パケットの中身（ペイロード）まで丸ごとコピーして分析ツールに送る。マルウェアの検出や詳細なフォレンジック調査に使う「ディープ分析」機能。
通信のメタデータ（誰が・どこへ・いつ）だけを記録する。日常的なトラフィック監視やセキュリティグループのトラブルシューティングに使う「概要ログ」機能。
VPCトラフィックミラーリングとVPC Flow Logsの違いは、
オフィスビルの「防犯カメラ」と「入退室記録ノート」の違いに似ています。
| オフィスビルのたとえ | 📹 トラフィックミラーリング | 📋 VPC Flow Logs |
|---|---|---|
| 記録するもの | 映像（すべての動き）→ パケット全体（ヘッダー＋ペイロード） | 入退室ノート（名前・時刻）→ メタデータ（IP・ポート・バイト数） |
| 設置場所 | 特定フロアのカメラ → ENI（EC2・NLB等） | 全館の入退室システム → VPC / サブネット / ENI |
| 録画の送り先 | 警備室のモニター → NLB / ENI / GLBエンドポイント | 記録簿の保管庫 → CloudWatch / S3 / Firehose |
| フィルタ | 「3階のエレベーター前だけ録画」→ プロトコル / ポート / IP | 「許可された入室だけ記録」→ ACCEPT / REJECT フィルタ |
| コスト感 | 高い（大容量映像ストレージ） | 安い（テキストログのみ） |
パケットの中身を分析し、既知のマルウェアシグネチャや不審なパターンを検出する
セキュリティインシデント発生後に、通信内容を詳細に調査して攻撃手法を特定する
SuricataやZeekなどのツールにミラーパケットを送り、リアルタイムで脅威を検知する
実際の通信内容を見て、APIリクエスト/レスポンスの問題を特定する
「REJECT」されたトラフィックを確認し、セキュリティグループやNACLの設定ミスを発見する
どのIPアドレス間でどれくらいの通信が発生しているか、傾向を可視化する
「いつ・誰が・どこに通信した」の記録を保持し、監査要件を満たす
「EC2に接続できない」問題の原因が、セキュリティグループかNACLか特定する
「どちらを使えばいいか迷ったら」このフローで判断できます。
| 比較項目 | 📹 トラフィックミラーリング | 📋 VPC Flow Logs |
|---|---|---|
| 取得データ | パケット全体（ヘッダー＋ペイロード） | メタデータのみ（ヘッダー情報に基づく） |
| 対象レベル | ENI（EC2・NLB単位） | VPC / サブネット / ENI |
| データ送信先 | NLB / ENI / Gateway LBエンドポイント | CloudWatch Logs / S3 / Firehose |
| フィルタリング | プロトコル / ポート / IPアドレス | ACCEPT / REJECT / カスタムフォーマット |
| コスト | 高い（大容量データ転送＋分析基盤が必要） | 安い（ログストレージ料金のみ） |
| セットアップ | 中〜高（分析ツールの構築も必要） | 低い（数クリックで有効化） |
| 代表的な用途 | IDS/IPS、フォレンジック、マルウェア検出 | 監査、トラブルシュート、傾向分析 |
| 制限事項 | Nitroベースのインスタンスが必要 | パケット中身は見えない |
トラフィックミラーリングはパケット全体をコピーするため、大量のデータ転送が発生します。本番環境の全トラフィックをミラーリングすると、コストが急増する可能性があります。
対策として、ミラーフィルタで対象を特定のポートやプロトコルに絞ったり、重要なインスタンスのみに適用するのが現実的です。
Flow Logsはテキストベースのログなので比較的安価ですが、VPC全体に有効化すると保管コストが蓄積します。S3のライフサイクルポリシーで古いログの自動削除を設定しましょう。
トラフィックミラーリングは、ミラー先の分析ツール（Suricata、Zeek等）を自分で構築・運用する必要があります。AWSはパケットのコピーを届けるまでが役割で、分析は利用者側の責任です。
また、Nitroベースのインスタンスタイプが必要です。旧世代のインスタンス（t2、m4等）ではミラーリングが使えません。
Flow LogsはAWSコンソールから数クリックで有効化でき、CloudWatch LogsやS3にそのまま保存できるため導入ハードルは低いです。
パケットの中身まで丸ごと分析する「防犯カメラ」。IDS/IPSやフォレンジック調査に使う高度なセキュリティ機能。コストと構築の手間は大きいが、ディープな脅威分析が可能。
通信の概要を記録する「入退室ノート」。トラフィック監視・トラブルシューティング・コンプライアンスの基本ツール。安価で導入が簡単。まず最初に有効化すべき機能。
Created by SSuzuki1063
AWS SAP Learning Resources