将生成的 GuardDuty 调查发现导出到 Amazon S3 存储桶

修改 GuardDuty 的 KMS 密钥策略以加密导出的调查发现

1. 从 https://console.aws.amazon.com/kms 打开 Amazon KMS 控制台。

2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

3. 选择一个现有 KMS 密钥或执行《Amazon Key Management Service 开发人员指南》中 Create a new key 部分的步骤，您将使用该密钥来加密导出的调查发现。

   注意

   KMS 密钥和 Amazon S3 存储桶的 Amazon Web Services 区域必须为同一区域。

   您可以使用相同的 S3 存储桶和 KMS 密钥对，从任何适用区域导出调查发现。有关更多信息，请参阅跨区域导出调查发现的注意事项。

4. 在 Key policy（密钥策略）部分，选择 Edit（编辑）。

   如果显示切换到策略视图，请选择该选项以显示密钥策略，然后选择编辑。

5. 将以下策略块复制到您的 KMS 密钥策略中，从而授予 GuardDuty 使用您的密钥的权限。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 通过替换以下策略示例中红色格式的值，从而编辑策略：

   1. 将 KMS 密钥 ARN替换为该 KMS 密钥的 Amazon 资源名称（ARN）。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

   2. 请将 123456789012 替换为拥有导出调查发现的 GuardDuty 账户的 Amazon Web Services 账户 ID。

   3. 将 Region2 替换为生成 GuardDuty 调查发现的 Amazon Web Services 区域。

   4. 将 SourceDetectorID 替换为生成调查发现的特定区域的 GuardDuty 账户的 detectorID。

      要查找您账户和当前区域的 detectorId，请查看 https://console.aws.amazon.com/guardduty/ 控制台中的设置页面，或者运行 ListDetectors API。

   注意

   如果您在某个选择加入型区域使用 GuardDuty，请将“Service”的值替换为该区域的区域端点。例如，如果您在中东（巴林）（me-south-1）区域使用 GuardDuty，则将 "Service": "guardduty.amazonaws.com" 替换为 "Service": "guardduty.me-south-1.amazonaws.com"。有关每个选择加入型区域的端点的信息，请参阅 GuardDuty 端点和配额。

7. 如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

   选择保存。

8. （可选）将密钥 ARN 复制到记事本，以便在后续步骤中使用。

1. 执行《Amazon S3 用户指南》中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

2. 示例策略展示了如何授予 GuardDuty 权限，以将调查发现导出到 Amazon S3 存储桶。如果在配置调查发现导出后更改路径，则必须修改策略以授予对新位置的权限。

   复制以下示例策略并将其粘贴到存储桶策略编辑器中。

   如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

   S3 存储桶示例策略

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                   "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:us-east-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }
   

3. 通过替换以下策略示例中红色格式的值，从而编辑策略：

   1. 将 Amazon S3 存储桶 ARN 替换为Amazon S3 存储桶的 Amazon 资源名称（ARN）。您可以在 https://console.aws.amazon.com/s3/ 控制台的编辑存储桶策略页面上找到存储桶 ARN。

   2. 请将 123456789012 替换为拥有导出调查发现的 GuardDuty 账户的 Amazon Web Services 账户 ID。

   3. 将 us-east-2 替换为生成 GuardDuty 调查发现的 Amazon Web Services 区域。

   4. 将 SourceDetectorID 替换为生成调查发现的特定区域的 GuardDuty 账户的 detectorID。

      要查找您账户和当前区域的 detectorId，请查看 https://console.aws.amazon.com/guardduty/ 控制台中的设置页面，或者运行 ListDetectors API。

   5. 将 S3 存储桶 ARN/[可选前缀]占位符值的 [可选前缀] 部分替换为要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅《Amazon S3 用户指南》中的使用前缀组织对象。

      如果您提供某个尚未存在的可选文件夹位置，则仅当与 S3 存储桶关联的账户与导出调查发现的账户相同时，GuardDuty 才会创建该位置。如果您将调查发现导出到属于其他账户的 S3 存储桶，则文件夹位置必须已经存在。

   6. 将 KMS 密钥 ARN 替换为与对导出到 S3 存储桶中的调查发现进行加密相关的 KMS 密钥的 Amazon 资源名称（ARN）。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

   注意

   如果您在某个选择加入型区域使用 GuardDuty，请将“Service”的值替换为该区域的区域端点。例如，如果您在中东（巴林）（me-south-1）区域使用 GuardDuty，则将 "Service": "guardduty.amazonaws.com" 替换为 "Service": "guardduty.me-south-1.amazonaws.com"。有关每个选择加入型区域的端点的信息，请参阅 GuardDuty 端点和配额。

4. 选择保存。

配置调查发现导出

1. 通过以下网址打开 GuardDuty 控制台：https://console.aws.amazon.com/guardduty/。

2. 在导航窗格中，选择设置。

3. 在设置页面的调查发现导出选项下，对于 S3 存储桶，选择立即配置（或根据需要选择编辑）。

4. 对于 S3 存储桶 ARN，输入 bucket ARN。要查找存储桶 ARN，请参阅《Amazon S3 用户》指南中的查看 S3 存储桶的属性。

5. 对于 KMS 密钥 ARN，请输入 key ARN。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

6. 附加策略

   • 执行附加 S3 存储桶策略的步骤。有关更多信息，请参阅 第 3 步 – 将策略附加到 Amazon S3 存储桶。

   • 执行附加 KMS 密钥策略的步骤。有关更多信息，请参阅 第 2 步 – 将策略附加到 KMS 密钥。

7. 选择 Save。

要设置频率

1. 通过以下网址打开 GuardDuty 控制台：https://console.aws.amazon.com/guardduty/。

2. 选择设置。

3. 在调查发现导出选项部分，选择更新调查发现的频率。这将设置将更新后的活动调查发现导出到 EventBridge 和 Amazon S3 的频率。可从以下选项中进行选择：

   • 每 15 分钟更新一次 EventBridge 和 S

   • 每 1 小时更新一次 EventBridge 和 S

   • 每 6 小时更新一次 EventBridge 和 S3（默认）

4. 选择保存更改。