Exportation des GuardDuty résultats générés vers des compartiments Amazon S3

Pour modifier la politique de clé KMS GuardDuty afin de chiffrer vos résultats exportés

1. Ouvrez la AWS KMS console à l'adresse https://console.aws.amazon.com/kms.

2. Pour modifier la Région AWS, utilisez le sélecteur de région situé dans le coin supérieur droit de la page.

3. Sélectionnez une clé KMS existante ou suivez les étapes pour créer une nouvelle clé dans le Guide du AWS Key Management Service développeur, que vous utiliserez pour crypter les résultats exportés.

   Note

   La Région AWS valeur de votre clé KMS et celle du compartiment Amazon S3 doivent être identiques.

   Vous pouvez utiliser le même compartiment S3 et la même paire de clés KMS pour exporter les résultats depuis n'importe quelle région applicable. Pour plus d'informations, consultez la section consacrée Considérations à l'exportation des résultats d'une région à l'autre.

4. Dans la section Key policy (Politique de clé), choisissez Edit (Modifier).

   Si l'option Passer en mode stratégie s'affiche, choisissez-la pour afficher la politique clé, puis choisissez Modifier.

5. Copiez le bloc de politique suivant dans votre politique de clé KMS, pour GuardDuty autoriser l'utilisation de votre clé.

   {    
       "Sid": "AllowGuardDutyKey",
       "Effect": "Allow",
       "Principal": {
           "Service": "guardduty.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "KMS key ARN",
       "Condition": {
           "StringEquals": {
               "aws:SourceAccount": "123456789012",
               "aws:SourceArn": "arn:aws:guardduty:Region2:123456789012:detector/SourceDetectorID"	
           }
       }
   }

6. Modifiez la politique en remplaçant les valeurs suivantes qui sont mises en forme red dans l'exemple de stratégie :

   1. KMS key ARNRemplacez-le par l'Amazon Resource Name (ARN) de la clé KMS. Pour localiser l'ARN de la clé, consultez la section Recherche de l'ID de clé et de l'ARN dans le Guide du AWS Key Management Service développeur.

   2. 123456789012Remplacez-le par l' Compte AWS identifiant propriétaire du GuardDuty compte exportant les résultats.

   3. Remplacez Region2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

   4. Remplacer SourceDetectorID par le detectorID nom du GuardDuty compte dans la région spécifique où les résultats ont été générés.

      detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

   Note

   Si vous utilisez GuardDuty dans une région optionnelle, remplacez la valeur du « Service » par le point de terminaison régional de cette région. Par exemple, si vous utilisez GuardDuty dans la région Moyen-Orient (Bahreïn) (me-south-1), remplacez par"Service": "guardduty.amazonaws.com". "Service": "guardduty.me-south-1.amazonaws.com" Pour plus d'informations sur les points de terminaison pour chaque région optionnelle, consultez la section GuardDuty Points de terminaison et quotas.

7. Si vous avez ajouté la déclaration de politique avant la déclaration finale, ajoutez une virgule avant d'ajouter cette déclaration. Assurez-vous que la syntaxe JSON de votre politique de clé KMS est valide.

   Choisissez Enregistrer.

8. (Facultatif) copiez l'ARN de la clé dans un bloc-notes pour l'utiliser ultérieurement.

1. Suivez les étapes décrites dans la section Pour créer ou modifier une politique de compartiment dans le guide de l'utilisateur Amazon S3, jusqu'à ce que la page Modifier la politique de compartiment apparaisse.

2. L'exemple de politique montre comment accorder GuardDuty l'autorisation d'exporter les résultats vers votre compartiment Amazon S3. Si vous modifiez le chemin après avoir configuré les résultats de l'exportation, vous devez modifier la politique pour accorder l'autorisation d'accéder au nouvel emplacement.

   Copiez l'exemple de politique suivant et collez-le dans l'éditeur de politiques Bucket.

   Si vous avez ajouté la déclaration de politique avant la déclaration finale, ajoutez une virgule avant d'ajouter cette déclaration. Assurez-vous que la syntaxe JSON de votre politique de clé KMS est valide.

   Exemple de stratégie de compartiment S3

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Sid": "Allow GetBucketLocation",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:GetBucketLocation",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Allow PutObject",
               "Effect": "Allow",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringEquals": {
                       "aws:SourceAccount": "123456789012",
                       "aws:SourceArn": "arn:aws:guardduty:us-east-2:123456789012:detector/SourceDetectorID"	
   
                   }
               }
           },
           {
               "Sid": "Deny unencrypted object uploads",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                       "s3:x-amz-server-side-encryption": "aws:kms"
                   }
               }
           },
           {
               "Sid": "Deny incorrect encryption header",
               "Effect": "Deny",
               "Principal": {
                   "Service": "guardduty.amazonaws.com"
               },
               "Action": "s3:PutObject",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "StringNotEquals": {
                   "s3:x-amz-server-side-encryption-aws-kms-key-id": "arn:aws:kms:us-east-2:111122223333:key/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"
                   }
               }
           },
           {
               "Sid": "Deny non-HTTPS access",
               "Effect": "Deny",
               "Principal": "*",
               "Action": "s3:*",
               "Resource": "arn:aws:s3:::amzn-s3-demo-bucket[optional prefix]/*",
               "Condition": {
                   "Bool": {
                       "aws:SecureTransport": "false"
                   }
               }
           }
       ]
   }
   

3. Modifiez la politique en remplaçant les valeurs suivantes qui sont mises en forme red dans l'exemple de stratégie :

   1. Amazon S3 bucket ARNRemplacez-le par le nom de ressource Amazon (ARN) du compartiment Amazon S3. L'ARN du bucket se trouve sur la page Modifier la politique du bucket de la https://console.aws.amazon.com/s3/ console.

   2. 123456789012Remplacez-le par l' Compte AWS identifiant propriétaire du GuardDuty compte exportant les résultats.

   3. Remplacez us-east-2 par l' Région AWS endroit où les GuardDuty résultats sont générés.

   4. Remplacer SourceDetectorID par le detectorID nom du GuardDuty compte dans la région spécifique où les résultats ont été générés.

      detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

   5. Remplacez une [optional prefix] partie de la valeur de l'S3 bucket ARN/[optional prefix]espace réservé par un emplacement de dossier facultatif vers lequel vous souhaitez exporter les résultats. Pour plus d'informations sur l'utilisation des préfixes, consultez la section Organisation des objets à l'aide de préfixes dans le guide de l'utilisateur Amazon S3.

      Lorsque vous indiquez un emplacement de dossier facultatif, le dossier doit déjà exister dans le compartiment S3. GuardDuty ne crée pas le dossier en votre nom. Cette exigence s'applique quel que soit le propriétaire du compartiment.

   6. Remplacez KMS key ARN par l'Amazon Resource Name (ARN) de la clé KMS associée au chiffrement des résultats exportés vers le compartiment S3. Pour localiser l'ARN de la clé, consultez la section Recherche de l'ID de clé et de l'ARN dans le Guide du AWS Key Management Service développeur.

   Note

   Si vous utilisez GuardDuty dans une région optionnelle, remplacez la valeur du « Service » par le point de terminaison régional de cette région. Par exemple, si vous utilisez GuardDuty dans la région Moyen-Orient (Bahreïn) (me-south-1), remplacez par"Service": "guardduty.amazonaws.com". "Service": "guardduty.me-south-1.amazonaws.com" Pour plus d'informations sur les points de terminaison pour chaque région optionnelle, consultez la section GuardDuty Points de terminaison et quotas.

4. Choisissez Enregistrer.

Pour configurer les résultats de l'exportation

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le panneau de navigation, sélectionnez Settings (Paramètres).

3. Sur la page Paramètres, sous Options d'exportation des résultats, pour le compartiment S3, choisissez Configurer maintenant (ou Modifier, selon les besoins).

4. Pour l'ARN du compartiment S3, entrez lebucket ARN. Pour trouver l'ARN du compartiment, consultez la section Affichage des propriétés d'un compartiment S3 dans le guide de l'utilisateur Amazon S3.

5. Pour l'ARN de la clé KMS, entrez le key ARN. Pour localiser l'ARN de la clé, consultez la section Recherche de l'ID de clé et de l'ARN dans le Guide du AWS Key Management Service développeur.

6. Joindre des politiques

   • Suivez les étapes pour joindre la politique de compartiment S3. Pour de plus amples informations, veuillez consulter Étape 3 — Associer une politique au compartiment Amazon S3.

   • Suivez les étapes pour joindre la politique de clé KMS. Pour de plus amples informations, veuillez consulter Étape 2 — Associer une politique à votre clé KMS.

7. Choisissez Enregistrer.

Pour définir la fréquence

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Cliquez sur Paramètres.

3. Dans la section Options d'exportation des résultats choisissez Fréquence des résultats mis à jour. Cela définit la fréquence d'exportation des résultats Active mis à jour à la fois vers Amazon S3 EventBridge et vers Amazon S3. Sélectionnez parmi les éléments suivants :

   • Mise à jour EventBridge et S3 toutes les 15 minutes

   • Mise à jour EventBridge et S3 toutes les 1 heure

   • Mise à jour EventBridge et S3 toutes les 6 heures (par défaut)

4. Sélectionnez Enregistrer les modifications.