Exportação das GuardDuty descobertas geradas para buckets do Amazon S3

Para modificar a política de KMS chaves para GuardDuty criptografar suas descobertas exportadas

1. Abra o AWS KMS console em https://console.aws.amazon.com/kms.

2. Para alterar o Região da AWS, use o seletor de região no canto superior direito da página.

3. Selecione uma KMS chave existente ou execute as etapas para Criar uma nova chave no Guia do AWS Key Management Service desenvolvedor, que você usará para criptografar as descobertas exportadas.

   nota

   A Região da AWS KMS chave e o bucket do Amazon S3 devem ser os mesmos.

   Você pode usar o mesmo bucket e o mesmo par de KMS chaves do S3 para exportar as descobertas de qualquer região aplicável. Para obter mais informações, consulte Considerações para exportar descobertas do entre regiões.

4. Na seção Política de chave escolha Editar.

   Se Mudar para visualização da política for exibido, selecione-o para exibir a Política de chave e, em seguida, escolha Editar.

5. Copie o seguinte bloco de política para sua política de KMS chaves para conceder GuardDuty permissão para usar sua chave.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Edite a política substituindo os seguintes valores que estão formatados redno exemplo de política:

   1. KMS key ARNSubstitua pelo nome de recurso da Amazon (ARN) da KMS chave. Para localizar a chaveARN, consulte Como encontrar o ID da chave e ARN no Guia do AWS Key Management Service desenvolvedor.

   2. 123456789012Substitua pelo Conta da AWS ID que possui a GuardDuty conta que exporta as descobertas.

   3. Region2Substitua pelo Região da AWS local onde as GuardDuty descobertas são geradas.

   4. SourceDetectorIDSubstitua pela detectorID da GuardDuty conta na região específica em que as descobertas foram geradas.

      Para encontrar o detectorId para sua conta e região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/console ou execute o ListDetectors API.

   nota

   Se você estiver usando GuardDuty em uma região opcional, substitua o valor do “Serviço” pelo endpoint regional dessa região. Por exemplo, se você estiver usando GuardDuty na região do Oriente Médio (Bahrein) (me-south-1), substitua por. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Para obter informações sobre endpoints para cada região de inscrição, consulte GuardDuty endpoints e cotas.

7. Se você adicionou a declaração de política antes da declaração final, adicione uma vírgula antes de adicionar essa declaração. Certifique-se de que a JSON sintaxe da sua política de KMS chaves seja válida.

   Escolha Salvar.

8. (Opcional) copie ARN a chave em um bloco de notas para uso nas etapas posteriores.

1. Execute as etapas em Para criar ou editar uma política de bucket no Guia do usuário do Amazon S3, até que a página Editar política de bucket seja exibida.

2. O exemplo de política mostra como conceder GuardDuty permissão para exportar descobertas para seu bucket do Amazon S3. Caso altere o caminho depois de configurar a exportação de descobertas, você deve modificar a política para conceder permissão para o novo local.

   Copie a política de exemplo a seguir e cole-a no Editor de políticas do bucket.

   Se você adicionou a declaração de política antes da declaração final, adicione uma vírgula antes de adicionar essa declaração. Certifique-se de que a JSON sintaxe da sua política de KMS chaves seja válida.

   Exemplo de política de bucket do S3

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. Edite a política substituindo os seguintes valores que estão formatados redno exemplo de política:

   1. Amazon S3 bucket ARNSubstitua pelo nome de recurso da Amazon (ARN) do bucket do Amazon S3. Você pode encontrar o Bucket ARN na página Editar política do bucket no https://console.aws.amazon.com/s3/console.

   2. 123456789012Substitua pelo Conta da AWS ID que possui a GuardDuty conta que exporta as descobertas.

   3. Region2Substitua pelo Região da AWS local onde as GuardDuty descobertas são geradas.

   4. SourceDetectorIDSubstitua pela detectorID da GuardDuty conta na região específica em que as descobertas foram geradas.

      Para encontrar o detectorId para sua conta e região atual, consulte a página Configurações no https://console.aws.amazon.com/guardduty/console ou execute o ListDetectors API.

   5. Substitua [optional prefix] parte do valor do S3 bucket ARN/[optional prefix] espaço reservado por um local de pasta opcional para o qual você deseja exportar as descobertas. Para obter mais informações sobre ouso de prefixos, consulte Organizando objetos usando prefixos no Guia de usuário do Amazon S3.

      Quando você fornece um local de pasta opcional que ainda não existe, GuardDuty criará esse local somente se a conta associada ao bucket do S3 for a mesma que a conta que exporta as descobertas. Se você exportar descobertas para um bucket do S3 que pertence a outra conta, o local da pasta já deve existir.

   6. KMS key ARNSubstitua pelo Amazon Resource Name (ARN) da KMS chave associada à criptografia das descobertas exportadas para o bucket do S3. Para localizar a chaveARN, consulte Como encontrar o ID da chave e ARN no Guia do AWS Key Management Service desenvolvedor.

   nota

   Se você estiver usando GuardDuty em uma região opcional, substitua o valor do “Serviço” pelo endpoint regional dessa região. Por exemplo, se você estiver usando GuardDuty na região do Oriente Médio (Bahrein) (me-south-1), substitua por. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Para obter informações sobre endpoints para cada região de inscrição, consulte GuardDuty endpoints e cotas.

4. Escolha Salvar.

Para configurar a opção exportar descobertas

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

2. No painel de navegação, selecione Configurações.

3. Na página Configurações, em Opções de exportação de descobertas, para o bucket do S3, escolha Configurar agora (ou Editar, conforme necessário).

4. Para o bucket do S3 ARN, insira o. bucket ARN Para encontrar o bucketARN, consulte Visualização das propriedades de um bucket do S3 no Guia do usuário do Amazon S3.

5. Para KMSchave ARN, insira key ARNo. Para localizar a chaveARN, consulte Como encontrar o ID da chave e ARN no Guia do AWS Key Management Service desenvolvedor.

6. Anexar políticas

   • Execute as etapas para anexar a política de bucket do S3. Para obter mais informações, consulte Etapa 3: Anexar uma política ao bucket Amazon S3.

   • Execute as etapas para anexar a política de KMS chaves. Para obter mais informações, consulte Etapa 2 — Anexar a política à sua chave KMS.

7. Escolha Salvar.

Como definir a frequência

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

2. Escolha Configurações.

3. Na seção Opções de exportação de descobertas, selecione Frequência para descobertas atualizadas. Isso define a frequência de exportação de descobertas ativas atualizadas para o Amazon S3 EventBridge e para o Amazon S3. Você pode escolher entre as seguintes opções:

   • Atualização EventBridge e S3 a cada 15 minutos

   • Atualização EventBridge e S3 a cada 1 hora

   • Atualização EventBridge e S3 a cada 6 horas (padrão)

4. Escolha Salvar alterações.