將產生的 GuardDuty 調查結果匯出至 Amazon S3 儲存貯體

修改 GuardDuty 的 KMS 金鑰政策，以加密匯出的調查結果

1. 在 https：//https://console.aws.amazon.com/kms 開啟 AWS KMS 主控台。

2. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。

3. 選取現有的 KMS 金鑰，或執行 AWS Key Management Service 開發人員指南中的步驟來建立新的金鑰，您將使用該金鑰來加密匯出的調查結果。

   注意

   KMS 金鑰 AWS 區域 的 和 Amazon S3 儲存貯體必須相同。

   您可以使用相同的 S3 儲存貯體和 KMS 金鑰對，從任何適用的區域匯出問題清單。如需詳細資訊，請參閱 考量事項 以跨區域匯出問題清單。

4. 在 Key policy (金鑰政策) 區段中，選擇 Edit (編輯)。

   如果顯示切換到政策檢視，請選擇它以顯示金鑰政策，然後選擇編輯。

5. 將下列政策區塊複製到您的 KMS 金鑰政策，以授予 GuardDuty 使用您的金鑰的許可。

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. 透過取代政策範例中以紅色格式化的下列值來編輯政策：

   1. 將 KMS 金鑰 ARN 取代為 KMS 金鑰的 Amazon Resource Name (ARN)。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN。

   2. 將 123456789012 取代為擁有匯出調查結果之 GuardDuty 帳戶的 AWS 帳戶 ID。

   3. 將 Region2 取代為產生 GuardDuty 調查結果 AWS 區域 的 。

   4. detectorID 將 SourceDetectorID 取代為產生問題清單之特定區域中 GuardDuty 帳戶的 。

      若要尋找detectorId您帳戶和目前區域的 ，請參閱 https：//https://console.aws.amazon.com/guardduty/ 主控台中的設定頁面，或執行 ListDetectors API。

   注意

   如果您在選擇加入區域使用 GuardDuty，請將「服務」的值取代為該區域的區域端點。例如，如果您是在中東 (巴林) (me-south-1) 區域使用 GuardDuty，請使用 "Service": "guardduty.me-south-1.amazonaws.com" 取代 "Service": "guardduty.amazonaws.com"。如需每個選擇加入區域的端點資訊，請參閱 GuardDuty 端點和配額。

7. 如果您在最終陳述式之前新增政策陳述式，請在新增此陳述式之前新增逗號。請確定 KMS 金鑰政策的 JSON 語法有效。

   選擇 Save (儲存)。

8. （選用） 將金鑰 ARN 複製到記事本，以供後續步驟使用。

1. 執行 Amazon S3 使用者指南中的建立或編輯儲存貯體政策下的步驟，直到顯示編輯儲存貯體政策頁面。

2. 範例政策顯示如何授予 GuardDuty 將調查結果匯出至 Amazon S3 儲存貯體的許可。如果您在設定匯出問題清單後變更路徑，則必須修改政策以授予新位置的許可。

   複製下列範例政策，並將其貼到儲存貯體政策編輯器中。

   如果您在最終陳述式之前新增政策陳述式，請在新增此陳述式之前新增逗號。請確定 KMS 金鑰政策的 JSON 語法有效。

   S3 儲存貯體範例政策

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "Amazon S3 bucket ARN",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption-aws-kms-key-id": "KMS key ARN"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "Amazon S3 bucket ARN/[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }

3. 透過取代政策範例中以紅色格式化的下列值來編輯政策：

   1. 將 Amazon S3 儲存貯體 ARN 取代為 Amazon S3 儲存貯體的 Amazon Resource Name (ARN)。您可以在 https://console.aws.amazon.com/s3/ 主控台的編輯儲存貯體政策頁面上找到儲存貯體 ARN。

   2. 將 123456789012 取代為擁有匯出調查結果之 GuardDuty 帳戶的 AWS 帳戶 ID。

   3. 將 Region2 取代為產生 GuardDuty 調查結果的 AWS 區域 。

   4. detectorID 將 SourceDetectorID 取代為產生問題清單之特定區域中 GuardDuty 帳戶的 。

      若要尋找detectorId您帳戶和目前區域的 ，請參閱 https：//https://console.aws.amazon.com/guardduty/ 主控台中的設定頁面，或執行 ListDetectors API。

   5. 將 S3 儲存貯體 ARN/【選用字首】 預留位置值的 【選用字首】 部分取代為您要匯出問題清單的選用資料夾位置。 S3 如需使用字首的詳細資訊，請參閱《Amazon S3 使用者指南》中的使用字首組織物件。

      當您提供不存在的選用資料夾位置時，GuardDuty 只有在與 S3 儲存貯體相關聯的帳戶與匯出調查結果的帳戶相同時，才會建立該位置。當您將問題清單匯出至屬於另一個帳戶的 S3 儲存貯體時，資料夾位置必須已存在。

   6. 將 KMS 金鑰 ARN 取代為與匯出至 S3 儲存貯體之調查結果加密相關聯的 KMS 金鑰的 Amazon Resource Name (ARN)。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN。

   注意

   如果您在選擇加入區域使用 GuardDuty，請將「服務」的值取代為該區域的區域端點。例如，如果您是在中東 (巴林) (me-south-1) 區域使用 GuardDuty，請使用 "Service": "guardduty.me-south-1.amazonaws.com" 取代 "Service": "guardduty.amazonaws.com"。如需每個選擇加入區域的端點資訊，請參閱 GuardDuty 端點和配額。

4. 選擇 Save (儲存)。

設定匯出問題清單

1. 開啟 GuardDuty 主控台，網址為 https://console.aws.amazon.com/guardduty/。

2. 在導覽窗格中，選擇設定。

3. 在設定頁面的調查結果匯出選項下，對於 S3 儲存貯體，選擇立即設定 （或視需要編輯)。

4. 針對 S3 儲存貯體 ARN，輸入 bucket ARN。若要尋找儲存貯體 ARN，請參閱《Amazon S3 使用者指南》中的檢視 S3 儲存貯體的屬性。 Amazon S3

5. 對於 KMS 金鑰 ARN，輸入 key ARN。若要尋找金鑰 ARN，請參閱《 AWS Key Management Service 開發人員指南》中的尋找金鑰 ID 和 ARN。

6. 連接政策

   • 執行步驟以連接 S3 儲存貯體政策。如需詳細資訊，請參閱步驟 3 – 將政策連接至 Amazon S3 儲存貯體。

   • 執行步驟以連接 KMS 金鑰政策。如需詳細資訊，請參閱步驟 2 – 將政策連接至 KMS 金鑰。

7. 選擇 Save (儲存)。

設定頻率

1. 開啟 GuardDuty 主控台，網址為 https://console.aws.amazon.com/guardduty/。

2. 選擇設定。

3. 在調查結果匯出選項區段中，選擇更新後的調查結果的頻率。這會設定將更新的 Active 調查結果匯出到 EventBridge 和 Amazon S3 的頻率。您可以選擇下列項目：

   • 每 15 分鐘更新 EventBridge 和 S3

   • 每 1 小時更新 EventBridge 和 S3

   • 每 6 小時更新 EventBridge 和 S3 （預設）

4. 選擇 Save changes (儲存變更)。