AWS politiche gestite per Amazon GuardDuty

AmazonGuardDutyServiceRolePolicy: aggiornamento a una policy esistente

Sono state aggiunte le vpc-lattice:AssociateViaAWSService autorizzazioni vpc-lattice:CreateServiceNetworkVpcAssociation and, che consentono di GuardDuty utilizzare le azioni Amazon VPC Lattice per abilitare la connettività per l'agente Runtime Monitoring. La GdLatticeCreateManagedSnvaAssociation dichiarazione consente di GuardDuty creare un'associazione VPC di rete di servizi per le risorse dello stesso account. La GdLatticeAssociateViaAwsService dichiarazione consente di GuardDuty completare l'associazione tramite Amazon VPC Lattice.

{
                                "Sid": "GdLatticeCreateManagedSnvaAssociation",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:CreateServiceNetworkVpcAssociation",
                                "Resource": "arn:aws:vpc-lattice:*:*:servicenetworkvpcassociation/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            },
                            {
                                "Sid": "GdLatticeAssociateViaAwsService",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:AssociateViaAWSService",
                                "Resource": "*"
                            }

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

Sono state aggiunte le s3:ListBucket autorizzazioni per recuperare gli elenchi dei bucket S3 e ecs:DescribeTaskDefinition le autorizzazioni per recuperare informazioni sulle attività ecs:DescribeTasks e sulle definizioni delle attività di Amazon ECS.

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

È stata aggiunta l'cloudtrail:CreateServiceLinkedChannelautorizzazione per abilitare un meccanismo aggiuntivo per la fruizione AWS CloudTrail degli eventi.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }

Questa policy è stata sostituita da una policy ad ambito ridotto denominata AmazonGuardDutyFullAccess_v2.

Dopo il 13 marzo 2026, non puoi allegare la AmazonGuardDutyFullAccess policy a nuovi utenti, gruppi o ruoli. Per ulteriori informazioni, consulta AWS policy gestita: AmazonGuardDutyFullAccess_v2 (consigliato).

AmazonGuardDutyFullAccess_v2: aggiornamento di una policy esistente

È stata aggiunta un'autorizzazione che consente di passare un ruolo IAM a GuardDuty quando si abilita Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess: aggiornamento di una policy esistente

È stata aggiunta un'autorizzazione che consente di passare un ruolo IAM a GuardDuty quando si abilita Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess_v2— Aggiunta una nuova politica

È stata aggiunta una nuova AmazonGuardDutyFullAccess_v2 politica. Questa operazione è consigliata perché le sue autorizzazioni migliorano la sicurezza limitando le azioni amministrative ai responsabili del GuardDuty servizio in base ai ruoli e alle politiche IAM e all'integrazione. AWS Organizations

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

È stata aggiunta l'ec2:DescribeVpcsautorizzazione. Ciò consente di GuardDuty tenere traccia degli aggiornamenti del VPC, ad esempio il recupero del CIDR del VPC.

AmazonGuardDutyFullAccess: aggiornamento di una policy esistente

È stata aggiunta un'autorizzazione che consente di passare un ruolo IAM a GuardDuty quando si abilita Malware Protection for S3.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy: aggiorna a una policy esistente.

Usa AWS Systems Manager le azioni per gestire le associazioni SSM sulle istanze Amazon EC2 quando abiliti il monitoraggio del GuardDuty runtime con un agente automatico per Amazon EC2. Quando la configurazione GuardDuty automatica dell'agente è disabilitata, GuardDuty considera solo le istanze EC2 che hanno un tag di inclusione (:). GuardDutyManaged true

AmazonGuardDutyServiceRolePolicy: aggiorna a una policy esistente.

GuardDuty ha aggiunto una nuova autorizzazione: organization:DescribeOrganization per recuperare l'ID dell'organizzazione dell'account Amazon VPC condiviso e impostare la policy sugli endpoint di Amazon VPC con l'ID dell'organizzazione.

AmazonGuardDutyMalwareProtectionServiceRolePolicy: aggiorna a una policy esistente.

Malware Protection for EC2 ha aggiunto due autorizzazioni: GetSnapshotBlock quella di ListSnapshotBlocks recuperare l'istantanea di un volume EBS (crittografata tramite Chiave gestita da AWS) dall'utente Account AWS e copiarla nell'account del GuardDuty servizio prima di avviare la scansione del malware.

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

Sono state aggiunte nuove autorizzazioni per consentire di GuardDuty aggiungere le impostazioni dell'account guarddutyActivate Amazon ECS ed eseguire operazioni di elenco e descrizione sui cluster Amazon ECS.

AmazonGuardDutyReadOnlyAccess: aggiornamento di una policy esistente

16 novembre 2023

AmazonGuardDutyFullAccess: aggiornamento di una policy esistente

16 novembre 2023

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

GuardDuty ha aggiunto nuove autorizzazioni per supportare la prossima funzionalità GuardDuty EKS Runtime Monitoring.

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

GuardDuty ha aggiunto nuove autorizzazioni per consentire GuardDuty la creazione di un Service-linked ruolo per Malware Protection for EC2. Ciò contribuirà a GuardDuty semplificare il processo di attivazione di Malware Protection per EC2.

GuardDuty ora può eseguire la seguente azione IAM:

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess: aggiornamento di una policy esistente

GuardDuty ARN aggiornato iam:GetRole per due. *AWSServiceRoleForAmazonGuardDutyMalwareProtection

AmazonGuardDutyFullAccess: aggiornamento di una policy esistente

GuardDuty ne ha aggiunto un nuovo AWSServiceName per consentire la creazione di un ruolo collegato al servizio utilizzando il servizio GuardDuty Malware Protection iam:CreateServiceLinkedRole for EC2.

GuardDuty ora può eseguire l'iam:GetRoleazione per ottenere informazioni per. AWSServiceRole

AmazonGuardDutyServiceRolePolicy: aggiornamento di una policy esistente

GuardDuty ha aggiunto nuove autorizzazioni per consentire di GuardDuty utilizzare le azioni di rete di Amazon EC2 per migliorare i risultati.

GuardDuty ora puoi eseguire le seguenti azioni EC2 per ottenere informazioni su come comunicano le tue istanze EC2. Queste informazioni vengono utilizzate per migliorare la precisione degli esiti.

GuardDuty ha iniziato a tracciare le modifiche

GuardDuty ha iniziato a tenere traccia delle modifiche relative alle politiche AWS gestite.