导出调查发现

修改的 KMS 密钥策略 GuardDuty 以加密导出的结果

1. 打开 Amazon KMS 控制台，网址为 https://console.aws.amazon.com/kms。

2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

3. 选择现有 KMS 密钥或执行《Amazon Key Management Service 开发人员指南》中创建新密钥的步骤，您将使用该密钥对导出的发现进行加密。

   注意

   您 Amazon Web Services 区域 的 KMS 密钥和 Amazon S3 存储桶的密钥必须相同。

   您可以使用相同的 S3 存储桶和 KMS key pair 从任何适用区域导出结果。有关跨区域导出调查结果注意事项的更多信息，请参阅。

4. 在 Key policy（密钥策略）部分，选择 Edit（编辑）。

   如果显示 “切换到策略视图”，请选择它以显示密钥策略，然后选择 “编辑”。

5. 将以下策略块复制到您的 KMS 密钥策略中，以授予使用您的密钥的 GuardDuty 权限。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 通过替换以下策略示例中以红色格式化的值来编辑策略：

   1. 将 KMS 密钥 ARN 替换为 KMS 密钥的亚马逊资源名称 (ARN)。要找到密钥 ARN，请参阅开发者指南中的查找密钥 ID 和 ARN。Amazon Key Management Service

   2. 将 123456789012 替换为拥有导出调查结果的 Amazon Web Services 账户 账户的 ID。 GuardDuty

   3. 将 Region2 替换为生成 GuardDuty 结果 Amazon Web Services 区域 的地方。

   4. 将 SourceDetectorID 替换detectorID为生成调查结果的特定区域的 GuardDuty 账户的 ID。

      要查找您的账户和当前地区detectorId对应的，请参阅 https://console.aws.amazon.com/guardduty/ 控制台中的 “设置” 页面。

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为"Service": "guardduty.amazonaws.com"。"Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

7. 如果您在最后一条语句之前添加了策略声明，请在添加此语句之前添加逗号。确保您的 KMS 密钥策略的 JSON 语法有效。

   选择保存。

8. （可选）将密钥 ARN 复制到记事本中，以便在后续步骤中使用。

1. 执行 Amazon S3 用户指南中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

2. 示例策略显示了如何授予将调查结果导出到 Amazon S3 存储桶的 GuardDuty 权限。如果在配置导出查找结果后更改路径，则必须修改策略以授予对新位置的权限。

   复制以下示例策略并将其粘贴到存储桶策略编辑器中。

   如果您在最后一条语句之前添加了策略声明，请在添加此语句之前添加逗号。确保您的 KMS 密钥策略的 JSON 语法有效。

   S3 存储桶示例策略

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowGuardDutygetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "AllowGuardDutyPutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "DenyUnencryptedUploadsThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "DenyIncorrectHeaderThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "DenyNon-HTTPS",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 通过替换以下策略示例中以红色格式化的值来编辑策略：

   1. 将 Amazon S3 存储桶 ARN 替换为亚马逊 S3 存储桶的亚马逊资源名称 (ARN)。你可以在 https://console.aws.amazon.com/s3/ 控制台的编辑存储桶策略页面上找到存储桶 ARN。

   2. 将 123456789012 替换为拥有导出调查结果的 Amazon Web Services 账户 账户的 ID。 GuardDuty

   3. 将 Region2 替换为生成 GuardDuty 结果 Amazon Web Services 区域 的地方。

   4. 将 SourceDetectorID 替换detectorID为生成调查结果的特定区域的 GuardDuty 账户的 ID。

      要查找您的账户和当前地区detectorId对应的，请参阅 https://console.aws.amazon.com/guardduty/ 控制台中的 “设置” 页面。

   5. 将 S3 存储桶 ARN/ [可选前缀] 占位符值的 [可选前缀] 部分替换为要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅 Amazon S3 用户指南中的使用前缀组织对象。

      当您提供尚不存在的可选文件夹位置时，仅当与 S3 存储桶关联的账户与导出结果的账户相同时，才 GuardDuty会创建该位置。将调查结果导出到属于其他账户的 S3 存储桶时，该文件夹的位置必须已经存在。

   6. 将 KMS 密钥 ARN 替换为 KMS 密钥的亚马逊资源名称 (ARN)，该密钥与导出到 S3 存储桶的结果的加密有关。要找到密钥 ARN，请参阅开发者指南中的查找密钥 ID 和 ARN。Amazon Key Management Service

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为"Service": "guardduty.amazonaws.com"。"Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

4. 选择保存。

配置导出结果

1. 打开 GuardDuty 控制台，网址为 https://console.aws.amazon.com/guardduty/。

2. 在导航窗格中，选择 Settings（设置）。

3. 在 “设置” 页面的 “查找结果导出选项” 下，对于 S3 存储桶，选择立即配置（或根据需要编辑）。

4. 对于 S3 存储桶 ARN，请输入。bucket ARN要查找存储桶 ARN，请参阅 A mazon S3 用户指南中的查看 S3 存储桶的属性。在 https://console.aws.amazon.com/guardduty/ 控制台中关联存储桶的 “属性” 页面的 “权限” 选项卡中。

5. 对于 KMS 密钥 ARN，请输入。key ARN要找到密钥 ARN，请参阅开发者指南中的查找密钥 ID 和 ARN。Amazon Key Management Service

6. 附加策略

   • 执行相关步骤以附加 S3 存储桶策略。有关更多信息，请参阅 第 3 步 — 将策略附加到 Amazon S3 存储桶。

   • 执行相关步骤以附加 KMS 密钥策略。有关更多信息，请参阅 步骤 2-将策略附加到您的 KMS 密钥。

7. 选择 Save（保存）。

要设置频率

1. 打开 GuardDuty 控制台，网址为 https://console.aws.amazon.com/guardduty/。

2. 选择设置。

3. 在调查发现导出选项部分，选择更新调查发现的频率。这设置了将更新的活跃调查结果导出到 Amazon S3 EventBridge 和 Amazon S3 的频率。可从以下选项中进行选择：

   • 每 15 分钟更新 EventBridge 一次 S3

   • 每 1 小时更新 EventBridge 一次 S3

   • 每 6 小时更新一次 CWE 和 S3（默认）

4. 选择保存更改。