Generierte GuardDuty Ergebnisse in Amazon S3-Buckets exportieren

Um die KMS-Schlüsselrichtlinie für die Verschlüsselung Ihrer exportierten Ergebnisse GuardDuty zu ändern

1. Öffnen Sie die AWS KMS Konsole unter. https://console.aws.amazon.com/kms

2. Um das zu ändern AWS-Region, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.

3. Wählen Sie einen vorhandenen KMS-Schlüssel aus, oder führen Sie im AWS Key Management Service Entwicklerhandbuch die Schritte zum Erstellen eines neuen Schlüssels aus, den Sie zum Verschlüsseln der exportierten Ergebnisse verwenden werden.

   Anmerkung

   Der AWS-Region Ihres KMS-Schlüssels und des Amazon S3-Buckets müssen identisch sein.

   Sie können dasselbe S3-Bucket- und KMS-Schlüsselpaar verwenden, um die Ergebnisse aus einer beliebigen Region zu exportieren. Weitere Informationen finden Sie unter Informationen Überlegungen zum regionsübergreifenden Exportieren von Ergebnissen.

4. Wählen Sie im Abschnitt Key policy (Schlüsselrichtlinie) die Option Edit (Bearbeiten) aus.

   Wenn Zur Richtlinienansicht wechseln angezeigt wird, wählen Sie diese Ansicht aus, um die Schlüsselrichtlinie anzuzeigen, und klicken Sie dann auf Bearbeiten.

5. Kopieren Sie den folgenden Richtlinienblock in Ihre KMS-Schlüsselrichtlinie, um die GuardDuty Erlaubnis zur Verwendung Ihres Schlüssels zu erteilen.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Bearbeiten Sie die Richtlinie, indem Sie die folgenden Werte ersetzen, die red im Richtlinienbeispiel formatiert sind:

   1. KMS key ARNErsetzen Sie den KMS-Schlüssel durch den Amazon-Ressourcennamen (ARN). Informationen zum Auffinden des Schlüssel-ARN finden Sie unter Suchen der Schlüssel-ID und des ARN im AWS Key Management Service Entwicklerhandbuch.

   2. 123456789012Ersetzen Sie es durch die AWS-Konto ID, der das GuardDuty Konto gehört, das die Ergebnisse exportiert.

   3. Region2Ersetzen Sie durch den AWS-Region Ort, an dem die GuardDuty Ergebnisse generiert werden.

   4. SourceDetectorIDErsetzen Sie es durch das GuardDuty Konto in der spezifischen Region, in der die Ergebnisse generiert wurden. detectorID

      Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

   Anmerkung

   Wenn Sie es GuardDuty in einer Opt-in-Region verwenden, ersetzen Sie den Wert für den „Dienst“ durch den regionalen Endpunkt für diese Region. Wenn Sie beispielsweise GuardDuty in der Region Naher Osten (Bahrain) (me-south-1) verwenden, ersetzen Sie es durch. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Informationen zu Endpunkten für jede Opt-in-Region finden Sie unter GuardDuty Endpunkte und Kontingente.

7. Wenn Sie die Grundsatzerklärung vor der endgültigen Aussage hinzugefügt haben, fügen Sie ein Komma hinzu, bevor Sie diese Aussage hinzufügen. Stellen Sie sicher, dass die JSON-Syntax Ihrer KMS-Schlüsselrichtlinie gültig ist.

   Wählen Sie Speichern.

8. (Optional) Kopieren Sie den Schlüssel-ARN in einen Notizblock, um ihn in den späteren Schritten zu verwenden.

1. Führen Sie die Schritte unter So erstellen oder bearbeiten Sie eine Bucket-Richtlinie im Amazon S3-Benutzerhandbuch aus, bis die Seite Bucket-Richtlinie bearbeiten angezeigt wird.

2. Die Beispielrichtlinie zeigt, wie Sie die GuardDuty Erlaubnis zum Exportieren von Ergebnissen in Ihren Amazon S3-Bucket erteilen. Wenn Sie den Pfad ändern, nachdem Sie die Exportergebnisse konfiguriert haben, müssen Sie die Richtlinie ändern, um die Genehmigung für den neuen Standort zu erteilen.

   Kopieren Sie die folgende Beispielrichtlinie und fügen Sie sie in den Bucket-Richtlinien-Editor ein.

   Wenn Sie die Richtlinienanweisung vor der endgültigen Aussage hinzugefügt haben, fügen Sie vor dem Hinzufügen dieser Anweisung ein Komma hinzu. Stellen Sie sicher, dass die JSON-Syntax Ihrer KMS-Schlüsselrichtlinie gültig ist.

   Beispiel für eine S3-Bucket-Richtlinie

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                   "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:us-east-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }
   

3. Bearbeiten Sie die Richtlinie, indem Sie die folgenden Werte ersetzen, die red im Richtlinienbeispiel formatiert sind:

   1. Amazon S3 bucket ARNErsetzen Sie ihn durch den Amazon-Ressourcennamen (ARN) des Amazon S3-Buckets. Sie finden den Bucket-ARN auf der Seite „Bucket-Richtlinie bearbeiten“ in der https://console.aws.amazon.com/s3/ Konsole.

   2. 123456789012Ersetzen Sie ihn durch die AWS-Konto ID, der das GuardDuty Konto gehört, das die Ergebnisse exportiert.

   3. us-east-2Ersetzen Sie durch den AWS-Region Ort, an dem die GuardDuty Ergebnisse generiert werden.

   4. SourceDetectorIDErsetzen Sie es durch das GuardDuty Konto in der spezifischen Region, in der die Ergebnisse generiert wurden. detectorID

      Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

   5. Ersetzen Sie einen [optional prefix] Teil des S3 bucket ARN/[optional prefix] Platzhalterwerts durch einen optionalen Speicherort des Ordners, in den Sie die Ergebnisse exportieren möchten. Weitere Informationen zur Verwendung von Präfixen finden Sie unter Organisieren von Objekten mithilfe von Präfixen im Amazon S3-Benutzerhandbuch.

      Wenn Sie einen optionalen Ordnerspeicherort angeben, muss der Ordner bereits im S3-Bucket vorhanden sein. GuardDuty erstellt den Ordner nicht in Ihrem Namen. Diese Anforderung gilt unabhängig davon, ob der Bucket Eigentümer ist.

   6. Ersetzen Sie den KMS-Schlüssel, der KMS key ARN mit der Verschlüsselung der in den S3-Bucket exportierten Ergebnisse verknüpft ist, durch den Amazon-Ressourcennamen (ARN). Informationen zum Auffinden des Schlüssel-ARN finden Sie unter Suchen der Schlüssel-ID und des ARN im AWS Key Management Service Entwicklerhandbuch.

   Anmerkung

   Wenn Sie es GuardDuty in einer Opt-in-Region verwenden, ersetzen Sie den Wert für den „Service“ durch den regionalen Endpunkt für diese Region. Wenn Sie beispielsweise GuardDuty in der Region Naher Osten (Bahrain) (me-south-1) verwenden, ersetzen Sie es durch. "Service": "guardduty.amazonaws.com" "Service": "guardduty.me-south-1.amazonaws.com" Informationen zu Endpunkten für jede Opt-in-Region finden Sie unter GuardDuty Endpunkte und Kontingente.

4. Wählen Sie Speichern.

So konfigurieren Sie die Exportergebnisse

1. Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

2. Wählen Sie im Navigationsbereich Settings (Einstellungen).

3. Wählen Sie auf der Seite Einstellungen unter Exportoptionen für Ergebnisse für S3-Bucket die Option Jetzt konfigurieren (oder je nach Bedarf Bearbeiten) aus.

4. Geben Sie für S3-Bucket-ARN den einbucket ARN. Informationen zum Bucket-ARN finden Sie unter Anzeigen der Eigenschaften für einen S3-Bucket im Amazon S3-Benutzerhandbuch.

5. Geben Sie für den KMS-Schlüssel-ARN den ein key ARN. Informationen zum Auffinden des Schlüssel-ARN finden Sie unter Suchen der Schlüssel-ID und des ARN im AWS Key Management Service Entwicklerhandbuch.

6. Richtlinien anhängen

   • Führen Sie die Schritte aus, um die S3-Bucket-Richtlinie anzuhängen. Weitere Informationen finden Sie unter Schritt 3 — Richtlinie an den Amazon S3-Bucket anhängen.

   • Führen Sie die Schritte aus, um die KMS-Schlüsselrichtlinie anzuhängen. Weitere Informationen finden Sie unter Schritt 2 — Richtlinie an Ihren KMS-Schlüssel anhängen.

7. Wählen Sie Save (Speichern) aus.

So stellen Sie die Häufigkeit ein

1. Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

2. Wählen Sie Einstellungen aus.

3. Wählen Sie im Bereich Exportoptionen für Erkenntnisse die Option Häufigkeit für aktualisierte Erkenntnisse aus. Dies legt die Häufigkeit fest, mit der aktualisierte Active-Ergebnisse EventBridge sowohl nach Amazon S3 als auch nach Amazon S3 exportiert werden. Sie können aus den folgenden Optionen auswählen:

   • Aktualisieren Sie S3 EventBridge und S3 alle 15 Minuten

   • Update EventBridge und S3 alle 1 Stunde

   • Update EventBridge und S3 alle 6 Stunden (Standard)

4. Wählen Sie Änderungen speichern aus.