Conceitos básicos sobre o GuardDuty

1. No painel de navegação, selecione Configurações.

2. Na página Configurações, em Amostras de descobertas, escolha Gerar amostras de descobertas.

3. No painel de navegação, escolha Resumo para visualizar os insights sobre as descobertas geradas em seu ambiente da AWS. Para obter mais informações sobre os componentes do painel de resumo, consulte Dashboard de resumo no Amazon GuardDuty.

4. No painel de navegação, selecione Descobertas. As descoberta de amostra são exibidas na página Descobertas atuais com o prefixo [SAMPLE].

5. Selecione uma descoberta na lista para exibir os detalhes dela.

   1. Os diversos campos de informações disponíveis podem ser revisados no painel de detalhes da descoberta. Tipos diferentes de descobertas podem ter campos diferentes. Para obter mais informações sobre os campos disponíveis em todos os tipos de descoberta, consulte Detalhes da descoberta. No painel de detalhes, você pode utilizar as seguintes ações:

      • Na parte superior do painel, selecione o ID da descoberta para abrir os detalhes completos do JSON da descoberta. Nesse painel também é possível baixar o arquivo JSON completo. O JSON contém algumas informações adicionais não incluídas na visualização do console e é o formato que outras ferramentas e serviços podem ingerir.

      • Veja a seção Recurso afetado. Em uma descoberta real, as informações aqui ajudarão a identificar um recurso na conta que deve ser investigado e incluirão links para o AWS Management Console apropriado, que conterá recursos disponíveis para uso.

      • Selecione os ícones de lupa + ou - para criar um filtro inclusivo ou exclusivo para esse detalhe. Para obter mais informações sobre os filtros de descobertas, consulte Exibir resultados filtrados no GuardDuty.

6. Arquive todas as suas descobertas de amostra

   1. Selecione todas as descobertas marcando a caixa de seleção na parte superior da lista.

   2. Desmarque todas as descobertas que você deseja manter.

   3. Selecione o menu Ações e, em seguida, selecione Arquivar para ocultar as descobertas de amostra.

      nota

      Selecione Atual para visualizar as descobertas arquivadas e, em seguida, Arquivado para alternar a visualização das descobertas.

Para configurar a opção exportar descobertas do S3

1. Para criptografar as descobertas, você precisará de uma chave do KMS com uma política para permitir que o GuardDuty use essa chave para criptografia. As etapas a seguir ajudarão a criar uma nova chave do KMS. Se você estiver usando uma chave do KMS de outra conta, precisará aplicar a política de chaves fazendo login na Conta da AWS proprietária da chave. A região de sua chave do KMS e do bucket do S3 deve ser a mesma. No entanto, é possível usar esse mesmo bucket e o mesmo par de chaves para cada região de onde as descobertas serão exportadas.

   1. Abra o console do AWS KMS em https://console.aws.amazon.com/kms.

   2. Para alterar a Região da AWS, use o seletor de regiões no canto superior direito da página.

   3. No painel de navegação, escolha Chaves gerenciadas pelo cliente.

   4. Escolha Criar chave.

   5. Escolha Simétrico em Tipo de chave e, em seguida, escolha Próximo.

      nota

      As etapas detalhadas da criação de sua chave do KMS podem ser consultadas em Criar chaves no Guia do Desenvolvedor do AWS Key Management Service.

   6. Forneça um Alias para sua chave e escolha Próximo.

   7. Escolha Próximo e, novamente, escolha Próximo para aceitar as permissões padrão de administração e uso.

   8. Depois de Revisar a configuração, escolha Concluir para criar a chave.

   9. Na página Chaves gerenciadas pelo cliente, escolha o alias de sua chave.

   10. Na seção Política de chaves, selecione Mudar para visualização da política.

   11. Escolha Editar e adicione a política de chaves a seguir à sua chave do KMS, concedendo ao GuardDuty acesso à sua chave. Essa instrução permite que o GuardDuty use somente a chave em que você adicionar essa política. Durante a edição da política de chaves, verifique se a sintaxe JSON é válida. Se você adicionar a declaração antes da declaração final, adicione uma vírgula após o colchete de fechamento.

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       Substitua Region1 pela região da sua chave do KMS. Substitua 444455556666 com a Conta da AWS que tem a chave do KMS. Substitua o KMSKeyID pelo ID chave da chave do KMS escolhida para criptografia. Para identificar todos esses valores (região, Conta da AWS e ID da chave), visualize o ARN da sua chave do KMS. Para localizar o ARN da chave, consulte Como localizar o ID e o ARN da chave.

       Da mesma forma, substitua 111122223333 pela Conta da AWS da conta GuardDuty. Substitua a Region2 pela Região da conta GuardDuty. Substitua o SourceDetectorID pelo ID de detector da conta do GuardDuty para a Region2.

       Para encontrar as configurações detectorId de sua conta e da região atual, consulte a página Configurações no console https://console.aws.amazon.com/guardduty/ ou execute a ListDetectorsAPI.

   12. Selecione Salvar.

2. Abra o console do GuardDuty em https://console.aws.amazon.com/guardduty.

3. No painel de navegação, selecione Configurações.

4. Em Opções de exportação de descobertas, escolha Configure agora.

5. Selecione Novo bucket. Forneça um nome exclusivo para o seu bucket do S3.

6. (Opcional) Você pode testar suas novas configurações de exportação gerando descobertas de amostra. No painel de navegação, selecione Configurações.

7. Em Descobertas de amostra, escolha Gerar descobertas de amostra. As novas descobertas de amostra serão exibidas como entradas no bucket do S3 criado pelo GuardDuty em até cinco minutos.

1. Abra o console do Amazon SNS em https://console.aws.amazon.com/sns/v3/home.

2. No painel de navegação, escolha Tópicos.

3. Selecione Criar tópico.

4. Em Tipo, selecione Padrão.

5. Em Nome, digite GuardDuty.

6. Selecione Criar tópico. A seção Detalhes do novo tópico será aberta.

7. Na seção Inscrições, escolha Criar inscrição.

8. Em Protocolo, escolha E-mail.

9. Para Endpoint, insira o endereço de e-mail que deve receber as notificações.

10. Selecione Criar assinatura.

    É necessário confirmar a assinatura por e-mail após a criação da assinatura.

11. Para conferir se há uma mensagem de assinatura, acesse sua caixa de entrada de e-mail e, na mensagem de assinatura, escolha Confirmar assinatura.

    nota

    Para conferir o status do e-mail de confirmação, acesse o console do SNS e escolha Assinaturas.

Para criar uma regra do EventBridge para capturar e formatar as descobertas do GuardDuty

1. Abra o console do EventBridge em https://console.aws.amazon.com/events/.

2. No painel de navegação, escolha Regras.

3. Escolha Create rule.

4. Insira um nome e uma descrição para a regra.

   Uma regra não pode ter o mesmo nome que outra na mesma Região e barramento de eventos.

5. Em Barramento de eventos, escolha padrão.

6. Em Tipo de Regra, escolha Regra com Padrão de Evento.

7. Escolha Próximo.

8. Em Origem de eventos, escolha Eventos da AWS.

9. Em Padrão de evento, selecione Formulário de padrão de evento.

10. Em Fonte do evento, selecione Serviços da AWS.

11. Para Serviço da AWS, escolha GuardDuty.

12. No menu Tipo de evento, escolha Descobera do GuardDuty.

13. Escolha Avançar.

14. Em Tipos de destino, escolha Serviço da AWS.

15. Em Selecionar um destino, escolha Tópico do SNS e, em Tópico, escolha o nome do tópico do SNS que você criou anteriormente.

16. Na seção Configurações adicionais, para Configurar entrada de destino, escolha Transformador de entrada.

    Adicionar um transformador de entrada formata os dados de descoberta JSON enviados do GuardDuty em uma mensagem legível por humanos.

17. Escolha Configurar o transformador de entrada.

18. Na seção Transformador de entrada de destino, em Caminho de entrada, cole este código:

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. Para formatar o e-mail, em Modelo, cole o código a seguir e certifique-se de substituir o texto em vermelho pelos valores apropriados à sua região:

    
    "You have a severity severity GuardDuty finding type Finding_Type in the Region_Name Region."
    "Finding Description:"
    "Finding_Description."
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=region#/findings?search=id%3DFinding_ID"
    

20. Selecione a opção Confirmar.

21. Escolha Próximo.

22. (Opcional) Insira uma ou mais tags para a regra. Para mais informações, consulte Tags Amazon EventBridge em Guia de Usuário Amazon EventBridge.

23. Escolha Próximo.

24. Analise os detalhes da regra e selecione Criar regra.

25. (Opcional) Teste sua nova regra gerando descobertas de exemplo com o processo na Etapa 2. Você receberá um e-mail para cada descoberta de amostra gerada.