Exportation des GuardDuty résultats générés vers des compartiments Amazon S3

Pour modifier la politique de clé KMS GuardDuty afin de chiffrer vos résultats exportés

1. Ouvrez la AWS KMS console à l'adresse https://console.aws.amazon.com/kms.

2. Pour modifier le Région AWS, utilisez le sélecteur de région dans le coin supérieur droit de la page.

3. Sélectionnez une clé KMS existante ou suivez les étapes de création d'une nouvelle clé dans le guide du AWS Key Management Service développeur, que vous utiliserez pour chiffrer les résultats exportés.

   Note

   Votre clé KMS et le compartiment Amazon S3 doivent être identiques. Région AWS

   Vous pouvez utiliser le même compartiment S3 et la même paire de clés KMS pour exporter les résultats depuis n'importe quelle région applicable. Pour plus d'informations, voir Considérations pour exporter les résultats d'une région à l'autre.

4. Dans la section Key policy (Politique de clé), choisissez Edit (Modifier).

   Si Basculer vers l'affichage des politiques est affiché, choisissez-le pour afficher la politique clé, puis choisissez Modifier.

5. Copiez le bloc de politique suivant dans votre politique de clé KMS, pour GuardDuty autoriser l'utilisation de votre clé.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Modifiez la politique en remplaçant les valeurs suivantes mises en forme reddans l'exemple de stratégie :

   1. KMS key ARNRemplacez-le par le Amazon Resource Name (ARN) de la clé KMS. Pour localiser l'ARN de la clé, consultez la section Trouver l'ID et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

   2. 123456789012Remplacez-le par l' Compte AWS identifiant du GuardDuty compte qui exporte les résultats.

   3. Remplacez Region2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

   4. Remplacez SourceDetectorID par le GuardDuty compte detectorID de la région spécifique où les résultats ont été générés.

      Pour trouver les paramètres detectorId correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/console ou exécutez le ListDetectorsAPI.

   Note

   Si vous l'utilisez GuardDuty dans une région optionnelle, remplacez la valeur du « Service » par le point de terminaison régional de cette région. Par exemple, si vous utilisez GuardDuty dans la région Moyen-Orient (Bahreïn) (me-south-1), remplacez par. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Pour plus d'informations sur les points de terminaison pour chaque région optionnelle, consultez la section GuardDuty Points de terminaison et quotas.

7. Si vous avez ajouté la déclaration de politique avant la déclaration finale, ajoutez une virgule avant d'ajouter cette déclaration. Assurez-vous que la syntaxe JSON de votre politique de clé KMS est valide.

   Choisissez Save (Enregistrer).

8. (Facultatif) copiez l'ARN de la clé dans un bloc-notes pour l'utiliser dans les étapes ultérieures.

1. Effectuez les étapes décrites dans la section Pour créer ou modifier une politique de compartiment dans le guide de l'utilisateur d'Amazon S3, jusqu'à ce que la page Modifier la politique de compartiment apparaisse.

2. L'exemple de politique montre comment accorder GuardDuty l'autorisation d'exporter les résultats vers votre compartiment Amazon S3. Si vous modifiez le chemin après avoir configuré les résultats de l'exportation, vous devez modifier la politique pour autoriser le nouvel emplacement.

   Copiez l'exemple de politique suivant et collez-le dans l'éditeur de politique Bucket.

   Si vous avez ajouté la déclaration de politique avant la déclaration finale, ajoutez une virgule avant d'ajouter cette déclaration. Assurez-vous que la syntaxe JSON de votre politique de clé KMS est valide.

   Exemple de stratégie de compartiment S3

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. Modifiez la politique en remplaçant les valeurs suivantes mises en forme reddans l'exemple de stratégie :

   1. Amazon S3 bucket ARNRemplacez-le par le nom de ressource Amazon (ARN) du compartiment Amazon S3. Vous trouverez l'ARN du bucket sur la page Modifier la politique du bucket de la https://console.aws.amazon.com/s3/console.

   2. 123456789012Remplacez-le par l' Compte AWS identifiant du GuardDuty compte qui exporte les résultats.

   3. Remplacez Region2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

   4. Remplacez SourceDetectorID par le GuardDuty compte detectorID de la région spécifique où les résultats ont été générés.

      Pour trouver les paramètres detectorId correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/console ou exécutez le ListDetectorsAPI.

   5. Remplacez une [optional prefix] partie de la valeur de l'S3 bucket ARN/[optional prefix]espace réservé par un dossier facultatif vers lequel vous souhaitez exporter les résultats. Pour plus d'informations sur l'utilisation des préfixes, consultez la section Organisation des objets à l'aide de préfixes dans le guide de l'utilisateur Amazon S3.

      Lorsque vous fournissez un emplacement de dossier facultatif qui n'existe pas encore, vous ne GuardDuty créerez cet emplacement que si le compte associé au compartiment S3 est le même que le compte exportant les résultats. Lorsque vous exportez des résultats vers un compartiment S3 appartenant à un autre compte, l'emplacement du dossier doit déjà exister.

   6. Remplacez-le KMS key ARN par le Amazon Resource Name (ARN) de la clé KMS associée au chiffrement des résultats exportés vers le compartiment S3. Pour localiser l'ARN de la clé, consultez la section Trouver l'ID et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

   Note

   Si vous l'utilisez GuardDuty dans une région optionnelle, remplacez la valeur du « Service » par le point de terminaison régional de cette région. Par exemple, si vous utilisez GuardDuty dans la région Moyen-Orient (Bahreïn) (me-south-1), remplacez par. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Pour plus d'informations sur les points de terminaison pour chaque région optionnelle, consultez la section GuardDuty Points de terminaison et quotas.

4. Choisissez Save (Enregistrer).

Pour configurer les résultats de l'exportation

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Sur la page Paramètres, sous Options d'exportation des résultats, pour le compartiment S3, choisissez Configurer maintenant (ou Modifier, selon les besoins).

4. Pour l'ARN du compartiment S3, entrez lebucket ARN. Pour trouver l'ARN du compartiment, consultez la section Affichage des propriétés d'un compartiment S3 dans le guide de l'utilisateur Amazon S3.

5. Pour l'ARN de la clé KMS, entrez le key ARN. Pour localiser l'ARN de la clé, consultez la section Trouver l'ID et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

6. Joindre des politiques

   • Procédez comme suit pour associer la politique du compartiment S3. Pour de plus amples informations, veuillez consulter Étape 3 — Attacher une politique au compartiment Amazon S3.

   • Effectuez les étapes pour joindre la politique de clé KMS. Pour de plus amples informations, veuillez consulter Étape 2 — Attacher une politique à votre clé KMS.

7. Choisissez Save (Enregistrer).

Pour définir la fréquence

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Sélectionnez Paramètres.

3. Dans la section Options d'exportation des résultats choisissez Fréquence des résultats mis à jour. Cela définit la fréquence d'exportation des résultats actifs mis à jour à la fois vers Amazon S3 EventBridge et vers Amazon S3. Sélectionnez parmi les éléments suivants :

   • Mise à jour EventBridge et S3 toutes les 15 minutes

   • Mise à jour EventBridge et S3 toutes les 1 heure

   • Mise à jour EventBridge et S3 toutes les 6 heures (par défaut)

4. Sélectionnez Enregistrer les modifications.