AWS verwaltete Richtlinien für Amazon GuardDuty

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

Die vpc-lattice:AssociateViaAWSService Berechtigungen vpc-lattice:CreateServiceNetworkVpcAssociation und wurden hinzugefügt, die es ermöglichen, Amazon VPC Lattice-Aktionen GuardDuty zu verwenden, um die Konnektivität für den Runtime Monitoring-Agenten zu aktivieren. Die GdLatticeCreateManagedSnvaAssociation Anweisung ermöglicht es GuardDuty , eine Servicenetzwerk-VPC-Zuordnung für Ressourcen im selben Konto zu erstellen. Die GdLatticeAssociateViaAwsService Anweisung ermöglicht es GuardDuty , die Zuordnung über Amazon VPC Lattice abzuschließen.

{
                                "Sid": "GdLatticeCreateManagedSnvaAssociation",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:CreateServiceNetworkVpcAssociation",
                                "Resource": "arn:aws:vpc-lattice:*:*:servicenetworkvpcassociation/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            },
                            {
                                "Sid": "GdLatticeAssociateViaAwsService",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:AssociateViaAWSService",
                                "Resource": "*"
                            }

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

Es wurden die s3:ListBucket Erlaubnis zum Abrufen von S3-Bucket-Listen ecs:DescribeTasks sowie ecs:DescribeTaskDefinition Berechtigungen zum Abrufen von Informationen zu Amazon ECS-Aufgaben und Aufgabendefinitionen hinzugefügt.

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

Es wurde die cloudtrail:CreateServiceLinkedChannel Erlaubnis hinzugefügt, einen zusätzlichen Mechanismus zum Konsumieren von AWS CloudTrail Ereignissen zu aktivieren.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }

Diese Richtlinie wurde durch eine eingeschränkte Richtlinie namens AmazonGuardDutyFullAccess_v2 ersetzt.

Nach dem 13. März 2026 können Sie die AmazonGuardDutyFullAccess Richtlinie keinen neuen Benutzern, Gruppen oder Rollen zuordnen. Weitere Informationen finden Sie unter AWS verwaltete Richtlinie: AmazonGuardDutyFullAccess_v2 (empfohlen).

AmazonGuardDutyFullAccess_v2 – Aktualisierung auf eine bestehende Richtlinie

Es wurde eine Berechtigung hinzugefügt, die es Ihnen ermöglicht, eine IAM-Rolle an diese zu übergeben, GuardDuty wenn Sie Malware Protection for AWS Backup aktivieren.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess – Aktualisierung auf eine bestehende Richtlinie

Es wurde eine Berechtigung hinzugefügt, die es Ihnen ermöglicht, eine IAM-Rolle an diese zu übergeben, GuardDuty wenn Sie Malware Protection for AWS Backup aktivieren.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess_v2— Eine neue Richtlinie wurde hinzugefügt

Eine neue AmazonGuardDutyFullAccess_v2 Richtlinie wurde hinzugefügt. Dies wird empfohlen, da die zugehörigen Berechtigungen die Sicherheit erhöhen, da administrative Aktionen auf GuardDuty Dienstprinzipale beschränkt werden, die auf IAM-Rollen und -Richtlinien sowie der Integration basieren. AWS Organizations

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

Die ec2:DescribeVpcs Erlaubnis wurde hinzugefügt. Auf diese Weise können GuardDuty VPC-Updates nachverfolgt werden, z. B. das Abrufen des VPC-CIDR.

AmazonGuardDutyFullAccess – Aktualisierung auf eine bestehende Richtlinie

Es wurde eine Berechtigung hinzugefügt, die es Ihnen ermöglicht, eine IAM-Rolle an diese zu übergeben, GuardDuty wenn Sie den Malware-Schutz für S3 aktivieren.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie.

Verwenden Sie AWS Systems Manager Aktionen, um SSM-Zuordnungen auf Amazon EC2-Instances zu verwalten, wenn Sie GuardDuty Runtime Monitoring mit automatisiertem Agenten für Amazon EC2 aktivieren. Wenn die GuardDuty automatische Agentenkonfiguration deaktiviert ist, werden nur die EC2-Instances GuardDuty berücksichtigt, die über ein Inklusions-Tag (:) verfügen. GuardDutyManaged true

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie.

GuardDuty hat eine neue Berechtigung hinzugefügtorganization:DescribeOrganization, um die Organisations-ID des gemeinsam genutzten Amazon VPC-Kontos abzurufen und die Amazon VPC-Endpunktrichtlinie mit der Organisations-ID festzulegen.

AmazonGuardDutyMalwareProtectionServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie.

Malware Protection for EC2 hat zwei Berechtigungen hinzugefügt — GetSnapshotBlock und zwar ListSnapshotBlocks zum Abrufen des Snapshots eines EBS-Volumes (verschlüsselt mit Von AWS verwalteter Schlüssel) von Ihrem AWS-Konto und zum Kopieren auf das GuardDuty Dienstkonto, bevor Sie den Malware-Scan starten.

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

Es wurden neue Berechtigungen hinzugefügt, um GuardDuty das Hinzufügen von guarddutyActivate Amazon ECS-Kontoeinstellungen und das Ausführen von Listen- und Beschreibungsvorgängen auf Amazon ECS-Clustern zu ermöglichen.

AmazonGuardDutyReadOnlyAccess – Aktualisierung auf eine bestehende Richtlinie

16. November 2023

AmazonGuardDutyFullAccess – Aktualisierung auf eine bestehende Richtlinie

16. November 2023

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

GuardDuty neue Berechtigungen hinzugefügt, um die kommende GuardDuty EKS-Runtime-Monitoring-Funktion zu unterstützen.

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

GuardDuty hat neue Berechtigungen hinzugefügt, um die Erstellung GuardDuty einer Service-linked Rolle für Malware Protection for EC2 zu ermöglichen. Dies wird dazu beitragen, den Prozess der Aktivierung von Malware Protection for EC2 zu GuardDuty optimieren.

GuardDuty kann jetzt die folgende IAM-Aktion ausführen:

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess – Aktualisierung auf eine bestehende Richtlinie

GuardDuty ARN für zwei aktualisiertiam:GetRole. *AWSServiceRoleForAmazonGuardDutyMalwareProtection

AmazonGuardDutyFullAccess – Aktualisierung auf eine bestehende Richtlinie

GuardDuty Es wurde eine neue AWSServiceName hinzugefügt, die die Erstellung einer dienstverknüpften Rolle für den GuardDuty Malware-Schutz iam:CreateServiceLinkedRole für den EC2-Dienst ermöglicht.

GuardDuty kann jetzt die iam:GetRole Aktion ausführen, für die Informationen abgerufen werden sollen. AWSServiceRole

AmazonGuardDutyServiceRolePolicy – Aktualisierung auf eine bestehende Richtlinie

GuardDuty Es wurden neue Berechtigungen hinzugefügt, GuardDuty um Amazon EC2-Netzwerkaktionen zur Verbesserung der Ergebnisse verwenden zu können.

GuardDuty kann jetzt die folgenden EC2-Aktionen ausführen, um Informationen darüber zu erhalten, wie Ihre EC2-Instances kommunizieren. Diese Informationen werden verwendet, um die Genauigkeit der Erkenntnisse zu verbessern.

GuardDuty hat begonnen, Änderungen zu verfolgen

GuardDuty hat begonnen, Änderungen für die von AWS ihm verwalteten Richtlinien zu verfolgen.