开始使用 GuardDuty

将 GuardDuty 调查发现导出到 Amazon S3 存储桶

1. 将策略附加到 KMS 密钥

   1. 登录到 Amazon Web Services 管理控制台，然后通过以下网址打开 Amazon Key Management Service（Amazon KMS）控制台：https://console.aws.amazon.com/kms。

   2. 要更改 Amazon Web Services 区域，请使用页面右上角的区域选择器。

   3. 在导航窗格中，选择客户托管密钥。

   4. 选择现有的 KMS 密钥，或执行《Amazon Key Management Service Developer Guide》中的 Create a symmetric encryption KMS key 的步骤。

      KMS 密钥和 Amazon S3 存储桶必须位于同一区域。

      将密钥 ARN 复制到记事本，以便在后续步骤中使用。

   5. 在密钥策略部分，选择编辑。如果显示切换到策略视图，请选择该选项以显示密钥策略，然后选择编辑。

   6. 将以下策略块复制到 KMS 密钥策略中：

      {    
          "Sid": "AllowGuardDutyKey",
          "Effect": "Allow",
          "Principal": {
              "Service": "guardduty.amazonaws.com"
          },
          "Action": "kms:GenerateDataKey",
          "Resource": "KMS key ARN",
          "Condition": {
              "StringEquals": {
                  "aws:SourceAccount": "123456789012",
                  "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
              }
          }
      }

      通过替换以下策略示例中红色格式的值，从而编辑策略：

      1. 将 KMS 密钥 ARN替换为该 KMS 密钥的 Amazon 资源名称（ARN）。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

      2. 请将 123456789012 替换为拥有导出调查发现的 GuardDuty 账户的 Amazon Web Services 账户 ID。

      3. 将 Region2 替换为生成 GuardDuty 调查发现的 Amazon Web Services 区域。

      4. 将 SourceDetectorID 替换为生成调查发现的特定区域的 GuardDuty 账户的 detectorID。

         要查找您账户和当前区域的 detectorId，请查看 https://console.aws.amazon.com/guardduty/ 控制台中的设置页面，或者运行 ListDetectors API。

2. 将策略附加到 Amazon S3 存储桶

   如果您还没有要将这些调查发现导出到的 Amazon S3 存储桶，请参阅《Amazon S3 用户指南》中的创建存储桶。

   1. 执行《Amazon S3 用户指南》中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

   2. 示例策略展示了如何授予 GuardDuty 权限，以将调查发现导出到 Amazon S3 存储桶。如果在配置调查发现导出后更改路径，则必须修改策略以授予对新位置的权限。

      复制以下示例策略并将其粘贴到存储桶策略编辑器中。

      如果在最后一条语句之前添加了策略语句，请在添加该语句之前添加一个逗号。确保 KMS 密钥策略的 JSON 语法有效。

      S3 存储桶示例策略

      JSON

      {
          "Version":"2012-10-17",		 	 	 
          "Statement": [
              {
                  "Sid": "Allow GetBucketLocation",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:GetBucketLocation",
                  "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Allow PutObject",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Deny unencrypted object uploads",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption": "aws:kms"
                      }
                  }
              },
              {
                  "Sid": "Deny incorrect encryption header",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                      "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:us-east-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
                      }
                  }
              },
              {
                  "Sid": "Deny non-HTTPS access",
                  "Effect": "Deny",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
                  "Condition": {
                      "Bool": {
                          "aws:SecureTransport": "false"
                      }
                  }
              }
          ]
      }
      

   3. 通过替换以下策略示例中红色格式的值，从而编辑策略：

      1. 将 Amazon S3 存储桶 ARN 替换为Amazon S3 存储桶的 Amazon 资源名称（ARN）。您可以在 https://console.aws.amazon.com/s3/ 控制台的编辑存储桶策略页面上找到存储桶 ARN。

      2. 请将 123456789012 替换为拥有导出调查发现的 GuardDuty 账户的 Amazon Web Services 账户 ID。

      3. 将 Region2 替换为生成 GuardDuty 调查发现的 Amazon Web Services 区域。

      4. 将 SourceDetectorID 替换为生成调查发现的特定区域的 GuardDuty 账户的 detectorID。

         要查找您账户和当前区域的 detectorId，请查看 https://console.aws.amazon.com/guardduty/ 控制台中的设置页面，或者运行 ListDetectors API。

      5. 将 S3 存储桶 ARN/[可选前缀]占位符值的 [可选前缀] 部分替换为要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅《Amazon S3 用户指南》中的使用前缀组织对象。

         如果您提供某个尚未存在的可选文件夹位置，则仅当与 S3 存储桶关联的账户与导出调查发现的账户相同时，GuardDuty 才会创建该位置。如果您将调查发现导出到属于其他账户的 S3 存储桶，则文件夹位置必须已经存在。

      6. 将 KMS 密钥 ARN 替换为与对导出到 S3 存储桶中的调查发现进行加密相关的 KMS 密钥的 Amazon 资源名称（ARN）。要查找密钥 ARN，请参阅《Amazon Key Management Service 开发人员指南》中的 Finding the key ID and ARN。

3. GuardDuty 控制台中的步骤

   1. 通过以下网址打开 GuardDuty 控制台：https://console.aws.amazon.com/guardduty/。

   2. 在导航窗格中，选择设置。

   3. 在设置页面的调查发现导出选项下，对于 S3 存储桶，选择立即配置（或根据需要选择编辑）。

   4. 对于 S3 存储桶 ARN，输入您要向其发送调查发现的 bucket ARN。要查找存储桶 ARN，请参阅《Amazon S3 用户指南》中的查看 S3 存储桶的属性。

   5. 对于 KMS 密钥 ARN，请输入 key ARN。要查找密钥 ARN，请参阅《Amazon Key Management Service Developer Guide》中的 Finding the key ID and ARN。

   6. 选择保存。