将生成的 GuardDuty 调查结果导出到 Amazon S3 存储桶

修改的KMS密钥策略 GuardDuty 以加密导出的结果

1. 在 https://console.aws.amazon.com/km AWS KMS s 处打开控制台。

2. 要更改 AWS 区域，请使用页面右上角的区域选择器。

3. 选择现有KMS密钥或执行《AWS Key Management Service 开发人员指南》中创建新密钥的步骤，您将使用该密钥对导出的结果进行加密。

   注意

   您的KMS密钥和 Amazon S3 存储桶的密钥必须相同。 AWS 区域

   您可以使用相同的 S3 存储桶和 k KMS ey pair 从任何适用区域导出调查结果。有关更多信息，注意事项请参阅，了解如何跨区域导出调查结果。

4. 在 Key policy（密钥策略）部分，选择 Edit（编辑）。

   如果显示 “切换到策略视图”，请选择它以显示密钥策略，然后选择 “编辑”。

5. 将以下策略块复制到您的KMS密钥策略中，以授予使用您的密钥的 GuardDuty权限。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 通过替换以下格式化值来编辑策略 red在策略示例中：

   1. Replace（替换） KMS key ARN 使用KMS密钥的 Amazon 资源名称 (ARN)。要找到密钥ARN，请参阅查找密钥 ID 和ARN《AWS Key Management Service 开发人员指南》。

   2. Replace（替换） 123456789012 使用拥有导出调查结果的 GuardDuty 账户的 AWS 账户 ID。

   3. Replace（替换） Region2 以及 AWS 区域 GuardDuty 发现的产生地。

   4. Replace（替换） SourceDetectorID 与detectorID调查结果产生的特定区域的 GuardDuty 账户相同。

      要查找与您的账户和当前地区detectorId对应的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或者运行 ListDetectors API.

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为。"Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

7. 如果您在最后一条语句之前添加了策略声明，请在添加此语句之前添加逗号。确保KMS密钥策略的JSON语法有效。

   选择保存。

8. （可选）将密钥复制ARN到记事本中，以便在后续步骤中使用。

1. 执行 Amazon S3 用户指南中创建或编辑存储桶策略下的步骤，直到出现编辑存储桶策略页面。

2. 示例策略显示了如何授予将调查结果导出到 Amazon S3 存储桶的 GuardDuty权限。如果在配置导出查找结果后更改路径，则必须修改策略以授予对新位置的权限。

   复制以下示例策略并将其粘贴到存储桶策略编辑器中。

   如果您在最后一条语句之前添加了策略声明，请在添加此语句之前添加逗号。确保KMS密钥策略的JSON语法有效。

   S3 存储桶示例策略

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "AllowGuardDutygetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": [
                   "s3:GetBucketLocation",
                   "s3:ListBucket"
               ],
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "AllowGuardDutyPutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "DenyUnencryptedUploadsThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "DenyIncorrectHeaderThis is optional",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "DenyNon-HTTPS",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 通过替换以下格式化值来编辑策略 red在策略示例中：

   1. Replace（替换） Amazon S3 bucket ARN 使用亚马逊 S3 存储桶的亚马逊资源名称 (ARN)。您可以在https://console.aws.amazon.com/s3/控制台的编辑存储桶策略页面ARN上找到该存储桶。

   2. Replace（替换） 123456789012 使用拥有导出调查结果的 GuardDuty 账户的 AWS 账户 ID。

   3. Replace（替换） Region2 以及 AWS 区域 GuardDuty 发现的产生地。

   4. Replace（替换） SourceDetectorID 与detectorID调查结果产生的特定区域的 GuardDuty 账户相同。

      要查找与您的账户和当前地区detectorId对应的，请参阅https://console.aws.amazon.com/guardduty/控制台中的设置页面，或者运行 ListDetectors API.

   5. Replace（替换） [optional prefix] 的一部分 S3 bucket ARN/[optional prefix] 占位符值，其中包含要将结果导出到的可选文件夹位置。有关使用前缀的更多信息，请参阅 Amazon S3 用户指南中的使用前缀组织对象。

      当您提供尚不存在的可选文件夹位置时，仅当与 S3 存储桶关联的账户与导出结果的账户相同时，才 GuardDuty 会创建该位置。将调查结果导出到属于其他账户的 S3 存储桶时，该文件夹的位置必须已经存在。

   6. Replace（替换） KMS key ARN 使用与导出到 S3 存储桶的调查结果的加密相关的KMS密钥的 Amazon 资源名称 (ARN)。要找到密钥ARN，请参阅查找密钥 ID 和ARN《AWS Key Management Service 开发人员指南》。

   注意

   如果您在选择加入的区域 GuardDuty 中使用，请将 “服务” 的值替换为该地区的区域终端节点。例如，如果您 GuardDuty 在中东（巴林）(me-south-1) 地区使用，请替换为。"Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com"有关每个选择加入区域的终端节点的信息，请参阅GuardDuty 终端节点和配额。

4. 选择保存。

配置导出结果

1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

2. 在导航窗格中，选择 Settings（设置）。

3. 在 “设置” 页面的 “查找结果导出选项” 下，对于 S3 存储桶，选择立即配置（或根据需要编辑）。

4. 对于 S3 存储桶 ARN，请输入bucket ARN。要查找存储桶ARN，请参阅 Amazon S3 用户指南中的查看 S 3 存储桶的属性。在https://console.aws.amazon.com/guardduty/控制台中关联存储桶的 “属性” 页面的 “权限” 选项卡中。

5. 对于KMS密钥 ARN，请输入key ARN。要找到密钥ARN，请参阅查找密钥 ID 和ARN《AWS Key Management Service 开发人员指南》。

6. 附加策略

   • 执行相关步骤以附加 S3 存储桶策略。有关更多信息，请参阅 第 3 步 — 将策略附加到 Amazon S3 存储桶。

   • 执行附加KMS密钥策略的步骤。有关更多信息，请参阅 第 2 步 — 将策略附加到您的密钥 KMS。

7. 选择保存。

要设置频率

1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

2. 选择设置。

3. 在调查发现导出选项部分，选择更新调查发现的频率。这设置了将更新的活跃调查结果导出到 Amazon S3 EventBridge 和 Amazon S3 的频率。可从以下选项中进行选择：

   • 每 15 分钟更新 EventBridge 一次 S3

   • 每 1 小时更新 EventBridge 一次 S3

   • 每 6 小时更新CWE一次 S3（默认）

4. 选择 Save changes（保存更改）。