラウドの泥棒を見つけ出す方法」を、初心者の方にも分かりやすく一歩ずつ紐解いていきたいと思います。一緒にリラックスして学んでいきましょうね！
—
1. クラウドの「防犯カメラ」：VPCフローログってなに？
私たちがクラウド上に作る仮想的なネットワーク空間を、AWSでは「VPC（Virtual Private Cloud）」と呼びます。この空間は、言ってみれば「クラウド上のあなた専用の一軒家」です。
インターネットという危険な外の世界と、あなたの大切なデータがあるお部屋の間には、必ず「ドア（ネットワークインターフェイス）」があります。このドアを通るすべての通信の記録――つまり、「誰が、いつ、どこのIPアドレスから、どのドア（ポート番号）を叩いて、どれくらいの量の荷物をやり取りしたか」という出入りの全記録を、ノートにびっしり書き留めてくれる機能こそがVPCフローログなんです。
「え、そんなログが全部残るなら、セキュリティは完璧じゃないか！」と思いますよね。
でも、ここで現実のインシデント（事件）の現場から、少し怖いお話をさせてください。
セキュリティの現場でよくあるのが、「ログは取っているけれど、誰もそのノートを見返していない」というケースです。防犯カメラの映像が録画されているのに、空き巣に入られた後で「あ、電源が入っていなかった」「誰もモニターを見ていなかった」と気づくのと同じです。これでは宝の持ち腐れですよね。
攻撃者は、私たちが「まさかこんなドアから入ってこないだろう」という油断や、設定の小さなミスを巧妙に突いてきます。だからこそ、私たちインフラ担当者や開発者は、このログを読み解くスキルを少しずつ身につけていく必要があるのです。
—
2. 攻撃者が狙う「開けっ放しの窓」と「不審なデータ持ち出し」
クラウドの世界で、攻撃者は主に次の2つの手口で私たちのシステムを狙ってきます。
手口A：許可されていないポートへの侵入トライ（全方位からのガチャガチャ）
泥棒が家に入るとき、すべての窓をガチャガチャと回して鍵がかかっていないか確認しますよね。これと同じように、攻撃者はボット（自動プログラム）を使って、インターネット側からあなたのサーバーのすべての「鍵穴（ポート番号）」を片っ端から試してきます。
通常、私たちが使わないドア（例えば、データベース用の古いポートなど）は完全に施錠しておくべきなのですが、テスト用の設定を残したまま本番公開してしまい、そこを破られてしまうケースが後を絶ちません。
手口B：外部IPへの大量データ転送（こっそり裏口からの持ち出し）
無事に侵入した泥棒が、今度は家の中の宝物（顧客データやパスワード）を大きなバッグに詰め込んで、裏口からこっそり持ち出そうとする瞬間を想像してください。
このとき、通信の記録（フローログ）には「普段はやり取りしない見知らぬ海外のIPアドレス」に向けて、「ものすごい量のデータ（パケット）」が流れ出ているという異常な数値が残ります。
VPCフローログを分析するとは、まさにこの「怪しいポートへのアクセス」と「見たこともない量のデータ転送」をデータの中から見つけ出す作業なのです。
—
3. 実践！AWSのVPCフローログをPythonで解析してみよう
「理屈は分かったけれど、実際のログデータなんてどうやって見たらいいの？」という声が聞こえてきそうですね。大丈夫です。ここでは、AWSのVPCフローログのサンプルデータを読み込み、怪しい動き（許可されていないポートへのアクセスや、外部への大量データ転送）を見つける簡単なPythonスクリプトを書いてみましょう。
AWSのVPCフローログは、デフォルトでは以下のようなスペース区切りのテキストデータとして出力されます。
2 123456789012 eni-0123456789abcdef0 192.168.1.50 203.0.113.50 54321 3389 6 100 15000 1600000000 1600000060 ACCEPT OK（※左から順に、バージョン、アカウントID、インターフェイスID、送信元IP、宛先IP、送信元ポート、宛先ポート、プロトコル番号、パケット数、バイト数、開始時刻、終了時刻、アクション…といったデータが並んでいます）
このデータの中から、Windowsの遠隔操作に使われる危険なポート（3389番など）へのアクセスや、データ量が大きい（例：1MB以上）ものをパッと自動で見つけてくれたら便利だと思いませんか？
以下のコードを、お使いの環境（ローカルのPython環境など）で試してみてください。
import csv
from io import StringIO
# 【シミュレーション】AWSのVPCフローログのサンプルデータ（テキスト形式）
# 実際の現場では、S3バケットからこのログファイルをダウンロードして読み込みます
log_data = """
version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status
2 123456789012 eni-aaa 192.168.1.10 10.0.0.5 50000 80 6 10 500 1600000000 1600000060 ACCEPT OK
2 123456789012 eni-bbb 203.0.113.99 10.0.0.5 45000 3389 6 1500 2500000 1600000100 1600000160 ACCEPT OK
2 123456789012 eni-ccc 192.168.1.50 198.51.100.25 51234 443 6 5 300 1600000200 1600000260 ACCEPT OK
2 123456789012 eni-ddd 10.0.0.5 198.51.100.99 52000 22 6 20000 15000000 1600000300 1600000360 ACCEPT OK
"""
def analyze_vpc_flow_logs(log_text):
print("=== VPCフローログのセキュリティ解析を開始します ===\n")
# スペース区切りのテキストをCSVリーダーのように扱えるように処理します
lines = [line.strip() for line in log_text.strip().split("\n")]
header = lines[0].split()
rows = [line.split() for line in lines[1:]]
# 監視・警戒すべきポート（例: 3389はRDP、22はSSHなど）
# ※本番環境では、外部からアクセスされてはいけない管理用ポートを指定します
sensitive_ports = ['3389', '22']
alert_count = 0
for row in rows:
# データ構造に合わせて変数を取得
# インデックスのズレを防ぐため、辞書型に変換すると安全です
log = dict(zip(header, row))
src_ip = log['srcaddr']
dst_ip = log['dstaddr']
dst_port = log['dstport']
bytes_transferred = int(log['bytes'])
action = log['action']
# チェック1: 外部からの重要な管理ポートへのアクセスか？
if dst_port in sensitive_ports and action == 'ACCEPT':
print(f"[!] 警戒警報: 管理用ポート ({dst_port}) への通信を検出しました！")
print( f" 送信元IP: {src_ip} -> 宛先IP: {dst_ip}")
print( f" 転送データ量: {bytes_transferred} バイト\n")
alert_count += 1
# チェック2: 異常な大容量データ転送（例: 10MB以上の通信）がないか？
elif bytes_transferred > 10000000:
print(f"[!] 異常検知: 10MBを超える大容量のデータ転送を検出しました！")
print( f" 送信元IP: {src_ip} -> 宛先IP: {dst_ip} (ポート: {dst_port})")
print( f" 転送データ量: {bytes_transferred} バイト\n")
alert_count += 1
if alert_count == 0:
print("[-] 不審な通信は検出されませんでした。安全です。")
else:
print(f"=== 解析完了: 合計 {alert_count} 件の要確認イベントが見つかりました ===")
# 関数を実行してみる
if __name__ == "__main__":
analyze_vpc_flow_logs(log_data)このスクリプトを実行すると、サンプルデータの中から「RDP（3389番）へのアクセス」や「15MBという大量データの送信」を見つけて、次のようにアラートを出してくれます。
=== VPCフローログのセキュリティ解析を開始します ===
[!] 警戒警報: 管理用ポート (3389) への通信を検出しました！
送信元IP: 203.0.113.99 -> 宛先IP: 10.0.0.5
転送データ量: 2500000 バイト
[!] 異常検知: 10MBを超える大容量のデータ転送を検出しました！
送信元IP: 10.0.0.5 -> 宛先IP: 198.51.100.99 (ポート: 22)
転送データ量: 15000000 バイト
=== 解析完了: 合計 2 件の要確認イベントが見つかりました ===このように、プログラムの力やクラウドの可視化ツール（AWSならAthenaやCloudWatch Logs Insightsなど）を組み合わせることで、膨大なログの中から「私たちが本当に見なきゃいけない怪しい動き」だけを効率よく炙り出すことができるんです。
—
4. 今日からできる！一歩ずつの防犯対策
いかがでしたでしょうか。「VPCフローログの解析」と聞くと、なんだか専門家だけが使う難解な技術のように思えるかもしれません。でも、基本の考え方は「家の防犯カメラの映像を時々チェックして、変な人がいないか確認する」こととまったく同じです。
最後に、現場のエンジニアとしてみなさんにぜひ実践してほしい、簡単なステップをまとめました。
1. まずはフローログの「出力設定」をオンにする
まずはAWS/Azure/GCPのコンソールを開き、主要なVPCやサブネットでフローログの収集が有効になっているか確認しましょう。これをしていないと、いざという時に「防犯カメラの電源が入っていなかった」という状態になってしまいます。
2. 定期的に「見慣れないポート」や「大量データ」を眺める習慣をつける
最初から完璧な自動検知システムを作る必要はありません。週に1回、ダッシュボードや今回のような簡単なスクリプトを使って、「おや、この見慣れない国からのアクセスはなんだろう？」と気づく目を養うことが、何よりも強力なセキュリティ対策になります。
3. 怪しい動きを見つけたら、すぐセキュリティグループ（デジタルな鍵）を見直す
もしログ分析で「あ、開けっ放しになっていたドアがある！」と気づいたら、焦らず騒がせず、該当するセキュリティグループやファイアウォールの設定を修正して、不要なポートをキッチリ閉めてあげましょう。
セキュリティの世界は広大で、覚えることもたくさんありますが、一歩ずつ、身近な例に置き換えて考えていけば決して怖くありません。
今日からあなたのクラウドハウスの「安全な見張り番」を、少しずつ育てていきましょうね！
コメント