Amazon GuardDuty の AWS マネージドポリシー

AmazonGuardDutyFullAccess_v2 – は新しいポリシーを追加しました。

新しい AmazonGuardDutyFullAccess_v2 ポリシーを追加しました。このアクセス許可は、IAM ロールとポリシー、および AWS Organizations 統合に基づいて管理アクションを GuardDuty サービスプリンシパルに制限することでセキュリティを強化するために推奨されます。

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新

ec2:DescribeVpcs アクセス許可を追加しました。これにより、GuardDuty は VPC CIDR を取得するなど VPC の更新を追跡できます。

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新

Malware Protection for S3 を有効にするときに IAM ロールを GuardDuty に渡すことができるアクセス許可を追加しました。

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新。

Amazon EC2 の自動エージェントによる GuardDuty Runtime Monitoring を有効にする場合、AWS Systems Manager アクションを使用して Amazon EC2 インスタンスの SSM 関連付けを管理します。GuardDuty 自動エージェント設定が無効になっている場合、GuardDuty は包含タグ (GuardDutyManaged:true) を持つ EC2 インスタンスのみを考慮します。

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新。

GuardDuty に新しいアクセス許可 organization:DescribeOrganization を追加しました。共有 Amazon VPC アカウントの組織 ID を取得し、組織 ID で Amazon VPC エンドポイントポリシーを設定するのが目的です。

AmazonGuardDutyMalwareProtectionServiceRolePolicy – 既存のポリシーへの更新。

Malware Protection for EC2 に GetSnapshotBlock と ListSnapshotBlocks の 2 つのアクセス許可を追加しました。マルウェアスキャンを開始する前に、AWS アカウントから EBS ボリューム (AWS マネージドキーを使用して暗号化) のスナップショットを取得して、GuardDuty サービスアカウントにコピーするのが目的です。

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新

新たな許可を追加したことで、GuardDuty による guarddutyActivate Amazon ECS アカウント設定の追加が可能となり、Amazon ECS クラスターでリスト操作と説明操作を実行できるようになりました。

AmazonGuardDutyReadOnlyAccess – 既存ポリシーへの更新

2023 年 11 月 16 日

AmazonGuardDutyFullAccess – 既存ポリシーへの更新

2023 年 11 月 16 日

AmazonGuardDutyServiceRolePolicy – 既存ポリシーへの更新

GuardDuty に、近日公開予定の GuardDuty EKS Runtime Monitoring 機能をサポートする新しい許可を追加されました。

AmazonGuardDutyServiceRolePolicy - 既存のポリシーへの更新

Malware Protection for EC2 のサービスリンクロールを作成できるようにする新しい許可を GuardDuty に追加しました。これにより、GuardDuty は Malware Protection for EC2 を有効にするプロセスを効率化できます。

GuardDuty は次の IAM アクションを実行できるようになりました。

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess – 既存ポリシーへの更新

GuardDuty が iam:GetRole の ARN を *AWSServiceRoleForAmazonGuardDutyMalwareProtection に更新しました。

AmazonGuardDutyFullAccess – 既存ポリシーへの更新

GuardDuty に新しい AWSServiceName を追加しました。GuardDuty Malware Protection for EC2 サービスの iam:CreateServiceLinkedRole を使用して、サービスリンクロールを作成できるようにするのが目的です。

GuardDuty で、AWSServiceRole の情報を得るための iam:GetRole アクションを実行できるようになりました。

AmazonGuardDutyServiceRolePolicy – 既存ポリシーへの更新

GuardDuty は、GuardDuty が Amazon EC2 ネットワークアクションを使用して検出結果を改善できるようにするための新しい許可を追加しました。

GuardDuty は次の EC2 アクションを実行して、EC2 インスタンスの通信方法に関する情報を取得できるようになりました。この情報は、検出結果の精度を向上させるために使用されます。

GuardDuty が変更のトラッキングを開始しました

GuardDuty が、AWS マネージドポリシーの変更の追跡を開始しました。