入門 GuardDuty

1. 在導覽窗格中，選擇設定。

2. 在設定頁面的調查結果範例下，選擇產生調查結果範例。

3. 在導覽窗格中，選擇摘要以檢視您 AWS 環境中產生之調查結果的洞察。如需有關「摘要」儀表板中元件的詳細資訊，請參閱Amazon 中的摘要儀表板 GuardDuty。

4. 在導覽窗格中，選擇調查結果。範例調查結果會以字首 【SAMPLE】 顯示在目前調查結果頁面上。

5. 從清單中選取一個調查結果，以顯示該調查結果的詳細資訊。

   1. 您可以檢閱調查結果詳細資訊窗格中的不同資訊欄位。不同類型的調查結果可以有不同的欄位。如需有關所有調查結果類型中可用欄位的詳細資訊，請參閱調查結果詳細資訊。您可以從詳細資訊窗格執行下列動作：

      • 選取窗格頂端的調查結果 ID，以開啟調查結果的完整JSON詳細資訊。也可以從此面板下載完整的JSON檔案。JSON 包含一些不包含在主控台檢視中的額外資訊，是其他工具和服務的擷取格式。

      • 檢視受影響的資源區段。在實際調查結果中，此處的資訊將協助您識別帳戶中應調查的資源，並將包含 AWS Management Console 適當可操作資源的連結。

      • 選取 + 或 - 鏡子圖示，為該詳細資訊建立包含或排除篩選條件。如需有關調查結果篩選條件的詳細資訊，請參閱在 中檢視篩選的結果 GuardDuty。

6. 封存您的所有範例調查結果

   1. 選取清單頂端的核取方塊，以選取所有調查結果。

   2. 取消選取要保留的任何調查結果。

   3. 選取動作選單，然後選取封存以隱藏範例調查結果。

      注意

      若要檢視已封存的調查結果，請依次選取目前與已封存，以切換調查結果檢視。

設定 S3 匯出調查結果選項

1. 若要加密調查結果，您需要具有允許 GuardDuty 使用該KMS金鑰進行加密之政策的金鑰。下列步驟將協助您建立新的KMS金鑰。如果您使用來自另一個帳戶的KMS金鑰，您需要登入 AWS 帳戶 擁有金鑰的 來套用金鑰政策。KMS 金鑰和 S3 儲存貯體的區域必須相同。不過，您可以針對要匯出調查結果的每個區域，使用此相同的儲存貯體和金鑰對。

   1. 以 https://console.aws.amazon.com/kms 開啟 AWS KMS 主控台。

   2. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。

   3. 在導覽窗格中，選擇 Customer managed keys (客戶受管金鑰)。

   4. 選擇建立金鑰。

   5. 在金鑰類型下選擇對稱，然後選擇下一步。

      注意

      如需建立KMS金鑰的詳細步驟，請參閱 AWS Key Management Service 開發人員指南 中的建立金鑰。

   6. 提供金鑰的別名，然後選擇下一步。

   7. 選擇下一步，然後再次選擇下一步以接受預設的管理和使用許可。

   8. 檢閱組態後，選擇完成來建立金鑰。

   9. 在客戶自管金鑰頁面上，選擇您的金鑰別名。

   10. 在金鑰政策索引標籤中，選擇切換為政策檢視。

   11. 選擇編輯，並將下列金鑰政策新增至您的KMS金鑰，授予對金鑰的 GuardDuty 存取權。此陳述式僅允許 GuardDuty 使用您新增此政策的金鑰。編輯金鑰政策時，請確定JSON語法有效。如果您在最終陳述式之前新增陳述式，則必須在右括號後加上逗號。

       {    
           "Sid": "AllowGuardDutyKey",
           "Effect": "Allow",
           "Principal": {
               "Service": "guardduty.amazonaws.com"
           },
           "Action": "kms:GenerateDataKey",
           "Resource": "arn:aws:kms:Region1:444455556666:key/KMSKeyId",
           "Condition": {
               "StringEquals": {
                   "aws:SourceAccount": "111122223333",
                   "aws:SourceArn": "arn:aws:guardduty:Region2:111122223333:detector/SourceDetectorID"	
               }
           }
       }

       Replace (取代) Region1 金鑰的區域KMS。Replace (取代) 444455556666 擁有 KMS金鑰 AWS 帳戶 的 。Replace (取代) KMSKeyId 您為加密選擇之金鑰的KMS金鑰 ID。若要識別所有這些值 – 區域 AWS 帳戶和金鑰 ID，請檢視KMS金鑰ARN的 。若要尋找金鑰 ARN，請參閱尋找金鑰 ID 和 ARN。

       同樣地，請取代 111122223333 帳戶的 AWS 帳戶 GuardDuty 。Replace (取代) Region2 帳戶 GuardDuty的區域。Replace (取代) SourceDetectorID 具有 GuardDuty 帳戶的偵測器 ID Region2.

       若要尋找detectorId您帳戶和目前區域的 ，請參閱https://console.aws.amazon.com/guardduty/主控台中的設定頁面，或執行 ListDetectors API.

   12. 選擇 Save (儲存)。

2. 在 開啟 GuardDuty 主控台https://console.aws.amazon.com/guardduty/。

3. 在導覽窗格中，選擇設定。

4. 在調查結果匯出選項下，選擇立即設定。

5. 選擇新儲存貯體。提供 S3 儲存貯體的唯一名稱。

6. (選用) 您可以透過產生範例調查結果來測試新的匯出設定。在導覽窗格中，選擇設定。

7. 在範例調查結果下，選擇產生範例調查結果。新的範例調查結果會在最多五分鐘 GuardDuty 內顯示為由 建立的 S3 儲存貯體中的項目。

1. 在 https://console.aws.amazon.com/sns/v3/home 開啟 Amazon SNS主控台。

2. 在導覽窗格中，選擇主題。

3. 選擇建立主題。

4. 針對類型，選取標準。

5. 對於名稱，輸入 GuardDuty。

6. 選擇建立主題。新主題的主題詳細資訊隨即開啟。

7. 在訂閱區段中，選擇建立訂閱。

8. 對於通訊協定，選擇電子郵件。

9. 對於端點，輸入將通知傳送到的收件電子郵件地址。

10. 選擇 Create subscription (建立訂閱)。

    建立訂閱後，您必須透過電子郵件確認訂閱。

11. 若要檢查訂閱訊息，請前往您的電子郵件收件匣，然後在訂閱訊息中選擇確認訂閱。

    注意

    若要檢查電子郵件確認狀態，請前往SNS主控台並選擇訂閱 。

建立 EventBridge 規則以擷取 GuardDuty 調查結果並將其格式化

1. 在 開啟 EventBridge 主控台https://console.aws.amazon.com/events/。

2. 在導覽窗格中，選擇規則。

3. 選擇建立規則。

4. 輸入規則的名稱和描述。

   在同一個區域和同一個事件匯流排上，規則不能與另一個規則同名。

5. 針對事件匯流排選擇預設值。

6. 針對規則類型選擇具有事件模式的規則。

7. 選擇下一步。

8. 在事件來源，選擇 AWS 事件。

9. 針對事件模式，選擇事件模式表單。

10. 在事件來源欄位中，選擇 AWS 服務。

11. 在AWS 服務中選擇 GuardDuty。

12. 針對事件類型 ，選擇GuardDuty尋找 。

13. 選擇 Next (下一步)。

14. 在目標類型欄位中，選擇 AWS 服務。

15. 針對選取目標 ，選擇SNS主題 ，針對主題 ，選擇您先前建立SNS的主題名稱。

16. 在其他設定區段中，針對設定目標輸入，選擇輸入轉換器。

    新增輸入轉換器會將從 傳送的JSON調查結果資料格式化 GuardDuty 為人類可讀取的訊息。

17. 選擇設定輸入轉換器。

18. 在目標輸入轉換器區段中，針對輸入路徑，貼上下列程式碼：

    
    {
      "severity": "$.detail.severity",
      "Finding_ID": "$.detail.id",
      "Finding_Type": "$.detail.type",
      "region": "$.region",
      "Finding_description": "$.detail.description"
    }
                                

19. 若要格式化電子郵件，請在範本 中貼上下列程式碼，並確定將紅色文字取代為您的區域適用的值：

    
    "You have a severity severity GuardDuty finding type Finding_Type in the Region_Name Region."
    "Finding Description:"
    "Finding_Description."
    "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=region#/findings?search=id%3DFinding_ID"
    

20. 選擇確認。

21. 選擇 Next (下一步)。

22. (選用) 為規則輸入一或多個標籤。如需詳細資訊，請參閱 Amazon 使用者指南 中的 Amazon EventBridge 標籤。 EventBridge

23. 選擇 Next (下一步)。

24. 檢閱規則的詳細資訊，然後選擇建立規則。

25. (選用) 使用步驟 2 中的程序產生範例調查結果，以測試新規則。您將收到每個產生的範例調查結果的電子郵件。