入门 GuardDuty

1. 在导航窗格中，选择设置。

2. 在设置页面上的示例调查发现下，选择生成示例调查发现。

3. 在导航窗格中，选择调查发现。示例调查发现显示在当前调查发现页面上，并带有前缀 [SAMPLE]。

4. 从列表中选择一个调查发现，显示该调查发现的详细信息。

   1. 您可以查看调查发现详细信息窗格中可用的不同信息字段。不同类型的调查发现可能有不同的字段。有关所有调查发现类型中的可用字段的更多信息，请参阅 调查发现详细信息。在详细信息窗格中，您可以执行以下操作：

      • 选择窗格顶部的调查发现 ID 以打开调查发现的完整 JSON 详细信息。也可以从此面板下载完整的 JSON 文件。JSON 包含控制台视图中未包含的一些附加信息，并且是可以由其他工具和服务摄取的格式。

      • 查看受影响的资源部分。实际调查结果是，此处的信息将帮助您确定账户中应进行调查的资源，并将包括指向相应 Amazon Web Services Management Console 可操作资源的链接。

      • 选择“+”或“-”视镜图标，为详细信息创建包含或排除筛选条件。有关调查发现筛选条件的更多信息，请参阅 筛选结果。

5. 存档所有示例调查发现

   1. 选中列表顶部的复选框以选择所有调查发现。

   2. 取消选择您要保留的所有调查发现。

   3. 选择操作菜单，然后选择存档以隐藏示例调查发现。

      注意

      要查看存档的调查发现，选择当前，然后选择已存档以切换调查发现视图。

要配置 S3 导出调查发现选项

1. 要对调查结果进行加密，您需要一个 KMS 密钥，其策略 GuardDuty 允许使用该密钥进行加密。以下步骤将帮助您创建新的 KMS 密钥。如果您使用的是其他账户的 KMS 密钥，则需要通过登录拥有 Amazon Web Services 账户 该密钥的账户来应用密钥策略。KMS 密钥和 S3 存储桶必须位于同一区域。但对于要从中导出调查发现的每个区域，可以使用相同的存储桶和密钥对。

   1. 打开 Amazon KMS 控制台，网址为 https://console.aws.amazon.com/kms。

   2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

   3. 在导航窗格中，选择客户托管密钥。

   4. 选择 Create key。

   5. 在密钥类型下选择对称，然后选择下一步。

      注意

      有关创建 KMS 密钥的详细步骤，请参阅《Amazon Key Management Service 开发人员指南》中的创建密钥。

   6. 为您的密钥提供别名，然后选择下一步。

   7. 选择下一步，然后再次选择下一步以接受默认的管理和使用权限。

   8. 查看配置后，选择完成以创建密钥。

   9. 在客户管理的密钥页面上，选择密钥别名。

   10. 在密钥政策选项卡中，选择切换到策略视图。

   11. 选择编辑并将以下密钥策略添加到您的 KMS 密钥中，授予对您的密钥的 GuardDuty 访问权限。此语句仅 GuardDuty 允许使用您添加此策略的密钥。编辑密钥政策时，确保 JSON 语法有效。如果在最后一条语句之前添加语句，则必须在右括号之后加一个逗号。

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       将 Region1 替换为 KMS 密钥的区域。将 444455556666 替换为拥有 KMS 密钥的。 Amazon Web Services 账户 将 KMS KeyId 替换为您选择进行加密的 KMS 密钥的密钥 ID。要识别所有这些值（区域 Amazon Web Services 账户、和密钥 ID），请查看您的 KMS 密钥的 ARN。要查找密钥 ARN，请参阅查找密钥 ID 和 ARN。

       同样，将 111122223333 替换为账户的。 Amazon Web Services 账户 GuardDuty 将 “区域 2” 替换为 GuardDuty 账户所在区域。将 SourceDetectorID 替换为区域 2 GuardDuty 账户的探测器 ID。

       要查找您的账户和当前地区detectorId对应的，请参阅 https://console.aws.amazon.com/guardduty/ 控制台中的 “设置” 页面。

   12. 选择保存。

2. 打开 GuardDuty 控制台，网址为 https://console.aws.amazon.com/guardduty/。

3. 在导航窗格中，选择 Settings（设置）。

4. 在调查发现导出选项下，选择立即配置。

5. 选择新存储桶。为 S3 存储桶提供一个唯一名称。

6. （可选）您可以通过生成示例调查发现来测试新的导出设置。在导航窗格中，选择 Settings（设置）。

7. 在示例调查发现部分，选择生成示例调查发现。新的示例发现结果将在最多五分钟后作为条目显示 GuardDuty 在创建的 S3 存储桶中。

1. 通过 https://console.aws.amazon.com/sns/v3/home 打开 Amazon SNS 控制台。

2. 在导航窗格中，选择 Topics（主题）。

3. 选择创建主题。

4. 对于类型，选择标准。

5. 对于名称，请输入 GuardDuty。

6. 选择创建主题。这将打开新主题的主题详细信息。

7. 在订阅部分中，选择创建订阅。

8. 对于协议，选择电子邮件。

9. 对于端点，输入要向其发送通知的电子邮件地址。

10. 选择创建订阅。

    创建订阅后，必须通过电子邮件确认订阅。

11. 要查看订阅消息，请进入您的电子邮件收件箱，然后在订阅消息中选择确认订阅。

    注意

    要查看电子邮件确认状态，请进入 SNS 控制台，然后选择订阅。

创建用于捕获 GuardDuty 发现结果并对其进行格式化的 EventBridge 规则

1. 打开 EventBridge 控制台，网址为 https://console.aws.amazon.com/events/。

2. 在导航窗格中，选择规则。

3. 选择创建规则。

4. 为规则输入名称和描述。

   规则不能与同一区域中的另一个规则和同一事件总线上的名称相同。

5. 对于事件总线，选择默认。

6. 对于规则类型，选择具有事件模式的规则。

7. 选择下一步。

8. 对于事件源，选择 Amazon 事件。

9. 对于事件模式，选择事件模式表。

10. 对于事件源，选择Amazon 服务。

11. 对于 Amazon Service，选择 GuardDuty。

12. 对于 “事件类型”，选择 “GuardDuty查找”。

13. 选择 Next（下一步）。

14. 对于目标类型，选择Amazon 服务。

15. 对于选择目标，选择 SNS 主题；对于主题，选择您先前创建的 SNS 主题的名称。

16. 在其他设置部分，对于配置目标输入，选择输入转换器。

    添加输入转换器会将从中发送的 JSON 查找数据格式 GuardDuty 化为人类可读的消息。

17. 选择 Configure input transformer（配置输入转换器）。

18. 在目标输入转换器部分，对于输入路径，粘贴以下代码：

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. 要格式化电子邮件，请在 “模板” 中粘贴以下代码，并确保将红色文本替换为适合您所在地区的值：

    
    "You have a severity severity GuardDuty finding type Finding_Type in the Region_Name Region."
    "Finding Description:"
    "Finding_Description."
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=region#/findings?search=id%3DFinding_ID"
    

20. 选择确认。

21. 选择 Next（下一步）。

22. （可选）为规则输入一个或多个标签。有关更多信息，请参阅《亚马逊 EventBridge 用户指南》中的亚马逊 EventBridge 标签。

23. 选择下一步。

24. 查看规则详细信息并选择创建规则。

25. （可选）使用步骤 2 中的过程生成示例调查发现来测试新规则。对于生成的每个示例调查发现，您都会收到一封电子邮件。