CloudTrail은 제어 평면(API)을, Config는 구성 상태를 본다. 하지만 "실제로 어떤 패킷이 어디로 흘렀는가"는 둘 다 보지 못한다. VPC Flow Logs가 이 빈틈을 메운다. Flow Logs는 ENI(Elastic Network Interface)를 드나든 IP 트래픽의 메타데이터(5-tuple, 바이트 수, 허용/거부 등)를 기록한다. 패킷 *내용(payload)*은 캡처하지 않는다 — 그건 Traffic Mirroring의 영역이다.
보안 시험에서 Flow Logs는 "비정상 트래픽 탐지", "보안 그룹·NACL 오구성 진단", "데이터 유출 탐지", "거부된 연결 추적"의 1차 증거다.
Flow Logs는 세 수준에서 켤 수 있고, 하위 리소스는 상위를 상속한다:
전송 대상은 CloudWatch Logs, S3, Kinesis Data Firehose다. 대량·장기 보관과 Athena 분석에는 S3가, 실시간 메트릭·경보에는 CloudWatch Logs가 적합하다.