生成された GuardDuty の検出結果を Amazon S3 バケットにエクスポートする

GuardDuty が検出結果を暗号化するために KMS キーポリシーを変更するには

1. https://console.aws.amazon.com/kms で AWS KMS コンソールを開きます。

2. を変更するには AWS リージョン、ページの右上隅にあるリージョンセレクタを使用します。

3. エクスポートされた検出結果を暗号化するために使用するキーについて、既存の KMS キーを選択するか、「AWS Key Management Service 開発者ガイド」の「Create a new key」の手順を実行します。

   注記

   KMS キーと Amazon S3 バケット AWS リージョン の は同じである必要があります。 Amazon S3

   同じ S3 バケットと KMS キーのペアを使用して、該当する任意のリージョンから検出結果をエクスポートできます。詳細については、リージョン間の検出結果のエクスポートに関する「考慮事項」を参照してください。

4. [Key policy] (キーポリシー) セクションで、[Edit] (編集) を選択します。

   [ポリシービューへの切り替え] が表示された場合はそれを選択して [キーポリシー] を表示してから、[編集] を選択します。

5. 次のポリシーブロックを KMS キーポリシーにコピーして、キーを使用する許可を GuardDuty に付与します。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. ポリシーの例で赤でフォーマットされている次の値を置き換えることにより、ポリシーを編集します。

   1. KMS key ARN は、KMS キーの Amazon リソースネーム (ARN) に置き換えます。キー ARN を検索するには、「AWS Key Management Service 開発者ガイド」の「Finding the key ID and ARN」を参照してください。

   2. 123456789012 は、検出結果をエクスポートする GuardDuty アカウントを所有する AWS アカウント ID に置き換えます。

   3. Region2 を、GuardDuty の検出結果が生成され AWS リージョン る に置き換えます。

   4. SourceDetectorID は、検出結果が生成された特定のリージョンの GuardDuty アカウントの detectorID に置き換えます。

      アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

   注記

   オプトインリージョンで GuardDuty を使用している場合は、「Service」の値をそのリージョンのリージョンエンドポイントに置き換えます。例えば、中東 (バーレーン) (me-south-1) リージョンで GuardDuty を使用している場合は、"Service": "guardduty.amazonaws.com" を "Service": "guardduty.me-south-1.amazonaws.com" に置き換えます。オプトインリージョンごとのエンドポイントの詳細については、「GuardDuty エンドポイントとクォータ」を参照してください。

7. 最後のステートメントの前にポリシーステートメントを追加した場合は、このステートメントを追加する前にカンマを追加します。KMS キーポリシーの JSON 構文が有効であることを確認します。

   [Save] を選択します。

8. (オプション) 後のステップで使用するために、キー ARN をメモ帳にコピーします。

1. [バケットポリシーを編集] ページが表示されるまで、「Amazon S3 ユーザーガイド」の「バケットポリシーを作成または編集するには」の手順を実行します。

2. 次のポリシー例は、Amazon S3 バケットに検出結果をエクスポートする許可を GuardDuty に付与する方法を示しています。検出結果のエクスポートを設定した後にパスを変更する場合は、新しい場所に対する許可を付与するように、ポリシーを変更する必要があります。

   次のポリシー例をコピーし、[バケットポリシーエディタ] に貼り付けます。

   最後のステートメントの前にポリシーステートメントを追加した場合は、このステートメントを追加する前にカンマを追加します。KMS キーポリシーの JSON 構文が有効であることを確認します。

   S3 バケットポリシーの例

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. ポリシーの例で赤でフォーマットされている次の値を置き換えることにより、ポリシーを編集します。

   1. Amazon S3 bucket ARN は、Amazon S3 バケットの Amazon リソースネーム (ARN) に置き換えます。[バケット ARN] は、https://console.aws.amazon.com/s3/ コンソールの [バケットポリシーを編集] ページで確認できます。

   2. 123456789012 は、検出結果をエクスポートする GuardDuty アカウントを所有する AWS アカウント ID に置き換えます。

   3. Region2 は、GuardDuty の検出結果が生成される AWS リージョン に置き換えます。

   4. SourceDetectorID は、検出結果が生成された特定のリージョンの GuardDuty アカウントの detectorID に置き換えます。

      アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

   5. S3 bucket ARN/[optional prefix] プレースホルダー値の [optional prefix] 部分は、検出結果をエクスポートするオプションのフォルダの場所に置き換えます。プレフィックスの使用の詳細については、「Amazon S3 ユーザーガイド」の「プレフィックスを使用してオブジェクトを整理する」を参照してください。

      まだ存在していないオプションのフォルダの場所を指定した場合、GuardDuty は、S3 バケットに関連付けられたアカウントが検出結果をエクスポートしているアカウントと同じ場合にのみ、その場所を作成します。別のアカウントに属する S3 バケットに検出結果をエクスポートする場合は、このフォルダの場所が既に存在している必要があります。

   6. KMS key ARN は、S3 バケットにエクスポートされた検出結果の暗号化に関連付けられた KMS キーの Amazon リソースネーム (ARN) に置き換えます。キー ARN を検索するには、「AWS Key Management Service 開発者ガイド」の「Finding the key ID and ARN」を参照してください。

   注記

   オプトインリージョンで GuardDuty を使用している場合は、「Service」の値をそのリージョンのリージョンエンドポイントに置き換えます。例えば、中東 (バーレーン) (me-south-1) リージョンで GuardDuty を使用している場合は、"Service": "guardduty.amazonaws.com" を "Service": "guardduty.me-south-1.amazonaws.com" に置き換えます。オプトインリージョンごとのエンドポイントの詳細については、「GuardDuty エンドポイントとクォータ」を参照してください。

4. [Save] を選択します。

検出結果のエクスポートを設定するには

1. https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

2. ナビゲーションペインで [設定] を選択します。

3. [設定] ページの [検出結果のエクスポートオプション] で、[S3 バケット] の [今すぐ設定] (または必要に応じて [編集]) を選択します。

4. [S3 バケット ARN] で、bucket ARN を入力します。バケット ARN を検索するには、「Amazon S3 ユーザーガイド」の「S3 バケットのプロパティを表示するには」を参照してください。

5. [KMS キー ARN] で、key ARN を入力します。キー ARN を検索するには、「AWS Key Management Service 開発者ガイド」の「Finding the key ID and ARN」を参照してください。

6. ポリシーをアタッチします。

   • S3 バケットポリシーをアタッチする手順を実行します。詳細については、「ステップ 3: Amazon S3 バケットにポリシーをアタッチする」を参照してください。

   • KMS キーポリシーをアタッチする手順を実行します。詳細については、「ステップ 2 – KMS キーにポリシーをアタッチする」を参照してください。

7. [Save] を選択します。

頻度を設定するには

1. https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

2. [Settings] (設定) を選択します。

3. [Findings export options] (結果のエクスポートオプション) セクションで、[Frequency for updated findings] (更新された結果の頻度) を選択します。これにより、更新されたアクティブな検出結果を EventBridge と Amazon S3 の両方にエクスポートする頻度が設定されます。次から選択できます。

   • [EventBridge と S3 を 15 分ごとに更新]

   • [EventBridge と S3 を 1 時間ごとに更新]

   • EventBridge と S3 を 6 時間ごとに更新する (デフォルト）

4. [Save changes] (変更の保存) をクリックします。