入门 GuardDuty

1. 在导航窗格中，选择 Settings (设置)。

2. 在 Settings 页面上的 Sample findings 下，选择 Generate sample findings。

3. 在导航窗格中，选择 Findings (结果)。样本发现显示在当前发现结果页面上，前缀为 [SAMPLE]。

4. 从列表中选择一个查找结果以显示该查找结果的详细信息。

   1. 您可以查看查找结果详细信息窗格中可用的不同信息字段。不同类型的发现可能有不同的字段。有关所有查找类型中的可用字段的更多信息，请参阅结果详细信息。在详细信息窗格中，您可以执行以下操作：

      • 选择窗格顶部的查找结果 ID 以打开该查找结果的完整 JSON 详细信息。也可以从此面板下载完整的 JSON 文件。JSON 包含一些未包含在控制台视图中的其他信息，是其他工具和服务可以提取的格式。

      • 查看 “受影响的资源” 部分。在实际发现中，此处的信息将帮助您确定账户中应调查的资源，并将包括指向相应可操作资源Amazon Web Services Management Console的链接。

      • 选择 “+” 或 “-” 的玻璃图标，为该细节创建包容性或专属滤镜。有关查找筛选条件的更多信息，请参阅筛选结果

5. 存档所有样本发现

   1. 通过选中列表顶部的复选框来选择所有发现。

   2. 取消选择任何您想要保留的结果。

   3. 选择 “操作” 菜单，然后选择 “存档” 以隐藏样本调查结果。

      注意

      要查看存档的调查结果，请选择 “当前”，然后选择 “已存档” 以切换调查结果视图。

配置 S3 导出发现结果选项

1. 要加密调查结果，您需要一个 KMS 密钥，其策略 GuardDuty 允许使用该密钥进行加密。以下步骤将帮助您创建新的 KMS 密钥。如果您使用来自其他账户的 KMS 密钥，则需要通过登录到拥有Amazon Web Services 账户该密钥的账户来应用密钥策略。您的 KMS 密钥和 S3 存储桶的区域必须相同。但是，对于要从中导出发现结果的每个区域，您可以使用相同的存储段和key pair。

   1. 在 Amazon KMShttps://console.aws.amazon.com/kms 打开 控制台。

   2. 要更改 Amazon Web Services 区域，请使用页面右上角的 Region selector（区域选择器）。

   3. 在导航窗格中，选择客户托管密钥。

   4. 选择 Create key。

   5. 在 “密钥类型” 下选择 “对称”，然后选择 “下一步”。

      注意

      有关创建 KMS 密钥的详细步骤，请参阅Amazon Key Management Service开发人员指南中的创建密钥。

   6. 为您的密钥提供别名，然后选择 Ne xt。

   7. 选择 “下一步”，然后再次选择 “下一步” 以接受默认的管理和使用权限。

   8. 查看配置后，选择 “完成” 以创建密钥。

   9. 在客户管理的密钥页面上，选择您的密钥别名。

   10. 在密钥策略选项卡中，选择切换到策略视图。

   11. 选择编辑并将以下密钥策略添加到您的 KMS 密钥，授予对密钥的 GuardDuty 访问权限。此语句仅 GuardDuty 允许使用您向其添加此策略的密钥。编辑密钥策略时，请确保 JSON 语法有效。如果在最后一条语句之前添加语句，则必须在右括号后添加逗号。

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       将 Re gion1 替换为 KMS 密钥的区域。将 4444556666666666666 替换为Amazon Web Services 账户拥有 KMS 密钥的替换。将 KMSKeyId 替换为您选择用于加密的 KMS 密钥的密钥 ID。要识别所有这些值（区域Amazon Web Services 账户、和密钥 ID），请查看 KMS 密钥的 ARN。要查找密钥 ARN 的操作，请参阅查找密钥 ID 和 ARN。

       同样，将 111122223333 替换Amazon Web Services 账户为 GuardDuty 账户的。将区域 2 替换为 GuardDuty 账户的区域。将 SourceDetectorID 替换为 Region2 GuardDuty 账户的检测器 ID。

       你可以在 https://console.aws.amazon.com/guardduty/ 控制台的 “设置” 页面上找到你当前区域的 detectorId，也可以使用 ListDetectorsAPI。

   12. 选择保存。

2. 通过 https://console.aws.amazon.com/guardduty/ 打开 GuardDuty 主机。

3. 在导航窗格中，选择 Settings (设置)。

4. 在 “查找结果” 导出选项下，选择 “立即配置”。

5. 选择 “新建存储桶”。为您的 S3 存储桶提供唯一名称。

6. （可选）您可以通过生成样本发现来测试新的导出设置。在导航窗格中，选择 Settings (设置)。

7. 在样本发现部分下，选择生成样本发现。新的样本发现将在最多五分钟后以条目形式显示 GuardDuty 在创建的 S3 存储桶中。

1. 通过以下网址打开 Amazon SNS 控制台：https://console.aws.amazon.com/sns/v3/home。

2. 在导航窗格中，选择 Topics（主题）。

3. 选择 Create Topic。

4. 对于 “类型”，选择 “标准”。

5. 对于 Name（名称），请输入 GuardDuty。

6. 选择 Create Topic。您的新主题的主题详细信息将打开。

7. 在订阅部分中，选择创建订阅。

8. 对于协议，选择电子邮件。

9. 对于 Endpoint（端点），请输入要向其发送通知的电子邮件地址。

10. 选择 Create subscription（创建订阅）。

    创建订阅后，必须通过电子邮件确认订阅。

11. 要查看订阅消息，请转到您的电子邮件收件箱，然后在订阅消息中选择确认订阅。

    注意

    要检查电子邮件确认状态，请前往 SNS 控制台并选择 “订阅”。

创建 EventBridge 规则以捕获 GuardDuty 发现结果并对其进行格式化

1. 通过 https://console.aws.amazon.com/events/ 打开 EventBridge 主机。

2. 在导航窗格中，选择 Rules (规则)。

3. 选择 Create rule (创建规则)。

4. 为规则输入名称和描述。

   规则不能与同一区域中的另一个规则和同一事件总线上的名称相同。

5. 对于 Event bus（事件总线），选择 default（默认）。

6. 对于 Rule type（规则类型），选择 Rule with an event pattern（具有事件模式的规则）。

7. 选择下一步。

8. 对于事件源，选择Amazon事件。

9. 对于事件模式，选择事件模式表单。

10. 对于 Event source（事件源），选择 Amazon services（服务）。

11. 如需Amazon服务，请选择GuardDuty。

12. 对于 “事件类型”，选择 “GuardDuty查找”。

13. 选择 Next（下一步）。

14. 对于 Target types（目标类型），选择 Amazon service（服务）。

15. 对于选择目标，选择 SNS 主题，对于 “主题”，选择您之前创建的 SNS 主题的名称。

16. 在 “其他设置” 部分中，对于 “配置目标输入”，选择 “输入转换器”。

    添加输入转换器会将发送的 JSON 查找数据格式 GuardDuty 化为人类可读的消息。

17. 选择 Configure input transformer（配置输入转换器）。

18. 在目标输入转换器部分的输入路径中，粘贴以下代码：

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. 要格式化电子邮件，请在 “模板” 中粘贴以下代码：

    
    "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
    "Finding Description:"
    "<Finding_description>. "
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
    

20. 选择 Confirm（确认）。

21. 选择 Next（下一步）。

22. （可选）为规则输入一个或多个标签。有关更多信息，请参阅亚马逊 EventBridge 用户指南中的亚马逊 EventBridge 标签。

23. 选择下一步。

24. 查看规则详细信息并选择 Create rule（创建规则）。

25. （可选）使用步骤 2 中的流程生成样本结果，测试您的新规则。您将收到一封关于生成的每个样本发现的电子邮件。