将生成的 GuardDuty 调查结果导出到 Amazon S3 存储桶

修改的 KMS 密钥策略 GuardDuty 以加密导出的调查结果

1. 在 https://console.aws.amazon.com/km Amazon KMS s 处打开控制台。

2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

3. 选择一个现有 KMS 密钥或执行《Amazon Key Management Service 开发人员指南》中 Create a new key 部分的步骤，您将使用该密钥来加密导出的调查发现。

   注意

   您 Amazon Web Services 区域 的 KMS 密钥和 Amazon S3 存储桶的密钥必须相同。

   您可以使用相同的 S3 存储桶和 KMS 密钥对，从任何适用区域导出调查发现。有关更多信息，请参阅跨区域导出调查发现的注意事项。

4. 在 Key policy（密钥策略）部分，选择 Edit（编辑）。

   如果显示切换到策略视图，请选择该选项以显示密钥策略，然后选择编辑。

5. 将以下策略块复制到您的 KMS 密钥策略中，以授予使用您的密钥的 GuardDuty权限。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 通过替换策略示例red中格式化的以下值来编辑策略：

   1. KMS key ARN替换为 KMS 密钥的亚马逊资源名称 (ARN)。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

   2. 替换为123456789012拥有导出调查结果的 GuardDuty 账户的 Amazon Web Services 账户 ID。

   3. Region2替换为生成 GuardDuty 结果 Amazon Web Services 区域 的位置。

   4. SourceDetectorID替换detectorID为生成调查结果的特定区域的 GuardDuty 账户。

      要查找您的账户和当前区域的，请查看https://console.aws.amazon.com/guardduty/控制台中的 “设置” 页面，或者运行 detectorId ListDetectorsAPI。

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为。"Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

7. 如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

   选择保存。

8. （可选）将密钥 ARN 复制到记事本，以便在后续步骤中使用。

1. 执行《Amazon S3 用户指南》中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

2. 示例策略显示了如何授予将调查结果导出到 Amazon S3 存储桶的 GuardDuty权限。如果在配置调查发现导出后更改路径，则必须修改策略以授予对新位置的权限。

   复制以下示例策略并将其粘贴到存储桶策略编辑器中。

   如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

   S3 存储桶示例策略

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 通过替换策略示例red中格式化的以下值来编辑策略：

   1. Amazon S3 bucket ARN替换为 Amazon S3 存储桶的亚马逊资源名称 (ARN)。您可以在控制台的编辑存储桶策略页面上找到存储桶 ARN。https://console.aws.amazon.com/s3/

   2. 替换为123456789012拥有导出调查结果的 GuardDuty 账户的 Amazon Web Services 账户 ID。

   3. Region2替换为生成 GuardDuty 结果 Amazon Web Services 区域 的位置。

   4. SourceDetectorID替换detectorID为生成调查结果的特定区域的 GuardDuty 账户。

      要查找您的账户和当前区域的，请查看https://console.aws.amazon.com/guardduty/控制台中的 “设置” 页面，或者运行 detectorId ListDetectorsAPI。

   5. 将[optional prefix]部分占位S3 bucket ARN/[optional prefix]符值替换为要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅《Amazon S3 用户指南》中的使用前缀组织对象。

      当您提供尚不存在的可选文件夹位置时，仅当与 S3 存储桶关联的账户与导出结果的账户相同时，才 GuardDuty 会创建该位置。如果您将调查发现导出到属于其他账户的 S3 存储桶，则文件夹位置必须已经存在。

   6. 替换为KMS key ARN与导出到 S3 存储桶的结果的加密相关的 KMS 密钥的 Amazon 资源名称 (ARN)。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为。"Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

4. 选择保存。

配置调查发现导出

1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

2. 在导航窗格中，选择 Settings（设置）。

3. 在设置页面的调查发现导出选项下，对于 S3 存储桶，选择立即配置（或根据需要进行编辑）。

4. 对于 S3 存储桶 ARN，输入 bucket ARN。要查找存储桶 ARN，请参阅《Amazon S3 用户》指南中的查看 S3 存储桶的属性。

5. 对于 KMS 密钥 ARN，请输入 key ARN。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

6. 附加策略

   • 执行附加 S3 存储桶策略的步骤。有关更多信息，请参阅 第 3 步 – 将策略附加到 Amazon S3 存储桶。

   • 执行附加 KMS 密钥策略的步骤。有关更多信息，请参阅 第 2 步 – 将策略附加到 KMS 密钥。

7. 选择 Save。

要设置频率

1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

2. 选择设置。

3. 在调查发现导出选项部分，选择更新调查发现的频率。这设置了将更新的活跃调查结果导出到 Amazon S3 EventBridge 和 Amazon S3 的频率。可从以下选项中进行选择：

   • 每 15 分钟更新 EventBridge 一次 S3

   • 每 1 小时更新 EventBridge 一次 S3

   • 每 6 小时更新 EventBridge 一次 S3（默认）

4. 选择保存更改。