Memulai dengan GuardDuty

1. Pada panel navigasi, silakan pilih Pengaturan.

2. Di halaman Pengaturan, di bawah Sampel temuan, pilih Buat sampel temuan.

3. Di panel navigasi, pilih Ringkasan untuk melihat wawasan tentang temuan yang dihasilkan di lingkungan Anda AWS . Untuk informasi selengkapnya tentang komponen dasbor Ringkasan, lihatDasbor ringkasan di Amazon GuardDuty.

4. Di panel navigasi, pilih Temuan. Temuan sampel ditampilkan pada halaman Temuan saat ini dengan awalan [SAMPLE].

5. Pilih temuan dari daftar untuk menampilkan detail temuan.

   1. Anda dapat meninjau bidang informasi yang berbeda yang tersedia di panel detail temuan. Berbagai jenis temuan dapat memiliki bidang yang berbeda. Untuk informasi selengkapnya tentang bidang yang tersedia di semua jenis pencarian, lihatDetail temuan. Dari panel detail, Anda dapat mengambil tindakan berikut:

      • Pilih ID pencarian di bagian atas panel untuk membuka JSON detail lengkap temuan tersebut. JSONFile lengkap juga dapat diunduh dari panel ini. JSONIni berisi beberapa informasi tambahan yang tidak termasuk dalam tampilan konsol dan merupakan format yang dapat dicerna oleh alat dan layanan lain.

      • Lihat bagian Sumber daya yang terpengaruh. Dalam temuan nyata, informasi di sini akan membantu Anda mengidentifikasi sumber daya di akun Anda yang harus diselidiki dan akan menyertakan tautan ke sumber daya yang sesuai AWS Management Console untuk ditindaklanjuti.

      • Pilih ikon kaca pembesar dengan + atau - untuk membuat filter inklusif atau eksklusif untuk detail tersebut. Untuk informasi selengkapnya tentang menemukan filter, lihatMelihat temuan yang disaring di GuardDuty.

6. Arsipkan semua temuan sampel Anda

   1. Pilih semua temuan dengan memilih kotak centang di bagian atas daftar.

   2. Hapus pilihan temuan apa pun yang ingin Anda simpan.

   3. Pilih menu Tindakan, lalu pilih Arsip untuk menyembunyikan temuan sampel.

      catatan

      Untuk melihat temuan yang diarsipkan, pilih Saat ini, lalu pilih Diarsipkan untuk beralih tampilan temuan.

Untuk mengonfigurasi opsi temuan ekspor S3

1. Untuk mengenkripsi temuan, Anda memerlukan KMS kunci dengan kebijakan yang memungkinkan GuardDuty untuk menggunakan kunci tersebut untuk enkripsi. Langkah-langkah berikut akan membantu Anda membuat KMS kunci baru. Jika Anda menggunakan KMS kunci dari akun lain, Anda perlu menerapkan kebijakan kunci dengan masuk ke Akun AWS yang memiliki kunci tersebut. Wilayah KMS kunci dan bucket S3 Anda harus sama. Namun, Anda dapat menggunakan bucket dan key pair yang sama ini untuk setiap Wilayah tempat Anda ingin mengekspor temuan.

   1. Buka AWS KMS konsol di https://console.aws.amazon.com/kms.

   2. Untuk mengubah Wilayah AWS, gunakan pemilih Wilayah di sudut kanan atas halaman.

   3. Di panel navigasi, pilih Kunci yang dikelola pelanggan.

   4. Pilih Buat kunci.

   5. Pilih Symmetric di bawah Key type, lalu pilih Next.

      catatan

      Untuk langkah-langkah mendetail tentang membuat KMS kunci, lihat Membuat kunci di Panduan AWS Key Management Service Pengembang.

   6. Berikan Alias untuk kunci Anda, lalu pilih Berikutnya.

   7. Pilih Berikutnya, dan sekali lagi pilih Berikutnya untuk menerima administrasi default dan izin penggunaan.

   8. Setelah Anda meninjau konfigurasi, pilih Selesai untuk membuat kunci.

   9. Pada halaman kunci yang dikelola Pelanggan, pilih alias kunci Anda.

   10. Di tab Kebijakan kunci, pilih Beralih ke tampilan kebijakan.

   11. Pilih Edit dan tambahkan kebijakan kunci berikut ke KMS kunci Anda, berikan GuardDuty akses ke kunci Anda. Pernyataan ini memungkinkan GuardDuty untuk hanya menggunakan kunci yang Anda tambahkan kebijakan ini. Saat mengedit kebijakan kunci, pastikan JSON sintaksnya valid. Jika Anda menambahkan pernyataan sebelum pernyataan akhir, Anda harus menambahkan koma setelah braket penutup.

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       Ganti Region1 dengan Wilayah KMS kunci Anda. Ganti 444455556666 dengan Akun AWS yang memiliki KMS kuncinya. Ganti KMSKeyId dengan ID kunci KMS kunci yang Anda pilih untuk enkripsi. Untuk mengidentifikasi semua nilai ini — Wilayah Akun AWS, dan ID kunci, lihat KMS kunci Anda. ARN Untuk menemukan kunciARN, lihat Menemukan ID kunci dan ARN.

       Demikian pula, ganti 111122223333 dengan Akun AWS GuardDuty akun. Ganti Region2 dengan Wilayah GuardDuty akun. Ganti SourceDetectorID dengan ID detektor GuardDuty akun untuk Region2.

       Untuk menemukan akun Anda dan Wilayah saat ini, lihat halaman Pengaturan di https://console.aws.amazon.com/guardduty/konsol, atau jalankan detectorId ListDetectors API.

   12. Pilih Simpan.

2. Buka GuardDuty konsol di https://console.aws.amazon.com/guardduty/.

3. Pada panel navigasi, silakan pilih Pengaturan.

4. Di bawah opsi ekspor temuan, pilih Konfigurasi sekarang.

5. Pilih ember baru. Berikan nama unik untuk bucket S3 Anda.

6. (Opsional) Anda dapat menguji pengaturan ekspor baru Anda dengan menghasilkan temuan sampel. Pada panel navigasi, silakan pilih Pengaturan.

7. Di bawah bagian Temuan sampel, pilih Hasilkan temuan sampel. Temuan sampel baru akan muncul sebagai entri dalam ember S3 yang dibuat GuardDuty hingga lima menit.

1. Buka SNS konsol Amazon di https://console.aws.amazon.com/sns/v3/home.

2. Di panel navigasi, pilih Pengguna.

3. Pilih Buat Topik.

4. Untuk Jenis, pilih Standar.

5. Untuk Nama, masukkan GuardDuty.

6. Pilih Buat Topik. Detail topik untuk topik baru Anda akan terbuka.

7. Di bagian Subscriptions (Berlangganan), pilih Create subscription (Buat langganan).

8. Untuk Protokol, pilih Email.

9. Untuk Endpoint, masukkan alamat email untuk mengirim notifikasi.

10. Pilih Buat langganan.

    Setelah Anda membuat langganan, Anda harus mengonfirmasi langganan melalui email.

11. Untuk memeriksa pesan langganan, buka kotak masuk email Anda, dan di pesan berlangganan, pilih Konfirmasi langganan.

    catatan

    Untuk memeriksa status konfirmasi email, buka SNS konsol dan pilih Langganan.

Untuk membuat EventBridge aturan untuk menangkap GuardDuty temuan dan memformatnya

1. Buka EventBridge konsol di https://console.aws.amazon.com/events/.

2. Di panel navigasi, pilih Aturan.

3. Pilih Buat aturan.

4. Masukkan nama dan deskripsi untuk aturan.

   Aturan tidak boleh memiliki nama yang sama dengan aturan lain di Wilayah yang sama dan di bus peristiwa yang sama.

5. Untuk Bus peristiwa, pilih default.

6. Untuk Tipe aturan, pilih Aturan dengan pola peristiwa.

7. Pilih Selanjutnya.

8. Untuk sumber acara, pilih AWS acara.

9. Untuk pola Acara, pilih Formulir pola acara.

10. Untuk Sumber peristiwa, pilih Layanan AWS .

11. Untuk Layanan AWS , pilih GuardDuty.

12. Untuk Jenis Acara, pilih GuardDutyMenemukan.

13. Pilih Berikutnya.

14. Untuk Jenis target, pilih Layanan AWS .

15. Untuk Pilih target, pilih SNStopik, dan untuk Topik, pilih nama SNS topik yang Anda buat sebelumnya.

16. Di bagian Pengaturan tambahan, untuk Konfigurasi input target, pilih Transformator input.

    Menambahkan transformator input memformat data JSON temuan yang dikirim dari GuardDuty ke dalam pesan yang dapat dibaca manusia.

17. Pilih Konfigurasi transformator input.

18. Di bagian Transformator input target, untuk jalur Input, tempel kode berikut:

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. Untuk memformat email, untuk Template, tempel kode berikut dan pastikan untuk mengganti teks berwarna merah dengan nilai yang sesuai dengan Wilayah Anda:

    
    "You have a severity severity GuardDuty finding type Finding_Type in the Region_Name Region."
    "Finding Description:"
    "Finding_Description."
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=region#/findings?search=id%3DFinding_ID"
    

20. Pilih Konfirmasi.

21. Pilih Berikutnya.

22. (Opsional) Masukkan satu atau lebih tanda untuk aturan. Untuk informasi selengkapnya, lihat EventBridge tag Amazon di Panduan EventBridge Pengguna Amazon.

23. Pilih Berikutnya.

24. Tinjau detail aturan dan pilih Buat aturan.

25. (Opsional) Uji aturan baru Anda dengan menghasilkan temuan sampel dengan proses di Langkah 2. Anda akan menerima email untuk setiap temuan sampel yang dihasilkan.