Generierte GuardDuty Ergebnisse in Amazon S3 S3-Buckets exportieren

Um die KMS Schlüsselrichtlinie für die Verschlüsselung Ihrer exportierten Ergebnisse GuardDuty zu ändern

1. Öffnen Sie die AWS KMS Konsole unter https://console.aws.amazon.com/kms.

2. Um das zu ändern AWS-Region, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.

3. Wählen Sie einen vorhandenen KMS Schlüssel aus oder führen Sie die Schritte zum Erstellen eines neuen Schlüssels im AWS Key Management Service Entwicklerhandbuch aus, mit dem Sie die exportierten Ergebnisse verschlüsseln werden.

   Anmerkung

   Der AWS-Region Ihres KMS Schlüssels und des Amazon S3 S3-Buckets müssen identisch sein.

   Sie können dasselbe S3-Bucket- und KMS key pair verwenden, um die Ergebnisse aus jeder zutreffenden Region zu exportieren. Weitere Informationen finden Sie unter Informationen Überlegungen zum Exportieren von Ergebnissen zwischen Regionen.

4. Wählen Sie im Abschnitt Key policy (Schlüsselrichtlinie) die Option Edit (Bearbeiten) aus.

   Wenn Zur Richtlinienansicht wechseln angezeigt wird, wählen Sie diese aus, um die Schlüsselrichtlinie anzuzeigen, und klicken Sie dann auf Bearbeiten.

5. Kopieren Sie den folgenden Richtlinienblock in Ihre KMS Schlüsselrichtlinie, um die GuardDuty Erlaubnis zur Verwendung Ihres Schlüssels zu erteilen.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Bearbeiten Sie die Richtlinie, indem Sie die folgenden Werte ersetzen, die redim Richtlinienbeispiel formatiert sind:

   1. KMS key ARNErsetzen Sie es durch den Amazon-Ressourcennamen (ARN) des KMS Schlüssels. Informationen zum Auffinden des ARN Schlüssels finden Sie unter Finden der Schlüssel-ID und ARN im AWS Key Management Service Entwicklerhandbuch.

   2. 123456789012Ersetzen Sie ihn durch die AWS-Konto ID, der das GuardDuty Konto gehört, das die Ergebnisse exportiert.

   3. Region2Ersetzen Sie durch den AWS-Region Ort, an dem die GuardDuty Ergebnisse generiert wurden.

   4. SourceDetectorIDErsetzen Sie es durch das GuardDuty Konto in der spezifischen Region, in der die Ergebnisse generiert wurden. detectorID

      Um das detectorId für Ihr Konto und Ihre aktuelle Region zu finden, gehen Sie in der https://console.aws.amazon.com/guardduty/Konsole auf die Seite Einstellungen oder führen Sie den ListDetectors API.

   Anmerkung

   Wenn Sie GuardDuty in einer Opt-in-Region verwenden, ersetzen Sie den Wert für den „Service“ durch den regionalen Endpunkt für diese Region. Wenn Sie beispielsweise GuardDuty in der Region Naher Osten (Bahrain) (me-south-1) verwenden, ersetzen Sie "Service": "guardduty.amazonaws.com" es durch. "Service": "guardduty.me-south-1.amazonaws.com" Informationen zu Endpunkten für jede Opt-in-Region finden Sie unter GuardDuty Endpunkte und Kontingente.

7. Wenn Sie die Grundsatzerklärung vor der endgültigen Erklärung hinzugefügt haben, fügen Sie vor dem Hinzufügen dieser Aussage ein Komma hinzu. Stellen Sie sicher, dass die JSON Syntax Ihrer KMS wichtigsten Richtlinie gültig ist.

   Wählen Sie Save (Speichern) aus.

8. (Optional) Kopieren Sie den Schlüssel ARN auf einen Notizblock, um ihn in den späteren Schritten zu verwenden.

1. Führen Sie die Schritte unter So erstellen oder bearbeiten Sie eine Bucket-Richtlinie im Amazon S3 S3-Benutzerhandbuch aus, bis die Seite Bucket-Richtlinie bearbeiten angezeigt wird.

2. Die Beispielrichtlinie zeigt, wie Sie die GuardDuty Erlaubnis zum Exportieren von Ergebnissen in Ihren Amazon S3 S3-Bucket erteilen. Wenn Sie den Pfad ändern, nachdem Sie Exportergebnisse konfiguriert haben, müssen Sie die Richtlinie ändern, um die Erlaubnis für den neuen Speicherort zu erteilen.

   Kopieren Sie die folgende Beispielrichtlinie und fügen Sie sie in den Bucket-Richtlinieneditor ein.

   Wenn Sie die Richtlinienerklärung vor der endgültigen Aussage hinzugefügt haben, fügen Sie vor dem Hinzufügen dieser Aussage ein Komma hinzu. Stellen Sie sicher, dass die JSON Syntax Ihrer KMS wichtigsten Richtlinie gültig ist.

   Beispiel für eine S3-Bucket-Richtlinie

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. Bearbeiten Sie die Richtlinie, indem Sie die folgenden Werte ersetzen, die redim Richtlinienbeispiel formatiert sind:

   1. Amazon S3 bucket ARNErsetzen Sie es durch den Amazon-Ressourcennamen (ARN) des Amazon S3-Buckets. Sie finden den Bucket ARN auf der Seite Bucket-Richtlinie bearbeiten in der https://console.aws.amazon.com/s3/Konsole.

   2. 123456789012Ersetzen Sie ihn durch die AWS-Konto ID, der das GuardDuty Konto gehört, das die Ergebnisse exportiert.

   3. Region2Ersetzen Sie durch den AWS-Region Ort, an dem die GuardDuty Ergebnisse generiert wurden.

   4. SourceDetectorIDErsetzen Sie es durch das GuardDuty Konto in der spezifischen Region, in der die Ergebnisse generiert wurden. detectorID

      Um das detectorId für Ihr Konto und Ihre aktuelle Region zu finden, gehen Sie in der https://console.aws.amazon.com/guardduty/Konsole auf die Seite Einstellungen oder führen Sie den ListDetectors API.

   5. Ersetzen Sie einen [optional prefix] Teil des S3 bucket ARN/[optional prefix] Platzhalterwerts durch einen optionalen Ordnerpfad, in den Sie die Ergebnisse exportieren möchten. Weitere Informationen zur Verwendung von Präfixen finden Sie unter Objekte mithilfe von Präfixen organisieren im Amazon S3 S3-Benutzerhandbuch.

      Wenn Sie einen optionalen Ordnerspeicherort angeben, der noch nicht existiert, GuardDuty wird dieser Speicherort nur erstellt, wenn das mit dem S3-Bucket verknüpfte Konto mit dem Konto identisch ist, das die Ergebnisse exportiert. Wenn Sie Ergebnisse in einen S3-Bucket exportieren, der zu einem anderen Konto gehört, muss der Speicherort des Ordners bereits vorhanden sein.

   6. KMS key ARNErsetzen Sie ihn durch den Amazon-Ressourcennamen (ARN) des KMS Schlüssels, der mit der Verschlüsselung der in den S3-Bucket exportierten Ergebnisse verknüpft ist. Informationen zum Auffinden des ARN Schlüssels finden Sie unter Finden der Schlüssel-ID und ARN im AWS Key Management Service Entwicklerhandbuch.

   Anmerkung

   Wenn Sie GuardDuty in einer Opt-in-Region verwenden, ersetzen Sie den Wert für den „Service“ durch den regionalen Endpunkt für diese Region. Wenn Sie beispielsweise GuardDuty in der Region Naher Osten (Bahrain) (me-south-1) verwenden, ersetzen Sie "Service": "guardduty.amazonaws.com" es durch. "Service": "guardduty.me-south-1.amazonaws.com" Informationen zu Endpunkten für jede Opt-in-Region finden Sie unter GuardDuty Endpunkte und Kontingente.

4. Wählen Sie Save (Speichern) aus.

Um Exportergebnisse zu konfigurieren

1. Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Wählen Sie auf der Seite Einstellungen unter Exportoptionen für Ergebnisse für den S3-Bucket die Option Jetzt konfigurieren (oder je nach Bedarf Bearbeiten) aus.

4. Geben Sie für den S3-Bucket ARN den einbucket ARN. Informationen zum Finden des Buckets ARN finden Sie unter Eigenschaften für einen S3-Bucket anzeigen im Amazon S3 S3-Benutzerhandbuch.

5. Geben Sie als KMSSchlüssel ARN den ein key ARN. Informationen zum Auffinden des ARN Schlüssels finden Sie unter Finden der Schlüssel-ID und ARN im AWS Key Management Service Entwicklerhandbuch.

6. Richtlinien anhängen

   • Führen Sie die Schritte aus, um die S3-Bucket-Richtlinie anzuhängen. Weitere Informationen finden Sie unter Schritt 3 — Richtlinie an Amazon S3 S3-Bucket anhängen.

   • Führen Sie die Schritte aus, um die KMS Schlüsselrichtlinie anzuhängen. Weitere Informationen finden Sie unter Schritt 2 — Richtlinie an Ihren KMS Schlüssel anhängen.

7. Wählen Sie Save (Speichern) aus.

So stellen Sie die Häufigkeit ein

1. Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

2. Wählen Sie Settings (Einstellungen) aus.

3. Wählen Sie im Bereich Exportoptionen für Erkenntnisse die Option Häufigkeit für aktualisierte Erkenntnisse aus. Dadurch wird die Häufigkeit für den Export aktualisierter Active-Ergebnisse EventBridge sowohl nach Amazon S3 als auch nach Amazon S3 festgelegt. Sie können aus den folgenden Optionen auswählen:

   • Update EventBridge und S3 alle 15 Minuten

   • Update EventBridge und S3 alle 1 Stunde

   • Update CWE und S3 alle 6 Stunden (Standard)

4. Wählen Sie Änderungen speichern.