Empezar con GuardDuty

Para exportar GuardDuty los resultados al bucket de Amazon S3

1. Adjunte la política a la clave de KMS

   1. Inicie sesión en la consola AWS Key Management Service (AWS KMS) AWS Management Console y ábrala en https://console.aws.amazon.com/kms.

   2. Para cambiarla Región de AWS, usa el selector de regiones en la esquina superior derecha de la página.

   3. En el panel de navegación, elija Claves administradas por el cliente.

   4. Seleccione una clave KMS existente o lleve a cabo los pasos para crear una clave KMS de cifrado simétrico que se indican en la AWS Key Management Service Guía para desarrolladores.

      La región de la clave de KMS y del bucket de Amazon S3 debe ser la misma.

      Copie la clave ARN en un bloc de notas para utilizarla en los pasos posteriores.

   5. En la sección Política clave de su clave de KMS, elija Editar. Si aparece Cambiar a vista de política, elíjala para mostrar la Política de claves y, a continuación, elija Editar.

   6. Copia el siguiente bloque de políticas a tu política de claves de KMS:

      {    
          "Sid": "AllowGuardDutyKey",
          "Effect": "Allow",
          "Principal": {
              "Service": "guardduty.amazonaws.com"
          },
          "Action": "kms:GenerateDataKey",
          "Resource": "KMS key ARN",
          "Condition": {
              "StringEquals": {
                  "aws:SourceAccount": "123456789012",
                  "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
              }
          }
      }

      Edite la política sustituyendo los siguientes valores formateados reden el ejemplo de política:

      1. KMS key ARNSustitúyala por el nombre de recurso de Amazon (ARN) de la clave KMS. Para localizar el ARN de la clave, consulte Encontrar el ID y el ARN de la clave en la Guía para desarrolladores de AWS Key Management Service .

      2. 123456789012Sustitúyalo por el Cuenta de AWS ID propietario de la GuardDuty cuenta que exporta los resultados.

      3. Region2Sustitúyalo por el Región de AWS lugar donde se generan los GuardDuty hallazgos.

      4. SourceDetectorIDSustitúyalo por el detectorID de la GuardDuty cuenta de la región específica en la que se generaron los hallazgos.

         Para encontrar la detectorId correspondiente a tu cuenta y región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta el ListDetectorsAPI.

2. Adjunte la política al bucket de Amazon S3

   Si aún no dispone de un bucket de Amazon S3 al que desee exportar estos resultados, consulte Crear un bucket en la Guía del usuario de Amazon S3.

   1. Siga los pasos descritos en Para crear o editar una política de bucket en la Guía del usuario de Amazon S3, hasta que aparezca la página Editar política de bucket.

   2. La política de ejemplo muestra cómo conceder GuardDuty permisos para exportar los resultados a su bucket de Amazon S3. Si cambia la ruta después de configurar la exportación de resultados, deberá modificar la política para conceder permiso a la nueva ubicación.

      Copie la siguiente política de ejemplo y péguela en el Editor de políticas de bucket.

      Si ha agregado la instrucción de política antes de la instrucción final, agregue una coma antes de agregar esta instrucción. Asegúrese de que la sintaxis JSON de la política de la clave de KMS es válida.

      Política de ejemplo de bucket de S3

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "Allow GetBucketLocation",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:GetBucketLocation",
                  "Resource": "Amazon S3 bucket ARN",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Allow PutObject",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Deny unencrypted object uploads",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption": "aws:kms"
                      }
                  }
              },
              {
                  "Sid": "Deny incorrect encryption header",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                      }
                  }
              },
              {
                  "Sid": "Deny non-HTTPS access",
                  "Effect": "Deny",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "Bool": {
                          "aws:SecureTransport": "false"
                      }
                  }
              }
          ]
      }

   3. Edite la política sustituyendo los siguientes valores que están formateados reden el ejemplo de política:

      1. Amazon S3 bucket ARNSustitúyalo por el nombre de recurso de Amazon (ARN) del bucket de Amazon S3. Puedes encontrar el ARN del bucket en la página Editar la política del bucket de la https://console.aws.amazon.com/s3/consola.

      2. 123456789012Sustitúyalo por el Cuenta de AWS ID propietario de la GuardDuty cuenta que exporta los resultados.

      3. Region2Sustitúyalo por el Región de AWS lugar donde se generan los GuardDuty hallazgos.

      4. SourceDetectorIDSustitúyalo por el detectorID de la GuardDuty cuenta de la región específica en la que se generaron los hallazgos.

         Para encontrar la detectorId correspondiente a tu cuenta y región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta el ListDetectorsAPI.

      5. Sustituya [optional prefix] parte del valor del S3 bucket ARN/[optional prefix] marcador de posición por una ubicación de carpeta opcional a la que desee exportar los resultados. Para obtener más información sobre el uso de prefijos, consulte Organizar objetos mediante prefijos en la Guía del usuario de Amazon S3.

         Cuando proporciones una ubicación de carpeta opcional que aún no exista, la GuardDuty creará solo si la cuenta asociada al depósito de S3 es la misma que la cuenta que exporta los resultados. Al exportar resultados a un bucket de S3 que pertenece a otra cuenta, la ubicación de la carpeta ya debe existir.

      6. KMS key ARNSustitúyala por el nombre de recurso de Amazon (ARN) de la clave de KMS asociada al cifrado de los hallazgos exportados al bucket de S3. Para localizar el ARN de la clave, consulte Encontrar el ID y el ARN de la clave en la Guía para desarrolladores de AWS Key Management Service .

3. Pasos en la consola GuardDuty

   1. Abra la GuardDuty consola en https://console.aws.amazon.com/guardduty/.

   2. En el panel de navegación, seleccione Configuración.

   3. En la página Configuración, bajo Opciones de exportación de resultados, en Bucket de S3, elija Configurar ahora (o Editar, según sea necesario).

   4. Para el ARN del bucket S3, introduzca el lugar bucket ARN al que desea enviar los resultados. Para ver el ARN del bucket, consulte Visualización de las propiedades de un bucket de S3 en la Guía del usuario de Amazon S3.

   5. En ARN de la clave de KMS, ingrese el key ARN. Para localizar el ARN clave, consulta Buscar el ID y el ARN clave en la Guía para desarrolladores.AWS Key Management Service

   6. Seleccione Guardar.