AWS politiques gérées pour Amazon GuardDuty

AmazonGuardDutyServiceRolePolicy – Mise à jour d’une stratégie existante

Ajout des vpc-lattice:AssociateViaAWSService autorisations vpc-lattice:CreateServiceNetworkVpcAssociation et, qui permettent d' GuardDuty utiliser les actions Amazon VPC Lattice pour activer la connectivité de l'agent Runtime Monitoring. L'GdLatticeCreateManagedSnvaAssociationinstruction permet GuardDuty de créer une association VPC de réseau de services pour les ressources du même compte. La GdLatticeAssociateViaAwsService déclaration permet GuardDuty de terminer l'association via Amazon VPC Lattice.

{
                                "Sid": "GdLatticeCreateManagedSnvaAssociation",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:CreateServiceNetworkVpcAssociation",
                                "Resource": "arn:aws:vpc-lattice:*:*:servicenetworkvpcassociation/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            },
                            {
                                "Sid": "GdLatticeAssociateViaAwsService",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:AssociateViaAWSService",
                                "Resource": "*"
                            }

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

Ajout d'une s3:ListBucket autorisation pour récupérer les listes de compartiments S3 ecs:DescribeTasks et d'ecs:DescribeTaskDefinitionautorisations pour récupérer des informations sur les tâches et les définitions de tâches Amazon ECS.

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

Ajout de l'cloudtrail:CreateServiceLinkedChannelautorisation d'activer un mécanisme supplémentaire pour la consommation d' AWS CloudTrail événements.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }

Cette politique a été remplacée par une politique limitée nommée AmazonGuardDutyFullAccess_v2.

Après le 13 mars 2026, vous ne pourrez plus associer la AmazonGuardDutyFullAccess politique à de nouveaux utilisateurs, groupes ou rôles. Pour de plus amples informations, veuillez consulter AWS stratégie gérée : AmazonGuardDutyFullAccess_v2 (recommandé).

AmazonGuardDutyFullAccess_v2 : mise à jour d’une politique existante

Ajout d'une autorisation qui vous permet de transmettre un rôle IAM GuardDuty lorsque vous activez Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess : mise à jour d’une politique existante

Ajout d'une autorisation qui vous permet de transmettre un rôle IAM GuardDuty lorsque vous activez Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess_v2— Ajout d'une nouvelle politique

Ajout d'une nouvelle AmazonGuardDutyFullAccess_v2 politique. Cette option est recommandée car ses autorisations renforcent la sécurité en limitant les actions administratives aux principaux de GuardDuty service en fonction des rôles et des politiques IAM, ainsi que de l'intégration. AWS Organizations

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

L'ec2:DescribeVpcsautorisation a été ajoutée. Cela permet de suivre GuardDuty les mises à jour du VPC, par exemple en récupérant le CIDR du VPC.

AmazonGuardDutyFullAccess : mise à jour d’une politique existante

Ajout d'une autorisation qui vous permet de transmettre un rôle IAM GuardDuty lorsque vous activez Malware Protection pour S3.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy - Mettre à jour vers une politique existante.

Utilisez AWS Systems Manager des actions pour gérer les associations SSM sur les instances Amazon EC2 lorsque vous activez GuardDuty Runtime Monitoring avec un agent automatisé pour Amazon EC2. Lorsque la configuration GuardDuty automatique des agents est désactivée, ne GuardDuty prend en compte que les instances EC2 qui ont une balise d'inclusion (GuardDutyManaged:true).

AmazonGuardDutyServiceRolePolicy - Mettre à jour vers une politique existante.

GuardDuty a ajouté une nouvelle autorisation permettant de organization:DescribeOrganization récupérer l'ID d'organisation du compte Amazon VPC partagé et de définir la politique de point de terminaison Amazon VPC avec l'ID d'organisation.

AmazonGuardDutyMalwareProtectionServiceRolePolicy - Mettre à jour vers une politique existante.

Malware Protection for EC2 a ajouté deux autorisations : GetSnapshotBlock celle de récupérer l'instantané ListSnapshotBlocks d'un volume EBS (chiffré à l'aide de Clé gérée par AWS) depuis votre compte de service Compte AWS et de le copier sur le compte de GuardDuty service avant de lancer l'analyse des programmes malveillants.

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

Ajout de nouvelles autorisations pour permettre d' GuardDuty ajouter des paramètres de compte guarddutyActivate Amazon ECS et d'effectuer des opérations de liste et de description sur les clusters Amazon ECS.

AmazonGuardDutyReadOnlyAccess : mise à jour d’une politique existante

16 novembre 2023

AmazonGuardDutyFullAccess : mise à jour d’une politique existante

16 novembre 2023

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

GuardDuty a ajouté de nouvelles autorisations pour prendre en charge la prochaine fonctionnalité GuardDuty EKS Runtime Monitoring.

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

GuardDuty a ajouté de nouvelles autorisations pour permettre GuardDuty de créer un Service-linked rôle pour Malware Protection for EC2. Cela permettra de GuardDuty rationaliser le processus d'activation de la protection contre les programmes malveillants pour EC2.

GuardDuty peut désormais effectuer l'action IAM suivante :

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess : mise à jour d’une politique existante

GuardDuty ARN mis à jour iam:GetRole pour deux*AWSServiceRoleForAmazonGuardDutyMalwareProtection.

AmazonGuardDutyFullAccess : mise à jour d’une politique existante

GuardDuty en a ajouté un nouveau AWSServiceName pour permettre la création d'un rôle lié à un service à l'aide iam:CreateServiceLinkedRole du service GuardDuty Malware Protection for EC2.

GuardDuty peut désormais effectuer l'iam:GetRoleaction pour obtenir des informations pourAWSServiceRole.

AmazonGuardDutyServiceRolePolicy : mise à jour d’une politique existante

GuardDuty a ajouté de nouvelles autorisations pour GuardDuty permettre d'utiliser les actions réseau Amazon EC2 afin d'améliorer les résultats.

GuardDuty peut désormais effectuer les actions EC2 suivantes pour obtenir des informations sur la façon dont vos instances EC2 communiquent. Ces informations permettent d'améliorer la précision des résultats.

GuardDuty a commencé à suivre les modifications

GuardDuty a commencé à suivre les modifications apportées AWS à ses politiques gérées.