Commencer avec GuardDuty

1. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

2. Sur la page Settings, sous Sample findings, choisissez Generate sample findings.

3. Dans le volet de navigation, choisissez Résumé pour afficher les informations relatives aux résultats générés dans votre AWS environnement. Pour de plus amples informations sur les composants du tableau de bord récapitulatif, veuillez consulter Tableau de bord récapitulatif.

4. Dans le volet de navigation, choisissez Conclusions. Les exemples de résultats sont affichés sur la page Résultats actuels avec le préfixe [SAMPLE].

5. Sélectionnez un résultat dans la liste pour en afficher les détails.

   1. Vous pouvez consulter les différents champs d'informations disponibles dans le volet des informations du résultat. Les différents types de résultat peuvent avoir différents champs. Pour de plus amples informations sur les champs disponibles dans tous les types de résultat, veuillez consulter Détails d'un résultat. Depuis le volet des détails, vous pouvez effectuer les actions suivantes :

      • Sélectionnez l'ID du résultat en haut du volet pour ouvrir les détails JSON complets du résultat. Le fichier JSON complet peut également être téléchargé à partir de ce panneau. Le JSON contient des informations supplémentaires non incluses dans la vue de la console et est le format qui peut être ingéré par d'autres outils et services.

      • Veuillez consulter la section Ressource affectée. En cas de véritable découverte, les informations présentées ici vous aideront à identifier une ressource de votre compte qui devrait faire l'objet d'une enquête et incluront des liens vers les ressources appropriées AWS Management Console pour des actions.

      • Sélectionnez les icônes de loupe + ou - afin de créer un filtre inclusif ou exclusif pour chaque détail. Pour plus d'informations sur la recherche de filtres, veuillez consulter Filtrage des résultats.

6. Archivage de tous vos exemples de résultats

   1. Sélectionnez tous les résultats en cochant la case en haut de la liste.

   2. Désélectionnez les résultats que vous souhaitez conserver.

   3. Sélectionnez le menu Actions, puis Archiver pour masquer les exemples de résultats.

      Note

      Pour afficher les résultats archivés, sélectionnez Actuel, puis Archivé pour changer d'affichage des résultats.

Pour configurer l'option d'exportation des résultats dans S3

1. Pour chiffrer les résultats, vous aurez besoin d'une clé KMS avec une politique autorisant l'utilisation GuardDuty de cette clé pour le chiffrement. Les étapes suivantes vous aideront à créer une clé KMS. Si vous utilisez une clé KMS provenant d'un autre compte, vous devez appliquer la politique en matière de clés en vous connectant au Compte AWS propriétaire de la clé. La région de votre clé KMS et de votre compartiment S3 doit être la même. Toutefois, vous pouvez utiliser ce même compartiment et cette même paire de clés pour chaque région à partir de laquelle vous souhaitez exporter les résultats.

   1. Ouvrez la AWS KMS console à l'adresse https://console.aws.amazon.com/kms.

   2. Pour modifier le Région AWS, utilisez le sélecteur de région dans le coin supérieur droit de la page.

   3. Dans le volet de navigation, sélectionnez Clés gérées par le client.

   4. Choisissez Create key.

   5. Choisissez Symétrique sous Type de clé, puis Suivant.

      Note

      Pour une procédure détaillée sur la création de clés KMS, veuillez consulter Création de clés du Guide du développeur AWS Key Management Service .

   6. Fournissez un alias pour votre clé, puis choisissez Suivant.

   7. Choisissez Suivant, puis à nouveau Suivant pour accepter les autorisations d'administration et d'utilisation par défaut.

   8. Une fois que vous avez fini de vérifier la configuration, choisissez Terminer pour créer la clé.

   9. Sur la page Clés gérées par le client, choisissez votre alias de clé.

   10. Dans la section Stratégie de clé, sélectionnez Passer à la vue de stratégie.

   11. Choisissez Modifier et ajoutez la politique de clé suivante à votre clé KMS, en accordant l' GuardDuty accès à votre clé. Cette instruction permet GuardDuty d'utiliser uniquement la clé à laquelle vous ajoutez cette politique. Lorsque vous modifiez la stratégie de clé, assurez-vous que la syntaxe JSON est valide. Si vous ajoutez l'instruction avant la dernière instruction, vous devez ajouter une virgule après le crochet de fermeture.

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       Remplacez Region1 par la région de votre clé KMS. Remplacez 444455556666 par le propriétaire de la clé KMS Compte AWS . Remplacez KMS KeyId par l'ID de clé KMS que vous avez choisie pour le chiffrement. Pour identifier toutes ces valeurs (région et ID de clé), consultez l'ARN de votre clé KMS. Compte AWS Pour localiser l'ARN de clé, veuillez consulter la section Recherche de l'ID et de l'ARN d'une clé.

       De même, remplacez 111122223333 par le Compte AWS compte. GuardDuty Remplacez Region2 par la région du GuardDuty compte. Remplacez l'SourceDetectorID par l'ID du détecteur du GuardDuty compte pour Region2.

       detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la console https://console.aws.amazon.com/guardduty/ ou exécutez l'ListDetectorsAPI

   12. Choisissez Enregistrer.

2. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

3. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

4. Sous Options d'exportation des résultats, choisissez Configurer maintenant.

5. Choisissez Nouveau compartiment. Indiquez un nom unique pour votre compartiment S3.

6. (Facultatif) Vous pouvez tester vos nouveaux paramètres d'exportation en générant des exemples de résultats. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

7. Sous la section Exemples de résultats, choisissez Générer des exemples de résultats. Les nouveaux échantillons de résultats apparaîtront sous forme d'entrées dans le compartiment S3 créé GuardDuty dans un délai maximum de cinq minutes.

1. Ouvrez la console Amazon SNS à partir de l’adresse https://console.aws.amazon.com/sns/v3/home.

2. Dans le volet de navigation, choisissez Rubriques.

3. Choisissez Créer la rubrique.

4. Pour Type, sélectionnez Standard.

5. Pour Name (Nom), saisissez GuardDuty.

6. Choisissez Créer la rubrique. Les détails de la rubrique pour votre nouvelle rubrique s'ouvrent.

7. Dans la section Abonnements, choisissez Créer un abonnement.

8. Pour Protocole, choisissez E-mail.

9. Pour Point de terminaison, saisissez l'adresse e-mail à laquelle vous souhaitez envoyer des notifications.

10. Choisissez Créer un abonnement.

    Vous devez confirmer votre abonnement par e-mail après avoir créé l'abonnement.

11. Pour vérifier la présence d'un message d'abonnement, accédez à votre boîte de réception et, dans le message d'abonnement, sélectionnez Confirmer l'abonnement.

    Note

    Pour vérifier l'état de l'e-mail de confirmation, accédez à la console SNS et choisissez Abonnements.

Pour créer une EventBridge règle permettant de saisir les GuardDuty résultats et de les mettre en forme

1. Ouvrez la EventBridge console à l'adresse https://console.aws.amazon.com/events/.

2. Dans le volet de navigation, choisissez Règles.

3. Choisissez Créer une règle.

4. Saisissez un nom et une description pour la règle.

   Une règle ne peut pas avoir le même nom qu’une autre règle de la même région et sur le même bus d’événement.

5. Pour Event bus (Bus d’événement), choisissez default (défaut).

6. Pour Type de règle, choisissez Règle avec un modèle d’événement.

7. Choisissez Suivant.

8. Pour Event source (Source de l'événement), choisissez AWS events (Événements).

9. Pour Modèle d'événement, choisissez Formulaire de modèle d'événement.

10. Pour Source d'événement, choisissez Services AWS .

11. Pour Service AWS , choisissez GuardDuty.

12. Dans Type d'événement, choisissez GuardDutyRechercher.

13. Choisissez Suivant.

14. Pour Types de cibles, choisissez service AWS .

15. Pour Sélectionner une cible, choisissez rubrique SNS, et pour Rubrique, choisissez le nom de la rubrique SNS que vous avez créée précédemment.

16. Dans la section Paramètres supplémentaires, pour Configurer l'entrée cible, choisissez Transformateur d'entrée.

    L'ajout d'un transformateur d'entrée formate les données de recherche JSON envoyées GuardDuty en un message lisible par l'homme.

17. Choisissez Configure input transformer (Configurer le transformateur d'entrée).

18. Dans la section Transformateur d'entrée cible, pour Chemin d'entrée, collez le code suivant :

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. Pour formater l'e-mail, dans Modèle, collez le code suivant et assurez-vous de remplacer le texte en rouge par les valeurs appropriées à votre région :

    
    "You have a severity severity GuardDuty finding type Finding_Type in the Region_Name Region."
    "Finding Description:"
    "Finding_Description."
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=region#/findings?search=id%3DFinding_ID"
    

20. Choisissez Confirmer.

21. Choisissez Suivant.

22. (Facultatif) Saisissez une ou plusieurs balises pour la règle. Pour plus d'informations, consultez les EventBridge balises Amazon dans le guide de EventBridge l'utilisateur Amazon.

23. Choisissez Suivant.

24. Consultez les détails de la règle et choisissez Create rule (Créer une règle).

25. (Facultatif) Testez votre nouvelle règle en générant des exemples de résultats à l'aide du processus de l'étape 2. Vous recevrez un e-mail pour chaque exemple de résultat généré.