入门 GuardDuty

将 GuardDuty 调查结果导出到 Amazon S3 存储桶

1. 将策略附加到 KMS 密钥

   1. 登录 Amazon Web Services Management Console 并在 https://console.aws.amazon.com/km s 处打开 Amazon Key Management Service (Amazon KMS) 控制台。

   2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

   3. 在导航窗格中，选择客户托管密钥。

   4. 选择现有的 KMS 密钥，或执行Amazon Key Management Service 开发人员指南中的创建对称加密 KMS 密钥的步骤。

      您的 KMS 密钥和 Amazon S3 存储桶所在的区域必须相同。

      将密钥 ARN 复制到记事本中，以便在后续步骤中使用。

   5. 在 KMS 密钥的密钥策略部分，选择编辑。如果显示切换到策略视图，请选择该选项以显示密钥策略，然后选择编辑。

   6. 将以下策略块复制到您的 KMS 密钥策略中：

      {    
          "Sid": "AllowGuardDutyKey",
          "Effect": "Allow",
          "Principal": {
              "Service": "guardduty.amazonaws.com"
          },
          "Action": "kms:GenerateDataKey",
          "Resource": "KMS key ARN",
          "Condition": {
              "StringEquals": {
                  "aws:SourceAccount": "123456789012",
                  "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
              }
          }
      }

      通过替换策略示例red中格式化的以下值来编辑策略：

      1. KMS key ARN替换为 KMS 密钥的亚马逊资源名称 (ARN)。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

      2. 替换为123456789012拥有导出调查结果的 GuardDuty 账户的 Amazon Web Services 账户 ID。

      3. Region2替换为生成 GuardDuty 结果 Amazon Web Services 区域 的位置。

      4. SourceDetectorID替换detectorID为生成调查结果的特定区域的 GuardDuty 账户。

         要查找与您的账户和当前地区detectorId对应的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或者运行 ListDetectorsAPI。

2. 将策略附加到 Amazon S3 存储桶

   如果您还没有要将这些调查发现导出到的 Amazon S3 存储桶，请参阅《Amazon S3 用户指南》中的创建存储桶。

   1. 执行《Amazon S3 用户指南》中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

   2. 示例策略显示了如何授予将调查结果导出到 Amazon S3 存储桶的 GuardDuty权限。如果在配置调查发现导出后更改路径，则必须修改策略以授予对新位置的权限。

      复制以下示例策略并将其粘贴到存储桶策略编辑器中。

      如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

      S3 存储桶示例策略

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "Allow GetBucketLocation",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:GetBucketLocation",
                  "Resource": "Amazon S3 bucket ARN",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Allow PutObject",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Deny unencrypted object uploads",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption": "aws:kms"
                      }
                  }
              },
              {
                  "Sid": "Deny incorrect encryption header",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                      }
                  }
              },
              {
                  "Sid": "Deny non-HTTPS access",
                  "Effect": "Deny",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "Bool": {
                          "aws:SecureTransport": "false"
                      }
                  }
              }
          ]
      }

   3. 通过替换策略示例red中格式化的以下值来编辑策略：

      1. Amazon S3 bucket ARN替换为 Amazon S3 存储桶的亚马逊资源名称 (ARN)。您可以在控制台的编辑存储桶策略页面上找到存储桶 ARN。https://console.aws.amazon.com/s3/

      2. 替换为123456789012拥有导出调查结果的 GuardDuty 账户的 Amazon Web Services 账户 ID。

      3. Region2替换为生成 GuardDuty 结果 Amazon Web Services 区域 的位置。

      4. SourceDetectorID替换detectorID为生成调查结果的特定区域的 GuardDuty 账户。

         要查找与您的账户和当前地区detectorId对应的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或者运行 ListDetectorsAPI。

      5. 将[optional prefix]部分占位S3 bucket ARN/[optional prefix]符值替换为要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅《Amazon S3 用户指南》中的使用前缀组织对象。

         当您提供尚不存在的可选文件夹位置时，仅当与 S3 存储桶关联的账户与导出结果的账户相同时，才 GuardDuty 会创建该位置。如果您将调查发现导出到属于其他账户的 S3 存储桶，则文件夹位置必须已经存在。

      6. 替换为KMS key ARN与导出到 S3 存储桶的结果的加密相关的 KMS 密钥的 Amazon 资源名称 (ARN)。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

3. GuardDuty 控制台中的步骤

   1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

   2. 在导航窗格中，选择 Settings（设置）。

   3. 在设置页面的调查发现导出选项下，对于 S3 存储桶，选择立即配置（或根据需要进行编辑）。

   4. 对于 S3 存储桶 ARN，输入您要向其发送调查结果的。bucket ARN要查看存储桶 ARN，请参阅 A mazon S3 用户指南中的查看 S3 存储桶的属性。

   5. 对于 KMS 密钥 ARN，请输入 key ARN。要找到密钥 ARN，请参阅开发者指南中的查找密钥 ID 和密钥 ARN。Amazon Key Management Service

   6. 选择保存。