Mencatat panggilan GuardDuty API Amazon dengan AWS CloudTrail - Amazon GuardDuty
GuardDuty informasi di CloudTrailGuardDuty peristiwa pesawat kontrol di CloudTrailGuardDuty peristiwa data di CloudTrail

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mencatat panggilan GuardDuty API Amazon dengan AWS CloudTrail

Amazon GuardDuty terintegrasi denganAWS CloudTrail, layanan yang menyediakan catatan tindakan yang diambil oleh pengguna, peran, atau AWS layanan di GuardDuty. CloudTrail menangkap semua panggilan API untuk GuardDuty sebagai peristiwa, termasuk panggilan dari GuardDuty konsol dan dari panggilan kode ke GuardDuty API. Jika Anda membuat jejak, Anda dapat mengaktifkan pengiriman CloudTrail acara secara terus menerus ke bucket Amazon Simple Storage Service (Amazon S3), termasuk acara untuk. GuardDuty Jika Anda tidak mengonfigurasi jejak, Anda masih dapat melihat peristiwa terbaru di CloudTrail konsol dalam Riwayat acara. Dengan menggunakan informasi yang dikumpulkan oleh CloudTrail, Anda dapat menentukan permintaan yang dibuat GuardDuty, alamat IP tempat permintaan dibuat, siapa yang membuat permintaan, kapan dibuat, dan detail tambahan.

Untuk informasi selengkapnya CloudTrail, termasuk cara mengonfigurasi dan mengaktifkannya, lihat Panduan AWS CloudTrail Pengguna.

GuardDuty informasi di CloudTrail

CloudTrail diaktifkan di AWS akun Anda saat Anda membuat akun. Ketika aktivitas acara yang didukung terjadi di GuardDuty, aktivitas tersebut direkam dalam suatu CloudTrail peristiwa bersama dengan peristiwa AWS layanan lainnya dalam riwayat Acara. Anda dapat melihat, mencari, dan mengunduh peristiwa terbaru di akun AWS Anda. Untuk informasi selengkapnya, lihat Melihat peristiwa dengan riwayat CloudTrail acara.

Untuk catatan peristiwa yang sedang berlangsung di AWS akun Anda, termasuk acara untuk GuardDuty, buat jejak. Jejak memungkinkan CloudTrail untuk mengirimkan file log ke bucket Amazon S3. Secara default, saat Anda membuat jejak di dalam konsol tersebut, jejak diterapkan ke semua Wilayah . Jejak mencatat peristiwa dari semua Wilayah di partisi AWS dan mengirimkan file log ke bucket Amazon S3 yang Anda tentukan. Selain itu, Anda dapat mengonfigurasi AWS layanan lain untuk menganalisis lebih lanjut dan menindaklanjuti data peristiwa yang dikumpulkan dalam CloudTrail log. Untuk informasi selengkapnya, lihat :

Setiap entri peristiwa atau log berisi informasi tentang siapa yang membuat permintaan tersebut. Informasi identitas membantu Anda menentukan berikut ini:

  • Apakah permintaan dibuat dengan pengguna root atau kredenal masuk pengguna IAM

  • Jika permintaan tersebut dibuat dengan kredensial keamanan sementara untuk peran atau pengguna gabungan

  • Jika permintaan tersebut dibuat oleh layanan AWS lainnya

Untuk informasi selengkapnya, lihat elemen CloudTrail UserIdentity.

GuardDuty peristiwa pesawat kontrol di CloudTrail

Secara default, CloudTrail mencatat semua operasi GuardDuty API yang disediakan di Referensi Amazon GuardDuty API sebagai peristiwa dalam CloudTrail file.

GuardDuty peristiwa data di CloudTrail

Pemantauan Runtime di GuardDutymenggunakan agen GuardDuty keamanan yang diterapkan ke kluster Amazon Elastic Kubernetes Service (Amazon EKS), instans Amazon Elastic Compute Cloud (Amazon EC2), dan (Amazon Elastic Container Service (AWS FargateAmazon ECS) saja) aws-guardduty-agent tugas untuk mengumpulkan add-on () yang mengumpulkan beban kerja Anda dan kemudian mengirimkannya Jenis acara runtime yang dikumpulkan ke untuk deteksi dan analisis ancaman. AWS GuardDuty

Pencatatan dan pemantauan peristiwa data

Anda dapat mengonfigurasi AWS CloudTrail log secara opsional untuk melihat peristiwa data untuk agen GuardDuty keamanan Anda.

Untuk membuat dan mengonfigurasi CloudTrail, lihat Peristiwa data di Panduan AWS CloudTrail Pengguna dan ikuti petunjuk untuk Mencatat peristiwa data dengan pemilih peristiwa lanjutan di AWS Management Console. Saat mencatat jejak, pastikan untuk membuat perubahan berikut:

  • Untuk tipe peristiwa Data, pilih GuardDuty detektor.

  • Untuk template pemilih Log, pilih Log semua peristiwa.

  • Perluas tampilan JSON untuk konfigurasi. Ini harus mirip dengan JSON berikut:

    [
  {
    "name": "",
    "fieldSelectors": [
      {
        "field": "eventCategory",
        "equals": [
          "Data"
        ]
      },
      {
        "field": "resources.type",
        "equals": [
          "AWS::GuardDuty::Detector"
        ]
      }
    ]
  }
]

Setelah Anda mengaktifkan pemilih untuk jejak, navigasikan ke konsol Amazon S3 di https://console.aws.amazon.com/s3/. Anda dapat mengunduh peristiwa data dari bucket S3 yang dipilih pada saat mengonfigurasi log. CloudTrail