Exportación de GuardDuty los hallazgos generados a buckets de Amazon S3

Para modificar la política de KMS claves GuardDuty para cifrar los hallazgos exportados

1. Abra la AWS KMS consola en https://console.aws.amazon.com/kms.

2. Para cambiarla Región de AWS, usa el selector de regiones en la esquina superior derecha de la página.

3. Selecciona una KMS clave existente o sigue los pasos para crear una nueva clave en la Guía para AWS Key Management Service desarrolladores, que utilizarás para cifrar los hallazgos exportados.

   nota

   La Región de AWS KMS clave y el bucket de Amazon S3 deben ser iguales.

   Puede utilizar el mismo segmento de S3 y el mismo KMS key pair para exportar los resultados de cualquier región aplicable. Para obtener más información, consulte Consideraciones para exportar los resultados de todas las regiones.

4. En la sección Key policy (Política de claves), elija Edit (Editar).

   Si aparece la vista Cambiar a política, selecciónela para que aparezca la política clave y, a continuación, seleccione Editar.

5. Copia el siguiente bloque de políticas a tu política KMS clave para conceder GuardDuty permiso para usar tu clave.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Edite la política sustituyendo los siguientes valores que están formateados en reden el ejemplo de política:

   1. Reemplazar KMS key ARN con el nombre de recurso de Amazon (ARN) de la KMS clave. Para localizar la claveARN, consulte Cómo encontrar el ID de la clave y ARN en la Guía para AWS Key Management Service desarrolladores.

   2. Reemplazar 123456789012 con el Cuenta de AWS identificador propietario de la GuardDuty cuenta que exporta los resultados.

   3. Reemplazar Region2 con el Región de AWS lugar donde se generan los GuardDuty hallazgos.

   4. Reemplazar SourceDetectorID con la GuardDuty cuenta detectorID de la región específica en la que se generaron los hallazgos.

      Para encontrar la detectorId correspondiente a su cuenta y región actual, consulte la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecute el ListDetectors API.

   nota

   Si lo utilizas GuardDuty en una región en la que puedes suscribirte, sustituye el valor del «Servicio» por el punto final regional de esa región. Por ejemplo, si lo utilizas GuardDuty en la región de Oriente Medio (Bahréin) (me-south-1), sustitúyelo por. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Para obtener información sobre los puntos de conexión de cada región que se haya suscrito, consulta GuardDuty los puntos de conexión y las cuotas.

7. Si has añadido la declaración de política antes de la declaración final, añade una coma antes de añadir esta declaración. Asegúrese de que la JSON sintaxis de la política KMS clave sea válida.

   Seleccione Guardar.

8. (Opcional) copia la clave ARN en un bloc de notas para usarla en los pasos posteriores.

1. Siga los pasos descritos en Para crear o editar una política de bucket en la Guía del usuario de Amazon S3, hasta que aparezca la página Editar política de bucket.

2. La política de ejemplo muestra cómo conceder GuardDuty permisos para exportar los resultados a su bucket de Amazon S3. Si cambias la ruta después de configurar los resultados de exportación, debes modificar la política para conceder el permiso a la nueva ubicación.

   Copia el siguiente ejemplo de política y pégalo en el editor de políticas de Bucket.

   Si agregó la declaración de política antes de la declaración final, agregue una coma antes de agregar esta declaración. Asegúrese de que la JSON sintaxis de la política KMS clave sea válida.

   Política de ejemplo de bucket de S3

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowGuardDutygetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": [
                   "s3:GetBucketLocation",
                   "s3:ListBucket"
               ],
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "AllowGuardDutyPutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "DenyUnencryptedUploadsThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "DenyIncorrectHeaderThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "DenyNon-HTTPS",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. Edite la política sustituyendo los siguientes valores que están formateados reden el ejemplo de política:

   1. Reemplazar Amazon S3 bucket ARN con el nombre de recurso de Amazon (ARN) del bucket de Amazon S3. Puedes encontrar el bucket ARN en la página de edición de la política de bucket de la https://console.aws.amazon.com/s3/consola.

   2. Reemplazar 123456789012 con el Cuenta de AWS ID propietario de la GuardDuty cuenta que exporta los resultados.

   3. Reemplazar Region2 con el Región de AWS lugar donde se generan los GuardDuty hallazgos.

   4. Reemplazar SourceDetectorID con la GuardDuty cuenta detectorID de la región específica en la que se generaron los hallazgos.

      Para encontrar la detectorId correspondiente a su cuenta y región actual, consulte la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecute el ListDetectors API.

   5. Reemplazar [optional prefix] parte del S3 bucket ARN/[optional prefix] valor de marcador de posición con una ubicación de carpeta opcional a la que desee exportar los resultados. Para obtener más información sobre el uso de prefijos, consulte Organizar objetos mediante prefijos en la Guía del usuario de Amazon S3.

      Si proporciona una ubicación de carpeta opcional que aún no existe, la GuardDuty creará solo si la cuenta asociada al bucket de S3 es la misma que la cuenta que exporta los resultados. Al exportar los resultados a un depósito de S3 que pertenece a otra cuenta, la ubicación de la carpeta debe existir ya.

   6. Reemplazar KMS key ARN con el nombre de recurso de Amazon (ARN) de la KMS clave asociada al cifrado de los hallazgos exportados al bucket de S3. Para localizar la claveARN, consulte Búsqueda del ID de clave y ARN en la Guía para AWS Key Management Service desarrolladores.

   nota

   Si la utilizas GuardDuty en una región con suscripción voluntaria, sustituye el valor del «Servicio» por el punto final regional de esa región. Por ejemplo, si lo utilizas GuardDuty en la región de Oriente Medio (Bahréin) (me-south-1), sustitúyelo por. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Para obtener información sobre los puntos de conexión de cada región que se haya suscrito, consulta GuardDuty los puntos de conexión y las cuotas.

4. Seleccione Guardar.

Para configurar los resultados de la exportación

1. Abra la GuardDuty consola en https://console.aws.amazon.com/guardduty/.

2. En el panel de navegación, seleccione Configuración.

3. En la página Configuración, en las opciones de exportación de Findings, para S3 bucket, seleccione Configurar ahora (o Editar, según sea necesario).

4. Para el bucket de S3 ARN, introduzca elbucket ARN. Para encontrar el depósitoARN, consulte Visualización de las propiedades de un depósito de S3 en la Guía del usuario de Amazon S3. En la pestaña Permisos de la página de propiedades del bucket asociado en la https://console.aws.amazon.com/guardduty/consola.

5. Para KMSla clave ARN, introduce el key ARN. Para localizar la claveARN, consulta Cómo encontrar el ID de la clave y ARN en la Guía para AWS Key Management Service desarrolladores.

6. Adjunte políticas

   • Realice los pasos para adjuntar la política de bucket de S3. Para obtener más información, consulte Paso 3: Adjuntar la política al bucket de Amazon S3.

   • Realice los pasos para adjuntar la política KMS clave. Para obtener más información, consulte Paso 2: Adjuntar la política a la clave KMS.

7. Seleccione Guardar.

Establecimiento de la frecuencia

1. Abra la GuardDuty consola en https://console.aws.amazon.com/guardduty/.

2. Elija Configuración.

3. En la sección Opciones de exportación de resultados, seleccione Frecuencia de los resultados actualizados. Esto establece la frecuencia de exportación de los hallazgos activos actualizados tanto EventBridge a Amazon S3 como a Amazon S3. Puede elegir entre las siguientes opciones:

   • Actualice EventBridge y S3 cada 15 minutos

   • Actualice EventBridge y S3 cada 1 hora

   • Actualice CWE y S3 cada 6 horas (predeterminado)

4. Elija Guardar cambios.