생성된 GuardDuty 결과를 Amazon S3 버킷으로 내보내기

내보낸 결과를 암호화 GuardDuty 하기 위해의 KMS 키 정책을 수정하려면

1. https://console.aws.amazon.com/kms에서 AWS KMS 콘솔을 엽니다.

2. 를 변경하려면 페이지 오른쪽 상단의 리전 선택기를 AWS 리전사용합니다.

3. 기존 KMS 키를 선택하거나 AWS Key Management Service 개발자 안내서에서 내보낸 결과를 암호화하는 데 사용할 새 키 생성 단계를 수행합니다.

   참고

   KMS 키와 Amazon S3 버킷 AWS 리전 의는 동일해야 합니다.

   동일한 S3 버킷 및 KMS 키 페어를 사용하여 해당 리전에서 결과를 내보낼 수 있습니다. 자세한 내용은 리전 간 조사 결과 내보내기에 대한 고려 사항를 참조하세요.

4. Key policy(키 정책) 섹션에서 Edit(편집)를 선택합니다.

   정책 보기로 전환이 표시되면 이 옵션을 선택하여 키 정책을 표시한 다음 편집을 선택합니다.

5. 다음 정책 블록을 KMS 키 정책에 복사하여 키를 사용할 수 있는 권한을 부여합니다 GuardDuty.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 정책 예제red에서 형식이 지정된 다음 값을 대체하여 정책을 편집합니다.

   1. 를 KMS 키의 Amazon 리소스 이름(ARN)KMS key ARN으로 바꿉니다. 키를 찾으려면 AWS Key Management Service 개발자 안내서의 키 ID 찾기 및 ARN 섹션을 ARN참조하세요.

   2. 를 조사 결과를 내보내는 GuardDuty 계정을 소유한 AWS 계정 ID123456789012로 바꿉니다.

   3. 를 GuardDuty 조사 결과가 생성되는 AWS 리전 Region2로 바꿉니다.

   4. 를 조사 결과가 생성된 특정 리전에 있는 GuardDuty 계정detectorID의 SourceDetectorID로 바꿉니다.

      계정 및 현재 리전detectorId의를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나를 실행합니다. ListDetectors API.

   참고

   옵트인 리전 GuardDuty 에서를 사용하는 경우 "서비스" 값을 해당 리전의 리전 엔드포인트로 바꿉니다. 예를 들어 중동(바레인)(me-south-1) 리전 GuardDuty 에서를 사용하는 경우를 "Service": "guardduty.amazonaws.com"로 바꿉니다"Service": "guardduty.me-south-1.amazonaws.com". 각 옵트인 리전의 엔드포인트에 대한 자세한 내용은 GuardDuty 엔드포인트 및 할당량을 참조하세요.

7. 최종 문 앞에 정책 문구를 추가한 경우 이 문구를 추가하기 전에 쉼표를 추가합니다. KMS 키 정책의 JSON 구문이 유효한지 확인합니다.

   저장(Save)을 선택합니다.

8. (선택 사항) 이후 단계에서 사용할 ARN 수 있도록 키를 메모장에 복사합니다.

1. 버킷 정책 편집 페이지가 나타날 때까지 Amazon S3 사용 설명서의 버킷 정책을 만들거나 편집하려면 아래의 단계를 수행합니다.

2. 예제 정책은 조사 결과를 Amazon S3 버킷으로 내보낼 수 있는 권한을 부여하는 GuardDuty 방법을 보여줍니다. 조사 결과 내보내기를 구성한 후 경로를 변경하는 경우에는 새 위치에 권한을 부여하도록 정책을 수정해야 합니다.

   다음 예시 정책을 복사한 다음 버킷 정책 편집기에 붙여넣습니다.

   최종 문 앞에 정책 문구를 추가한 경우 이 문구를 추가하기 전에 쉼표를 추가합니다. KMS 키 정책의 JSON 구문이 유효한지 확인합니다.

   S3 버킷 예시 정책

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 정책 예제red에서 형식이 지정된 다음 값을 대체하여 정책을 편집합니다.

   1. 를 Amazon S3 버킷의 Amazon 리소스 이름(ARN)Amazon S3 bucket ARN으로 바꿉니다. 버킷ARN은 https://console.aws.amazon.com/s3/ 콘솔의 버킷 정책 편집 페이지에서 찾을 수 있습니다.

   2. 를 조사 결과를 내보내는 GuardDuty 계정을 소유한 AWS 계정 ID123456789012로 바꿉니다.

   3. 를 AWS 리전 GuardDuty 조사 결과가 생성되는 Region2로 바꿉니다.

   4. 를 조사 결과가 생성된 특정 리전에 있는 GuardDuty 계정detectorID의 SourceDetectorID로 바꿉니다.

      계정 및 현재 리전detectorId의를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나를 실행합니다. ListDetectors API.

   5. S3 bucket ARN/[optional prefix] 자리 표시자 값의 [optional prefix] 일부를 결과를 내보낼 선택적 폴더 위치로 바꿉니다. 접두사 사용에 대한 자세한 내용은 Amazon S3 사용 설명서의 접두사를 사용하여 객체 구성하기를 참조하세요.

      아직 존재하지 않는 선택적 폴더 위치를 제공하면 GuardDuty 는 S3 버킷과 연결된 계정이 조사 결과를 내보내는 계정과 동일한 경우에만 해당 위치를 생성합니다. 다른 계정에 속한 S3 버킷으로 조사 결과물을 내보내는 경우 폴더 위치가 이미 존재해야 합니다.

   6. 를 S3 버킷KMS key ARN으로 내보낸 조사 결과의 암호화와 연결된 KMS 키의 Amazon 리소스 이름(ARN)으로 바꿉니다. 키를 찾으려면 AWS Key Management Service 개발자 안내서의 키 ID 찾기 및 ARN 섹션을 ARN참조하세요.

   참고

   옵트인 리전 GuardDuty 에서를 사용하는 경우 "서비스" 값을 해당 리전의 리전 엔드포인트로 바꿉니다. 예를 들어 중동(바레인)(me-south-1) 리전 GuardDuty 에서를 사용하는 경우를 "Service": "guardduty.amazonaws.com"로 바꿉니다"Service": "guardduty.me-south-1.amazonaws.com". 각 옵트인 리전의 엔드포인트에 대한 자세한 내용은 GuardDuty 엔드포인트 및 할당량을 참조하세요.

4. 저장(Save)을 선택합니다.

조사 결과 내보내기 구성

1. 에서 GuardDuty 콘솔을 엽니다https://console.aws.amazon.com/guardduty/.

2. 탐색 창에서 설정을 선택합니다.

3. 설정 페이지의 조사 결과 내보내기 옵션에서 S3 버킷에 대해 지금 구성(또는 필요에 따라 편집)을 선택합니다.

4. S3 버킷 ARN에를 입력합니다bucket ARN. 버킷을 찾으려면 Amazon S3 사용 설명서의 S3 버킷의 속성 보기를 ARN참조하세요. Amazon S3

5. KMS 키 ARN에를 입력합니다key ARN. 키를 찾으려면 AWS Key Management Service 개발자 안내서의 키 ID 찾기 및 ARN 섹션을 ARN참조하세요.

6. 연결 정책.

   • S3 버킷 정책을 첨부하는 단계를 수행합니다. 자세한 내용은 3단계 - Amazon S3 버킷에 정책 첨부하기 단원을 참조하십시오.

   • 단계를 수행하여 KMS 키 정책을 연결합니다. 자세한 내용은 2단계 - KMS 키에 정책 연결 단원을 참조하십시오.

7. 저장(Save)을 선택합니다.

빈도를 설정하려면

1. 에서 GuardDuty 콘솔을 엽니다https://console.aws.amazon.com/guardduty/.

2. 설정을 선택합니다.

3. 결과 내보내기 옵션 섹션에서 결과 업데이트 빈도를 선택합니다. 이렇게 하면 업데이트된 활성 결과를 EventBridge 및 Amazon S3로 내보내는 빈도가 설정됩니다. 사용자는 다음 중에서 선택할 수 있습니다.

   • 15분마다 EventBridge 및 S3 업데이트

   • 1시간마다 EventBridge 및 S3 업데이트

   • 6시간마다 EventBridge 및 S3 업데이트(기본값)

4. 변경 사항 저장(Save changes)을 선택합니다.