ネットワーク可観測性 - AWS VPC Flow Logs vs Azure Network Watcher

ネットワーク可観測性の基本と AWS の統合アプローチ

ネットワーク可観測性は、クラウド環境のトラフィックフロー、レイテンシ、パケットロス、セキュリティイベントを継続的に監視・分析する能力です。AWS は VPC Flow Logs、CloudWatch Network Monitor、Network Access Analyzer、AWS Network Manager を組み合わせた多層的な可観測性スタックを提供します。VPC Flow Logs はネットワークインターフェース (ENI) レベルのトラフィックメタデータ (送信元/宛先 IP、ポート、プロトコル、バイト数、パケット数、アクション) を記録し、CloudWatch Logs、S3、Kinesis Data Firehose に配信できます。Azure Network Watcher も NSG フローログを提供しますが、AWS の VPC Flow Logs は v5 フォーマットで TCP フラグ、パケット方向、サブネット ID、VPC ID、リージョンなど 29 フィールドの詳細メタデータを記録でき、Azure の NSG フローログ (v2) の 13 フィールドを大幅に上回る情報量を提供します。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

トラフィック分析と異常検知

VPC Flow Logs のデータを CloudWatch Logs Insights で分析すれば、SQL ライクなクエリ言語でトラフィックパターンの調査が可能です。たとえば、特定の IP アドレスからの拒否トラフィックを時系列で集計したり、ポートスキャンの兆候を検出したりできます。CloudWatch Logs Insights は 1 GB あたり 0.0076 USD のスキャン料金で、大量のフローログデータを低コストで分析できます。S3 に配信したフローログは Athena で SQL クエリを実行でき、パーティション化されたデータに対して数秒で結果を返します。Amazon GuardDuty は VPC Flow Logs、DNS ログ、CloudTrail イベントを機械学習で分析し、ポートスキャン、ブルートフォース攻撃、C&C 通信などの脅威を自動検出します。GuardDuty の脅威検出は追加設定なしで有効化でき、検出結果は重要度 (High/Medium/Low) で分類されます。Azure Network Watcher の Traffic Analytics も NSG フローログを分析しますが、GuardDuty のような機械学習ベースの脅威検出機能は含まれておらず、Azure Sentinel (SIEM) の別途導入が必要です。

ネットワークパフォーマンス監視

CloudWatch Network Monitor は AWS リソースとオンプレミス間のネットワークパフォーマンス (レイテンシ、パケットロス、ジッター) をリアルタイムで監視するサービスです。Direct Connect や VPN 接続のパフォーマンス劣化を即座に検出し、CloudWatch アラームと連携して自動通知を実行します。Network Monitor は 1 分間隔でプローブを送信し、ラウンドトリップタイム (RTT) の p50/p90/p99 パーセンタイルを記録します。AWS Network Manager はグローバルネットワーク (Transit Gateway、Direct Connect、SD-WAN) のトポロジーを可視化し、ネットワーク全体の健全性をダッシュボードで一元管理します。Azure Network Watcher の Connection Monitor も接続性テストを提供しますが、AWS Network Manager のようなグローバルネットワークトポロジーの自動検出と可視化機能はありません。VPC Reachability Analyzer はネットワーク構成 (セキュリティグループ、NACL、ルートテーブル、VPC ピアリング) を静的に分析し、2 つのリソース間の到達可能性をパケットを送信せずに検証します。これにより、設定ミスによる接続障害を事前に検出できます。

セキュリティ分析とアクセス制御の可視化

AWS Network Access Analyzer は VPC 内のネットワークアクセスパスを自動分析し、意図しないインターネット公開やクロスアカウントアクセスを検出するサービスです。Network Access Scope を定義することで、許可すべきアクセスパターンと実際のネットワーク構成の差分を特定し、セキュリティポリシー違反を可視化します。AWS Firewall Manager は複数アカウント・複数 VPC にまたがるセキュリティグループ、Network Firewall、WAF のルールを一元管理し、組織全体のネットワークセキュリティポリシーを強制適用します。Azure では Azure Firewall Manager が同様の機能を提供しますが、AWS Firewall Manager は AWS Organizations との統合で数百アカウントのポリシー管理を自動化できる点が特徴です。VPC Flow Logs と AWS Security Hub を連携させれば、ネットワークレベルのセキュリティ検出結果を CIS Benchmarks や AWS Foundational Security Best Practices に照らして自動評価し、コンプライアンス状況をスコアカードで可視化できます。

コスト最適化とデータ管理

VPC Flow Logs のコスト管理において、AWS は配信先に応じた柔軟な料金体系を提供します。CloudWatch Logs への配信は取り込み 0.76 USD/GB ですが、S3 への直接配信は 0.052 USD/GB と大幅に低コストです。長期保存が必要なフローログは S3 に配信し、S3 Intelligent-Tiering でアクセス頻度に応じた自動階層化を適用することで、ストレージコストを最小化できます。フローログのフィルタリング機能で ACCEPT のみ、REJECT のみ、または特定のフィールドのみを記録する設定が可能で、不要なデータの取り込みを削減してコストを抑制します。Azure NSG フローログは Log Analytics ワークスペースへの取り込みが 3.548 USD/GB と AWS の S3 配信と比較して約 68 倍のコスト差があります。AWS の Transit Gateway Flow Logs は Transit Gateway を経由するトラフィックを記録し、マルチ VPC 環境のトラフィック分析を一元化します。CloudWatch のクロスアカウントオブザーバビリティ機能を使えば、複数 AWS アカウントのネットワークメトリクスを単一ダッシュボードに集約でき、大規模環境の運用効率を向上させます。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ

AWS のネットワーク可観測性スタックは、VPC Flow Logs (29 フィールドの詳細メタデータ)、CloudWatch Network Monitor (レイテンシ・パケットロスのリアルタイム監視)、Network Access Analyzer (アクセスパスの静的分析)、GuardDuty (機械学習ベースの脅威検出) を統合的に提供します。Azure Network Watcher が NSG フローログ (13 フィールド) と Connection Monitor を中心とした構成であるのに対し、AWS は VPC Reachability Analyzer による到達可能性検証、Firewall Manager による組織横断のポリシー管理、S3 配信 (0.052 USD/GB) による低コストなログ保存など、より広範で深い可観測性を実現します。