將產生的 GuardDuty 調查結果匯出至 Amazon S3 儲存貯體

修改 的KMS金鑰政策 GuardDuty ，以加密匯出的調查結果

1. 在 https://console.aws.amazon.com/kms 開啟 AWS KMS 主控台。

2. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。

3. 選取現有的KMS金鑰，或執行 AWS Key Management Service 開發人員指南中的步驟來建立新的金鑰，您將用來加密匯出的調查結果。

   注意

   KMS 金鑰 AWS 區域 的 和 Amazon S3 儲存貯體必須相同。

   您可以使用相同的 S3 儲存貯體和KMS金鑰對，從任何適用的區域匯出問題清單。如需詳細資訊，請參閱 考量事項 以跨區域匯出問題清單。

4. 在 Key policy (金鑰政策) 區段中，選擇 Edit (編輯)。

   如果顯示切換到政策檢視，請選擇它以顯示金鑰政策，然後選擇編輯。

5. 將下列政策區塊複製到您的KMS金鑰政策，以授予 GuardDuty使用您的金鑰的許可。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 透過取代政策範例中格式化為 red的下列值來編輯政策：

   1. KMS key ARN 以KMS金鑰的 Amazon Resource Name (ARN) 取代 。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN 。

   2. 123456789012 將 取代為擁有匯出問題清單之 GuardDuty 帳戶的 AWS 帳戶 ID。

   3. Region2 將 取代為產生 GuardDuty 問題清單 AWS 區域 的 。

   4. SourceDetectorID 將 取代為產生問題清單之特定區域中detectorID GuardDuty 帳戶的 。

      若要尋找detectorId您帳戶和目前區域的 ，請參閱 https://console.aws.amazon.com/guardduty/主控台中的設定頁面，或執行 ListDetectors API.

   注意

   如果您在 GuardDuty 選擇加入區域中使用 ，請將「服務」的值取代為該區域的區域端點。例如，如果您 GuardDuty 在中東 （巴林） (me-south-1) 區域使用 ，請將 取代"Service": "guardduty.amazonaws.com"為 "Service": "guardduty.me-south-1.amazonaws.com"。如需每個選擇加入區域的端點資訊，請參閱GuardDuty 端點和配額。

7. 如果您在最終陳述式之前新增政策陳述式，請在新增此陳述式之前新增逗號。請確定KMS金鑰政策的JSON語法有效。

   選擇 Save (儲存)。

8. （選用） 將金鑰複製到ARN記事本，以供後續步驟使用。

1. 執行 Amazon S3 使用者指南中的建立或編輯儲存貯體政策下的步驟，直到顯示編輯儲存貯體政策頁面。

2. 範例政策顯示如何授予 GuardDuty許可，將問題清單匯出到您的 Amazon S3 儲存貯體。如果您在設定匯出問題清單後變更路徑，則必須修改政策以授予新位置的許可。

   複製下列範例政策，並將其貼到儲存貯體政策編輯器中。

   如果您在最終陳述式之前新增政策陳述式，請在新增此陳述式之前新增逗號。請確定KMS金鑰政策的JSON語法有效。

   S3 儲存貯體範例政策

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 透過取代政策範例中格式化為 red的下列值來編輯政策：

   1. Amazon S3 bucket ARN 將 取代為 Amazon S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 https://console.aws.amazon.com/s3/主控台的ARN編輯儲存貯體政策頁面上找到儲存貯體。

   2. 123456789012 將 取代為擁有匯出問題清單之 GuardDuty 帳戶的 AWS 帳戶 ID。

   3. Region2 將 取代為產生 GuardDuty 調查結果的 AWS 區域 。

   4. SourceDetectorID 將 取代為產生問題清單之特定區域中detectorID GuardDuty 帳戶的 。

      若要尋找detectorId您帳戶和目前區域的 ，請參閱 https://console.aws.amazon.com/guardduty/主控台中的設定頁面，或執行 ListDetectors API.

   5. 將[optional prefix]部分S3 bucket ARN/[optional prefix]預留位置值取代為您要匯出問題清單的選用資料夾位置。如需使用字首的詳細資訊，請參閱《Amazon S3 使用者指南》中的使用字首組織物件。

      當您提供不存在的選用資料夾位置時，只有當與 S3 儲存貯體相關聯的帳戶與匯出問題清單的帳戶相同時， GuardDuty 才會建立該位置。當您將問題清單匯出至屬於另一個帳戶的 S3 儲存貯體時，資料夾位置必須已存在。

   6. KMS key ARN 將 取代為與匯出至 S3 儲存貯體之調查結果加密相關聯的KMS金鑰的 Amazon Resource Name (ARN)。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN 。

   注意

   如果您在 GuardDuty 選擇加入區域中使用 ，請將「服務」的值取代為該區域的區域端點。例如，如果您 GuardDuty 在中東 （巴林） (me-south-1) 區域使用 ，請將 取代"Service": "guardduty.amazonaws.com"為 "Service": "guardduty.me-south-1.amazonaws.com"。如需每個選擇加入區域的端點資訊，請參閱GuardDuty 端點和配額。

4. 選擇 Save (儲存)。

設定匯出問題清單

1. 在 開啟 GuardDuty 主控台https://console.aws.amazon.com/guardduty/。

2. 在導覽窗格中，選擇設定。

3. 在設定頁面的調查結果匯出選項下，對於 S3 儲存貯體，選擇立即設定 （或視需要編輯)。

4. 針對 S3 儲存貯體 ARN，輸入 bucket ARN。若要尋找儲存貯體 ARN，請參閱《Amazon S3 使用者指南》中的檢視 S3 儲存貯體的屬性。 Amazon S3

5. 針對KMS金鑰 ARN，輸入 key ARN。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN 。

6. 連接政策

   • 執行步驟以連接 S3 儲存貯體政策。如需詳細資訊，請參閱步驟 3 – 將政策連接至 Amazon S3 儲存貯體。

   • 執行步驟以連接KMS金鑰政策。如需詳細資訊，請參閱步驟 2 – 將政策連接至您的KMS金鑰。

7. 選擇 Save (儲存)。

設定頻率

1. 在 開啟 GuardDuty 主控台https://console.aws.amazon.com/guardduty/。

2. 選擇設定。

3. 在調查結果匯出選項區段中，選擇更新後的調查結果的頻率。這會設定將更新的 Active 調查結果匯出到 EventBridge 和 Amazon S3 的頻率。您可以選擇下列項目：

   • 每 15 分鐘更新一次 EventBridge 和 S3

   • 每 1 小時更新一次 EventBridge 和 S3

   • 每 6 小時更新一次 EventBridge 和 S3 （預設）

4. 選擇 Save changes (儲存變更)。