Mengekspor GuardDuty temuan yang dihasilkan ke ember Amazon S3

Untuk mengubah kebijakan kunci KMS GuardDuty untuk mengenkripsi temuan Anda yang diekspor

1. Buka AWS KMS konsol di https://console.aws.amazon.com/kms.

2. Untuk mengubah Wilayah AWS, gunakan pemilih Wilayah di sudut kanan atas halaman.

3. Pilih kunci KMS yang ada atau lakukan langkah-langkah untuk Membuat kunci baru di Panduan AWS Key Management Service Pengembang, yang akan Anda gunakan untuk mengenkripsi temuan yang diekspor.

   catatan

   Kunci KMS Anda dan bucket Amazon S3 harus sama. Wilayah AWS

   Anda dapat menggunakan bucket S3 dan key pair KMS yang sama untuk mengekspor temuan dari Wilayah mana pun yang berlaku. Untuk informasi lebih lanjut, lihat Pertimbangan untuk mengekspor temuan di seluruh Wilayah.

4. Di bagian Kebijakan kunci, pilih Edit.

   Jika Beralih ke tampilan kebijakan ditampilkan, pilih untuk menampilkan Kebijakan kunci, lalu pilih Edit.

5. Salin blok kebijakan berikut ke kebijakan kunci KMS Anda, untuk memberikan GuardDuty izin menggunakan kunci Anda.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Edit kebijakan dengan mengganti nilai berikut yang diformat reddalam contoh kebijakan:

   1. Ganti KMS key ARN dengan Nama Sumber Daya Amazon (ARN) dari kunci KMS. Untuk menemukan kunci ARN, lihat Menemukan ID kunci dan ARN di Panduan Pengembang.AWS Key Management Service

   2. Ganti 123456789012 dengan Akun AWS ID yang memiliki GuardDuty akun yang mengekspor temuan.

   3. Ganti Region2 dengan Wilayah AWS tempat GuardDuty temuan dihasilkan.

   4. Ganti SourceDetectorID dengan GuardDuty akun di Wilayah tertentu tempat temuan dihasilkan. detectorID

      Untuk menemukan akun Anda dan Wilayah saat ini, lihat halaman Pengaturan di https://console.aws.amazon.com/guardduty/konsol, atau jalankan detectorId ListDetectorsAPI.

   catatan

   Jika Anda menggunakan GuardDuty di Wilayah keikutsertaan, ganti nilai untuk “Layanan” dengan titik akhir Regional untuk Wilayah tersebut. Misalnya, jika Anda menggunakan GuardDuty di Wilayah Timur Tengah (Bahrain) (me-south-1), ganti dengan. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Untuk informasi tentang titik akhir untuk setiap Wilayah keikutsertaan, lihat GuardDuty titik akhir dan kuota.

7. Jika Anda menambahkan pernyataan kebijakan sebelum pernyataan akhir, tambahkan koma sebelum menambahkan pernyataan ini. Pastikan bahwa sintaks JSON dari kebijakan kunci KMS Anda valid.

   Pilih Simpan.

8. (Opsional) salin kunci ARN ke notepad untuk digunakan pada langkah selanjutnya.

1. Lakukan langkah-langkah di bawah Untuk membuat atau mengedit kebijakan bucket di Panduan Pengguna Amazon S3, hingga halaman Edit kebijakan bucket muncul.

2. Kebijakan contoh menunjukkan cara memberikan GuardDuty izin untuk mengekspor temuan ke bucket Amazon S3 Anda. Jika Anda mengubah jalur setelah mengonfigurasi temuan ekspor, Anda harus mengubah kebijakan untuk memberikan izin ke lokasi baru.

   Salin contoh kebijakan berikut dan tempelkan ke editor kebijakan Bucket.

   Jika Anda menambahkan pernyataan kebijakan sebelum pernyataan akhir, tambahkan koma sebelum menambahkan pernyataan ini. Pastikan bahwa sintaks JSON dari kebijakan kunci KMS Anda valid.

   Kebijakan contoh bucket S3

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. Edit kebijakan dengan mengganti nilai berikut yang diformat reddalam contoh kebijakan:

   1. Ganti Amazon S3 bucket ARN dengan Nama Sumber Daya Amazon (ARN) dari bucket Amazon S3. Anda dapat menemukan Bucket ARN di halaman kebijakan Edit bucket di konsol. https://console.aws.amazon.com/s3/

   2. Ganti 123456789012 dengan Akun AWS ID yang memiliki GuardDuty akun yang mengekspor temuan.

   3. Ganti Region2 dengan Wilayah AWS tempat GuardDuty temuan dihasilkan.

   4. Ganti SourceDetectorID dengan GuardDuty akun di Wilayah tertentu tempat temuan dihasilkan. detectorID

      Untuk menemukan akun Anda dan Wilayah saat ini, lihat halaman Pengaturan di https://console.aws.amazon.com/guardduty/konsol, atau jalankan detectorId ListDetectorsAPI.

   5. Ganti [optional prefix] bagian dari nilai S3 bucket ARN/[optional prefix] placeholder dengan lokasi folder opsional yang ingin Anda ekspor temuannya. Untuk informasi selengkapnya tentang penggunaan awalan, lihat Mengatur objek menggunakan awalan di Panduan Pengguna Amazon S3.

      Bila Anda menyediakan lokasi folder opsional yang belum ada, GuardDuty akan membuat lokasi tersebut hanya jika akun yang terkait dengan bucket S3 sama dengan akun yang mengekspor temuan. Saat Anda mengekspor temuan ke bucket S3 milik akun lain, lokasi folder harus sudah ada.

   6. Ganti KMS key ARN dengan Nama Sumber Daya Amazon (ARN) dari kunci KMS yang terkait dengan enkripsi temuan yang diekspor ke bucket S3. Untuk menemukan kunci ARN, lihat Menemukan ID kunci dan ARN di Panduan Pengembang.AWS Key Management Service

   catatan

   Jika Anda menggunakan GuardDuty di Wilayah keikutsertaan, ganti nilai untuk “Layanan” dengan titik akhir Regional untuk Wilayah tersebut. Misalnya, jika Anda menggunakan GuardDuty di Wilayah Timur Tengah (Bahrain) (me-south-1), ganti dengan. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Untuk informasi tentang titik akhir untuk setiap Wilayah keikutsertaan, lihat GuardDuty titik akhir dan kuota.

4. Pilih Simpan.

Untuk mengonfigurasi temuan ekspor

1. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

2. Pada panel navigasi, silakan pilih Pengaturan.

3. Pada halaman Pengaturan, di bawah opsi ekspor temuan, untuk bucket S3, pilih Konfigurasi sekarang (atau Edit, sesuai kebutuhan).

4. Untuk ember S3 ARN, masukkan. bucket ARN Untuk menemukan bucket ARN, lihat Melihat properti untuk bucket S3 di Panduan Pengguna Amazon S3.

5. Untuk ARN kunci KMS, masukkan file. key ARN Untuk menemukan kunci ARN, lihat Menemukan ID kunci dan ARN di Panduan Pengembang.AWS Key Management Service

6. Lampirkan kebijakan

   • Lakukan langkah-langkah untuk melampirkan kebijakan bucket S3. Untuk informasi selengkapnya, lihat Langkah 3 - Melampirkan kebijakan ke bucket Amazon S3.

   • Lakukan langkah-langkah untuk melampirkan kebijakan kunci KMS. Untuk informasi selengkapnya, lihat Langkah 2 - Melampirkan kebijakan ke kunci KMS Anda.

7. Pilih Simpan.

Untuk mengatur frekuensi

1. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

2. Pilih Pengaturan.

3. Di bagian Opsi ekspor temuan, pilih Frekuensi untuk temuan yang diperbarui. Ini menetapkan frekuensi untuk mengekspor temuan Aktif yang diperbarui ke keduanya EventBridge dan Amazon S3. Anda dapat memilih dari opsi berikut:

   • Perbarui EventBridge dan S3 setiap 15 menit

   • Update EventBridge dan S3 setiap 1 jam

   • Perbarui EventBridge dan S3 setiap 6 jam (default)

4. Pilih Simpan perubahan.