Exportar los resultados de GuardDuty generados a buckets de Amazon S3

Para modificar la política de claves de KMS para que GuardDuty cifre los resultados exportados

1. Abra la consola de AWS KMS en https://console.aws.amazon.com/kms.

2. Para cambiar la Región de AWS, utilice el Selector de regiones ubicado en la esquina superior derecha de la página.

3. Seleccione una clave de KMS existente o siga los pasos para Crear una nueva clave en la Guía para desarrolladores de AWS Key Management Service, que utilizará para cifrar los resultados exportados.

   nota

   La Región de AWS de la clave de KMS y del bucket de Amazon S3 debe ser la misma.

   Puede utilizar el mismo bucket de S3 y el mismo par de claves de KMS para exportar los resultados de cualquier región aplicable. Para obtener más información, consulte Consideraciones para exportar los resultados entre regiones.

4. En la sección Key policy (Política de claves), elija Edit (Editar).

   Si aparece Cambiar a vista de política, elíjala para mostrar la Política de claves y, a continuación, elija Editar.

5. Copie el siguiente bloque de política en la política de clave de KMS, para conceder a GuardDuty permiso para usar la clave.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Para editar la política, sustituya los siguientes valores formateados en rojo en el ejemplo de la política:

   1. Sustituya el ARN de la clave de KMS por el nombre de recurso de Amazon (ARN) de la clave de KMS. Para localizar el ARN de la clave, consulte Encontrar el ID y el ARN de la clave en la Guía para desarrolladores de AWS Key Management Service.

   2. Sustituya 123456789012 por el ID de Cuenta de AWS que posee la cuenta de GuardDuty que exporta los resultados.

   3. Sustituya Region2 por la Región de AWS donde se generan los resultados de GuardDuty.

   4. Sustituya SourceDetectorID por el detectorID de la cuenta de GuardDuty en la región específica donde se generaron los resultados.

      Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

   nota

   Si utiliza GuardDuty en una región de inscripción, sustituya el valor por el “Servicio” por el punto de conexión regional para esa región. Por ejemplo, si utiliza GuardDuty en la región Medio Oriente (Baréin) (me-south-1), sustituya "Service": "guardduty.amazonaws.com" por "Service": "guardduty.me-south-1.amazonaws.com". Para obtener información sobre los puntos de conexión para cada región de inscripción, consulte Puntos de conexión y cuotas de GuardDuty.

7. Si ha agregado la instrucción de política antes de la instrucción final, agregue una coma antes de agregar esta instrucción. Asegúrese de que la sintaxis JSON de la política de la clave de KMS es válida.

   Seleccione Save.

8. (Opcional) copie la clave de ARN en un bloc de notas para utilizarla en los pasos posteriores.

1. Siga los pasos descritos en Para crear o editar una política de bucket en la Guía del usuario de Amazon S3, hasta que aparezca la página Editar política de bucket.

2. La política de ejemplo muestra cómo conceder a GuardDuty permiso para exportar resultados al bucket de Amazon S3. Si cambia la ruta después de configurar la exportación de resultados, deberá modificar la política para conceder permiso a la nueva ubicación.

   Copie la siguiente política de ejemplo y péguela en el Editor de políticas de bucket.

   Si ha agregado la instrucción de política antes de la instrucción final, agregue una coma antes de agregar esta instrucción. Asegúrese de que la sintaxis JSON de la política de la clave de KMS es válida.

   Política de ejemplo de bucket de S

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                   "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:us-east-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }
   

3. Para editar la política, sustituya los siguientes valores formateados en rojo en el ejemplo de la política:

   1. Sustituya el ARN del bucket de Amazon S3 por el nombre de recurso de Amazon (ARN) del bucket de Amazon S3. Encontrará el ARN del bucket en la página Editar política de bucket de la consola https://console.aws.amazon.com/s3/.

   2. Sustituya 123456789012 por el ID de Cuenta de AWS que posee la cuenta de GuardDuty que exporta los resultados.

   3. Sustituya us-east-2 por la Región de AWS donde se generan los resultados de GuardDuty.

   4. Sustituya SourceDetectorID por el detectorID de la cuenta de GuardDuty en la región específica donde se generaron los resultados.

      Para encontrar el detectorId correspondiente a la cuenta y la región actual, consulte la página de Configuración en la consola https://console.aws.amazon.com/guardduty/ o ejecute la API ListDetectors.

   5. Sustituya la parte [prefijo opcional] del valor del marcador de posición ARN/[prefijo opcional] del bucket de S3 por una ubicación de carpeta opcional a la que desee exportar los resultados. Para obtener más información sobre el uso de prefijos, consulte Organizar objetos mediante prefijos en la Guía del usuario de Amazon S3.

      Al proporcionar una ubicación de carpeta opcional que aún no existe, GuardDuty creará esa ubicación solamente si la cuenta asociada al bucket de S3 es la misma que la cuenta que exporta los resultados. Al exportar resultados a un bucket de S3 que pertenece a otra cuenta, la ubicación de la carpeta ya debe existir.

   6. Sustituye el ARN de la clave de KMS por el nombre de recurso de Amazon (ARN) de la clave de KMS asociada al cifrado de los resultados exportados al bucket de S3. Para localizar el ARN de la clave, consulte Encontrar el ID y el ARN de la clave en la Guía para desarrolladores de AWS Key Management Service.

   nota

   Si utiliza GuardDuty en una región de inscripción, sustituya el valor por el “Servicio” por el punto de conexión regional para esa región. Por ejemplo, si utiliza GuardDuty en la región Medio Oriente (Baréin) (me-south-1), sustituya "Service": "guardduty.amazonaws.com" por "Service": "guardduty.me-south-1.amazonaws.com". Para obtener información sobre los puntos de conexión para cada región de inscripción, consulte Puntos de conexión y cuotas de GuardDuty.

4. Seleccione Save.

Configuración de la opción de exportación de resultados

1. Abra la consola de GuardDuty en https://console.aws.amazon.com/guardduty/.

2. En el panel de navegación, seleccione Configuración.

3. En la página Configuración, bajo Opciones de exportación de resultados, en Bucket de S3, elija Configurar ahora (o Editar, según sea necesario).

4. En ARN del bucket de S3, ingrese el bucket ARN. Para encontrar el ARN del bucket, consulte Ver las propiedades de un bucket de S3 en la Guía del usuario de Amazon S3.

5. En ARN de la clave de KMS, ingrese el key ARN. Para localizar el ARN de la clave, consulte Encontrar el ID y el ARN de la clave en la Guía para desarrolladores de AWS Key Management Service.

6. Asociar políticas

   • Siga los pasos para asociar la política del bucket de S3. Para obtener más información, consulte Paso 3: Asociar la política al bucket de Amazon S3.

   • Siga los pasos para asociar la política de clave de KMS. Para obtener más información, consulte Paso 2: Asociar la política a la clave de KMS.

7. Seleccione Save.

Establecimiento de la frecuencia

1. Abra la consola de GuardDuty en https://console.aws.amazon.com/guardduty/.

2. Seleccione Configuración.

3. En la sección Opciones de exportación de resultados, seleccione Frecuencia de los resultados actualizados. Establece la frecuencia de exportación de los resultados actualizados activos tanto a EventBridge como a Amazon S3. Puede elegir entre las siguientes opciones:

   • Actualizar EventBridge y S3 cada 15 minutos

   • Actualizar EventBridge y S3 cada 1 hora

   • Actualizar EventBridge y S3 cada 6 horas (predeterminado)

4. Seleccione Save changes (Guardar cambios).