生成された GuardDuty 検出結果を Amazon S3 バケットにエクスポートする

のKMSキーポリシーを変更 GuardDuty してエクスポートした検出結果を暗号化するには

1. AWS KMS コンソールを https://console.aws.amazon.com/kms で開きます。

2. を変更するには AWS リージョン、ページの右上隅にあるリージョンセレクタを使用します。

3. 既存のKMSキーを選択するか、 AWS Key Management Service デベロッパーガイド で新しいキーを作成する手順を実行します。このキーを使用してエクスポートされた検出結果を暗号化します。

   注記

   KMS キーと Amazon S3 バケット AWS リージョン の は同じである必要があります。

   同じ S3 バケットとKMSキーペアを使用して、該当する任意のリージョンから結果をエクスポートできます。詳細については、考慮事項「」でリージョン間での結果のエクスポートを参照してください。

4. [Key policy] (キーポリシー) セクションで、[Edit] (編集) を選択します。

   ポリシービューに切り替える が表示された場合は、キーポリシー を表示するにはそれを選択し、編集 を選択します。

5. 次のポリシーブロックをKMSキーポリシーにコピーして、キーを使用するアクセス許可を付与 GuardDutyします。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. でフォーマットされている次の値を置き換えてポリシーを編集します red ポリシーの例：

   1. 置換 KMS key ARN KMS キーの Amazon リソースネーム (ARN) を使用します。キーを見つけるにはARN、AWS Key Management Service 「 デベロッパーガイド」の「キー ID の検索」およびARN「」を参照してください。

   2. 置換 123456789012 検出結果をエクスポートする GuardDuty アカウントを所有する AWS アカウント ID。

   3. 置換 Region2 検出 GuardDuty 結果が生成され AWS リージョン る を使用します。

   4. 置換 SourceDetectorID 結果が発生した特定のリージョンのdetectorID GuardDuty アカウントの 。

      アカウントと現在のリージョンdetectorIdの を検索するには、https://console.aws.amazon.com/guardduty/コンソールの設定ページを参照するか、 ListDetectors API.

   注記

   オプトインリージョン GuardDuty で を使用している場合は、「Service」の値をそのリージョンのリージョンエンドポイントに置き換えます。例えば、中東 (バーレーン) (me-south-1) リージョン GuardDuty で を使用している場合は、 を "Service": "guardduty.amazonaws.com"に置き換えます"Service": "guardduty.me-south-1.amazonaws.com"。各オプトインリージョンのエンドポイントの詳細については、GuardDuty 「エンドポイントとクォータ」を参照してください。

7. 最終ステートメントの前にポリシーステートメントを追加した場合は、このステートメントを追加する前にカンマを追加します。KMS キーポリシーのJSON構文が有効であることを確認します。

   [Save] を選択します。

8. （オプション) キーをメモ帳にコピーARNして、後のステップで使用します。

1. 「Amazon S3 ユーザーガイド」の「バケットポリシーの編集」ページが表示されるまで、「バケットポリシーを作成または編集する」のステップを実行します。 Amazon S3

2. ポリシーの例は、Amazon S3 バケットに結果をエクスポートするアクセス許可を付与 GuardDutyする方法を示しています。エクスポート結果を設定した後にパスを変更した場合は、ポリシーを変更して新しい場所にアクセス許可を付与する必要があります。

   次のポリシー例をコピーし、バケットポリシーエディタ に貼り付けます。

   最終ステートメントの前にポリシーステートメントを追加した場合は、このステートメントを追加する前にカンマを追加します。KMS キーポリシーのJSON構文が有効であることを確認します。

   S3 バケットポリシーの例

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowGuardDutygetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": [
                   "s3:GetBucketLocation",
                   "s3:ListBucket"
               ],
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "AllowGuardDutyPutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "DenyUnencryptedUploadsThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "DenyIncorrectHeaderThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "DenyNon-HTTPS",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. でフォーマットされている次の値を置き換えてポリシーを編集します red ポリシーの例：

   1. 置換 Amazon S3 bucket ARN Amazon S3 バケットの Amazon リソースネーム (ARN) を使用します。 Amazon S3 バケットARNは、https://console.aws.amazon.com/s3/コンソールのバケットポリシーの編集ページで確認できます。

   2. 置換 123456789012 検出結果をエクスポートする GuardDuty アカウントを所有する AWS アカウント ID。

   3. 置換 Region2 検出 GuardDuty 結果が生成される AWS リージョン を使用します。

   4. 置換 SourceDetectorID 結果が発生した特定のリージョンのdetectorID GuardDuty アカウントの 。

      アカウントと現在のリージョンdetectorIdの を検索するには、https://console.aws.amazon.com/guardduty/コンソールの設定ページを参照するか、 ListDetectors API.

   5. 置換 [optional prefix] の一部 S3 bucket ARN/[optional prefix] 検出結果をエクスポートするオプションのフォルダの場所を持つプレースホルダー値。プレフィックスの使用の詳細については、Amazon S3 ユーザーガイド」の「プレフィックスを使用したオブジェクトの整理」を参照してください。

      まだ存在しないオプションのフォルダの場所を指定すると、S3 バケットに関連付けられたアカウントが検出結果をエクスポートするアカウントと同じである場合にのみ、 はその場所 GuardDuty を作成します。別のアカウントに属する S3 バケットに結果をエクスポートする場合、フォルダの場所がすでに存在している必要があります。

   6. 置換 KMS key ARN S3 バケットにエクスポートされた検出結果の暗号化に関連付けられたKMSキーの Amazon リソースネーム (ARN）。キーを見つけるにはARN、AWS Key Management Service 「 デベロッパーガイド」の「キー ID の検索」およびARN「」を参照してください。

   注記

   オプトインリージョン GuardDuty で を使用している場合は、「Service」の値をそのリージョンのリージョンエンドポイントに置き換えます。例えば、中東 (バーレーン) (me-south-1) リージョン GuardDuty で を使用している場合は、 を "Service": "guardduty.amazonaws.com"に置き換えます"Service": "guardduty.me-south-1.amazonaws.com"。各オプトインリージョンのエンドポイントの詳細については、GuardDuty 「エンドポイントとクォータ」を参照してください。

4. [Save] を選択します。

エクスポート結果を設定するには

1. で GuardDuty コンソールを開きますhttps://console.aws.amazon.com/guardduty/。

2. ナビゲーションペインで [設定] を選択します。

3. 設定ページで、S3 バケット の検出結果エクスポートオプション で、今すぐ設定 (または必要に応じて編集) を選択します。

4. S3 バケット ARNの場合は、 を入力しますbucket ARN。バケットを検索するにはARN、「Amazon S3 ユーザーガイド」の「S3 バケットのプロパティの表示」を参照してください。 Amazon S3 https://console.aws.amazon.com/guardduty/ コンソールの関連付けられたバケットのプロパティページのアクセス許可タブ。

5. KMS キー ARNには、 を入力しますkey ARN。キーを見つけるにはARN、AWS Key Management Service 「 デベロッパーガイド」の「キー ID の検索」およびARN「」を参照してください。

6. ポリシーのアタッチ

   • S3 バケットポリシーをアタッチするステップを実行します。詳細については、「ステップ 3 – Amazon S3 バケットへのポリシーのアタッチ」を参照してください。

   • KMS キーポリシーをアタッチするステップを実行します。詳細については、「ステップ 2 – KMSキーへのポリシーのアタッチ」を参照してください。

7. [Save] を選択します。

頻度を設定するには

1. で GuardDuty コンソールを開きますhttps://console.aws.amazon.com/guardduty/。

2. [設定] を選択します。

3. [Findings export options] (結果のエクスポートオプション) セクションで、[Frequency for updated findings] (更新された結果の頻度) を選択します。これにより、更新されたアクティブ検出結果を EventBridge と Amazon S3 の両方にエクスポートする頻度が設定されます。次から選択できます。

   • 15 分ごとに EventBridge と S3 を更新する

   • 1 時間ごとに EventBridge と S3 を更新する

   • 6 時間ごとに CWEと S3 を更新する (デフォルト）

4. [Save changes] (変更の保存) をクリックします。