Commencer avec GuardDuty

Pour exporter GuardDuty les résultats vers le compartiment Amazon S3

1. Attacher la politique à la clé KMS

   1. Connectez-vous à la console AWS Key Management Service (AWS KMS) AWS Management Console et ouvrez-la à l'adresse https://console.aws.amazon.com/kms.

   2. Pour modifier le Région AWS, utilisez le sélecteur de région dans le coin supérieur droit de la page.

   3. Dans le volet de navigation, sélectionnez Clés gérées par le client.

   4. Sélectionnez une clé KMS existante ou suivez les étapes de création d'une clé KMS de chiffrement symétrique dans le manuel du AWS Key Management Service développeur.

      La région de votre clé KMS et de votre compartiment Amazon S3 doit être identique.

      Copiez l'ARN de la clé dans un bloc-notes pour l'utiliser dans les étapes ultérieures.

   5. Dans la section Politique des clés de votre clé KMS, choisissez Modifier. Si Basculer vers l'affichage des politiques est affiché, choisissez-le pour afficher la politique clé, puis choisissez Modifier.

   6. Copiez le bloc de politique suivant dans votre politique de clé KMS :

      {    
          "Sid": "AllowGuardDutyKey",
          "Effect": "Allow",
          "Principal": {
              "Service": "guardduty.amazonaws.com"
          },
          "Action": "kms:GenerateDataKey",
          "Resource": "KMS key ARN",
          "Condition": {
              "StringEquals": {
                  "aws:SourceAccount": "123456789012",
                  "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
              }
          }
      }

      Modifiez la politique en remplaçant les valeurs suivantes mises en forme reddans l'exemple de stratégie :

      1. KMS key ARNRemplacez-le par le Amazon Resource Name (ARN) de la clé KMS. Pour localiser l'ARN de la clé, consultez la section Trouver l'ID et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

      2. 123456789012Remplacez-le par l' Compte AWS identifiant du GuardDuty compte qui exporte les résultats.

      3. Remplacez Region2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

      4. Remplacez SourceDetectorID par le GuardDuty compte detectorID de la région spécifique où les résultats ont été générés.

         Pour trouver les paramètres detectorId correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/console ou exécutez le ListDetectorsAPI.

2. Attacher une politique au compartiment Amazon S3

   Si vous ne possédez pas encore de compartiment Amazon S3 dans lequel vous souhaitez exporter ces résultats, consultez la section Création d'un compartiment dans le guide de l'utilisateur Amazon S3.

   1. Effectuez les étapes décrites dans la section Pour créer ou modifier une politique de compartiment dans le guide de l'utilisateur Amazon S3, jusqu'à ce que la page Modifier la politique de compartiment apparaisse.

   2. L'exemple de politique montre comment accorder GuardDuty l'autorisation d'exporter les résultats vers votre compartiment Amazon S3. Si vous modifiez le chemin après avoir configuré les résultats de l'exportation, vous devez modifier la politique pour autoriser le nouvel emplacement.

      Copiez l'exemple de politique suivant et collez-le dans l'éditeur de politique Bucket.

      Si vous avez ajouté la déclaration de politique avant la déclaration finale, ajoutez une virgule avant d'ajouter cette déclaration. Assurez-vous que la syntaxe JSON de votre politique de clé KMS est valide.

      Exemple de stratégie de compartiment S3

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Sid": "Allow GetBucketLocation",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:GetBucketLocation",
                  "Resource": "Amazon S3 bucket ARN",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Allow PutObject",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringEquals": {
                          "aws:SourceAccount": "123456789012",
                          "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
      
                      }
                  }
              },
              {
                  "Sid": "Deny unencrypted object uploads",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption": "aws:kms"
                      }
                  }
              },
              {
                  "Sid": "Deny incorrect encryption header",
                  "Effect": "Deny",
                  "Principal": {
                      "Service": "guardduty.amazonaws.com"
                  },
                  "Action": "s3:PutObject",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "StringNotEquals": {
                          "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                      }
                  }
              },
              {
                  "Sid": "Deny non-HTTPS access",
                  "Effect": "Deny",
                  "Principal": "*",
                  "Action": "s3:*",
                  "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
                  "Condition": {
                      "Bool": {
                          "aws:SecureTransport": "false"
                      }
                  }
              }
          ]
      }

   3. Modifiez la politique en remplaçant les valeurs suivantes mises en forme reddans l'exemple de stratégie :

      1. Amazon S3 bucket ARNRemplacez-le par le nom de ressource Amazon (ARN) du compartiment Amazon S3. Vous trouverez l'ARN du bucket sur la page Modifier la politique du bucket de la https://console.aws.amazon.com/s3/console.

      2. 123456789012Remplacez-le par l' Compte AWS identifiant du GuardDuty compte qui exporte les résultats.

      3. Remplacez Region2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

      4. Remplacez SourceDetectorID par le GuardDuty compte detectorID de la région spécifique où les résultats ont été générés.

         Pour trouver les paramètres detectorId correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/console ou exécutez le ListDetectorsAPI.

      5. Remplacez une [optional prefix] partie de la valeur de l'S3 bucket ARN/[optional prefix]espace réservé par un dossier facultatif vers lequel vous souhaitez exporter les résultats. Pour plus d'informations sur l'utilisation des préfixes, consultez la section Organisation des objets à l'aide de préfixes dans le guide de l'utilisateur Amazon S3.

         Lorsque vous fournissez un emplacement de dossier facultatif qui n'existe pas encore, vous ne GuardDuty créerez cet emplacement que si le compte associé au compartiment S3 est le même que le compte exportant les résultats. Lorsque vous exportez des résultats vers un compartiment S3 appartenant à un autre compte, l'emplacement du dossier doit déjà exister.

      6. Remplacez-le KMS key ARN par le Amazon Resource Name (ARN) de la clé KMS associée au chiffrement des résultats exportés vers le compartiment S3. Pour localiser l'ARN de la clé, consultez la section Trouver l'ID et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

3. Étapes de GuardDuty la console

   1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

   2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

   3. Sur la page Paramètres, sous Options d'exportation des résultats, pour le compartiment S3, choisissez Configurer maintenant (ou Modifier, selon les besoins).

   4. Pour l'ARN du compartiment S3, entrez l'adresse bucket ARN à laquelle vous souhaitez envoyer les résultats. Pour consulter l'ARN du compartiment, consultez la section Affichage des propriétés d'un compartiment S3 dans le guide de l'utilisateur Amazon S3.

   5. Pour l'ARN de la clé KMS, entrez lekey ARN. Pour localiser l'ARN de la clé, voir Trouver l'ID de clé et l'ARN de la clé dans le guide du AWS Key Management Service développeur.

   6. Choisissez Save (Enregistrer).