AWS políticas gestionadas para Amazon GuardDuty

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

Se han añadido los vpc-lattice:AssociateViaAWSService permisos vpc-lattice:CreateServiceNetworkVpcAssociation y, que permiten GuardDuty utilizar las acciones de Amazon VPC Lattice para habilitar la conectividad del agente de Runtime Monitoring. La GdLatticeCreateManagedSnvaAssociation sentencia permite GuardDuty crear una asociación de VPC de red de servicios para los recursos de la misma cuenta. La GdLatticeAssociateViaAwsService declaración permite completar la asociación GuardDuty a través de Amazon VPC Lattice.

{
                                "Sid": "GdLatticeCreateManagedSnvaAssociation",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:CreateServiceNetworkVpcAssociation",
                                "Resource": "arn:aws:vpc-lattice:*:*:servicenetworkvpcassociation/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            },
                            {
                                "Sid": "GdLatticeAssociateViaAwsService",
                                "Effect": "Allow",
                                "Action": "vpc-lattice:AssociateViaAWSService",
                                "Resource": "*"
                            }

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

Se han añadido s3:ListBucket permisos para recuperar las listas de buckets de S3 ecs:DescribeTasks y ecs:DescribeTaskDefinition permisos para recuperar información sobre las tareas y definiciones de tareas de Amazon ECS.

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

Se agregó el cloudtrail:CreateServiceLinkedChannel permiso para habilitar un mecanismo adicional para consumir AWS CloudTrail eventos.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }

Esta política se ha reemplazado por una política de ámbito reducido denominada AmazonGuardDutyFullAccess_v2.

Después del 13 de marzo de 2026, no podrás adjuntar la AmazonGuardDutyFullAccess política a ningún usuario, grupo o rol nuevo. Para obtener más información, consulte AWS política gestionada: AmazonGuardDutyFullAccess_v2 (recomendado).

AmazonGuardDutyFullAccess_v2: actualización de una política actual

Se ha añadido un permiso que permite transferir una función de IAM GuardDuty al activar Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess: actualización de una política actual

Se ha añadido un permiso que permite transferir una función de IAM GuardDuty al activar Malware Protection for AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess_v2 agregó una nueva política.

Se agregó una nueva política AmazonGuardDutyFullAccess_v2. Se recomienda esta opción porque sus permisos mejoran la seguridad al restringir las acciones administrativas a los directores de GuardDuty servicio en función de las funciones y políticas de IAM y de la integración. AWS Organizations

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

Se agregó el permiso ec2:DescribeVpcs. Esto permite GuardDuty realizar un seguimiento de las actualizaciones de la VPC, como la recuperación del CIDR de la VPC.

AmazonGuardDutyFullAccess: actualización de una política actual

Se ha añadido un permiso que permite transferir una función de IAM al activar la protección contra GuardDuty malware para S3.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy: actualización de una política existente.

Use AWS Systems Manager acciones para administrar las asociaciones de SSM en las instancias de Amazon EC2 cuando habilite la supervisión del GuardDuty tiempo de ejecución con un agente automatizado para Amazon EC2. Cuando la configuración GuardDuty automatizada del agente está inhabilitada, GuardDuty considere únicamente las instancias EC2 que tengan una etiqueta de inclusión (:). GuardDutyManaged true

AmazonGuardDutyServiceRolePolicy: actualización de una política existente.

GuardDuty ha añadido un nuevo permiso: organization:DescribeOrganization recuperar el ID de organización de la cuenta de Amazon VPC compartida y establecer la política de puntos finales de Amazon VPC con el ID de organización.

AmazonGuardDutyMalwareProtectionServiceRolePolicy: actualización de una política existente.

Malware Protection for EC2 ha añadido dos permisos: GetSnapshotBlock obtener la instantánea de un volumen de EBS (cifrada mediante Clave administrada de AWS) de su cuenta de servicio Cuenta de AWS y copiarla en la cuenta de GuardDuty servicio antes de iniciar el análisis de malware. ListSnapshotBlocks

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

Se han añadido nuevos permisos para poder añadir GuardDuty la configuración de la cuenta de guarddutyActivate Amazon ECS y realizar operaciones de enumeración y descripción en los clústeres de Amazon ECS.

AmazonGuardDutyReadOnlyAccess: actualización de una política actual

16 de noviembre de 2023

AmazonGuardDutyFullAccess: actualización de una política actual

16 de noviembre de 2023

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

GuardDuty agregó nuevos permisos para admitir la próxima función de monitoreo del tiempo de ejecución de GuardDuty EKS.

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

GuardDuty ha agregado nuevos permisos que permiten GuardDuty crear un Service-linked rol para la protección contra malware en EC2. Esto ayudará a GuardDuty agilizar el proceso de activación de la protección contra malware para EC2.

GuardDuty ahora puede realizar la siguiente acción de IAM:

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess: actualización de una política actual

GuardDuty se actualizó el ARN para. iam:GetRole *AWSServiceRoleForAmazonGuardDutyMalwareProtection

AmazonGuardDutyFullAccess: actualización de una política actual

GuardDuty se agregó una nueva AWSServiceName para permitir la creación de una función vinculada a un servicio que se utilice iam:CreateServiceLinkedRole para el servicio GuardDuty Malware Protection for EC2.

GuardDuty ahora puede realizar la iam:GetRole acción para obtener información sobre. AWSServiceRole

AmazonGuardDutyServiceRolePolicy: actualización de una política actual

GuardDuty se agregaron nuevos permisos GuardDuty para permitir el uso de las acciones de red de Amazon EC2 para mejorar los resultados.

GuardDuty ahora puede realizar las siguientes acciones de EC2 para obtener información sobre cómo se comunican sus instancias de EC2. Esta información se utiliza para mejorar la precisión de los resultados.

GuardDuty comenzó a rastrear los cambios

GuardDuty comenzó a rastrear los cambios de sus políticas AWS administradas.