Enquêtez sur le trafic entrant vers une VM dans le VPC par défaut, suspectée d'une attaque DoS. Comment capturez-vous les adresses IP source pour analyse ?

Pour enquêter sur le trafic réseau et identifier les adresses IP source d'une attaque DoS, les VPC Flow Logs sont l'outil approprié. Ils enregistrent les flux de trafic réseau envoyés et reçus par les instances de VM. L'activation des VPC Flow Logs au niveau du sous-réseau permet de capturer les détails du trafic pour toutes les VM de ce sous-réseau. Le champ connection dans les journaux de flux contient des informations détaillées sur la connexion, y compris l'adresse IP source (srcip). Les journaux d'audit d'accès aux données (Data Access Audit Logs) enregistrent les opérations d'accès aux données sur les ressources Google Cloud, et non le trafic réseau direct, ils ne fourniraient donc pas les adresses IP source du trafic réseau. Activer les VPC Flow Logs pour l'ensemble du VPC est possible, mais une portée plus granulaire au niveau du sous-réseau est souvent suffisante et plus ciblée pour un problème spécifique sur un sous-réseau. Le champ srclocation n'est pas un champ standard pour les adresses IP source dans les VPC Flow Logs ; c'est srcip ou des informations contenues dans le champ connection qui sont pertinentes.