Amazon Athena
ユーザーガイド

Network Load Balancer ログのクエリ

Athena を使用して、Network Load Balancer からのログを分析および処理します。これらのログは、Network Load Balancer に送信された Transport Layer Security (TLS) リクエストに関する詳細情報を受け取ります。これらのアクセスログを使用して、トラフィックパターンの分析や、問題のトラブルシューティングを行うことができます。

Network Load Balancer アクセスログを分析する前に、ログを有効にし、ログの保存先として Amazon S3 バケットを設定します。詳細については、「Network Load Balancer のアクセスログ」を参照してください。

Network Load Balancer ログのテーブルを作成するには

  1. 次の DDL ステートメントをコピーして Athena コンソール内に貼り付けます。Network Load Balancer ログレコードの構文を確認します。次のクエリを更新して、最新バージョンのレコードの列と正規表現の構文を含めることが必要になる場合があります。

    CREATE EXTERNAL TABLE IF NOT EXISTS nlb_tls_logs ( type string, version string, time string, elb string, listener_id string, client_ip string, client_port int, target_ip string, target_port int, tcp_connection_time_ms double, tls_handshake_time_ms double, received_bytes bigint, sent_bytes bigint, incoming_tls_alert int, cert_arn string, certificate_serial string, tls_cipher_suite string, tls_protocol_version string, tls_named_group string, domain_name string, new_field string ) ROW FORMAT SERDE 'org.apache.hadoop.hive.serde2.RegexSerDe' WITH SERDEPROPERTIES ( 'serialization.format' = '1', 'input.regex' = '([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*):([0-9]*) ([^ ]*):([0-9]*) ([-.0-9]*) ([-.0-9]*) ([-0-9]*) ([-0-9]*) ([-0-9]*) ([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*) ([^ ]*)($| [^ ]*)') LOCATION 's3://your_log_bucket/prefix/AWSLogs/AWS_account_ID/elasticloadbalancing/region';
  2. LOCATION Amazon S3 バケットを変更し、Network Load Balancer ログの保存先を指定します。

  3. Athena コンソールでクエリを実行します。クエリが完了すると、Athena は nlb_tls_logs テーブルを登録し、そのデータに対してクエリを発行できるように準備します。

Network Load Balancer クエリの例

証明書の使用回数を確認するには、次の例のようなクエリを使用します。

SELECT count(*) AS ct, cert_arn FROM "nlb_tls_logs" GROUP BY cert_arn;

次のクエリは、古い TLS バージョンを使用しているユーザーの数を示します。

SELECT tls_protocol_version, COUNT(tls_protocol_version) AS num_connections, client_ip FROM "nlb_tls_logs" WHERE tls_protocol_version < 'tlsv12' GROUP BY tls_protocol_version, client_ip;

次のクエリを使用して、TLS ハンドシェイクに長い時間がかかっている接続を特定します。

SELECT * FROM "nlb_tls_logs" ORDER BY tls_handshake_time_ms DESC LIMIT 10;