Wie richte ich eine Liste zuverlässiger IP-Adressen für GuardDuty ein?

Kurzbeschreibung

Du kannst GuardDuty so konfigurieren, dass es deine eigene benutzerdefinierte Liste zuverlässiger IP-Adressen verwendet. Verwende diese Liste, um die zulässigen IP-Adressen für die sichere Kommunikation mit der AWS-Infrastruktur und den AWS-Anwendungen zu konfigurieren. Weitere Informationen findest du unter Anpassen der Bedrohungserkennung mit Entitätslisten und IP-Adresslisten.

Lösung

Eine Liste zuverlässiger IP-Adressen erstellen

Überprüfe das akzeptierte Format für Dateien mit Listen zuverlässiger IP-Adressen. Befolge dann die Anweisungen, um die Datei in einen Amazon Simple Storage Service (Amazon S3)-Bucket hochzuladen.

Hinweis: Die Datei mit Listen zuverlässiger IP-Adressen muss im Format TXT, STIX, OTX_CSV, ALIEN_VAULT, PROOF_POINT oder FIRE_EYE vorliegen. Die Liste der zuverlässigen IP-Adressen unterstützt keine IPv6-Adressen. Du kannst für jede Liste zuverlässiger IP-Adressen eine maximale Anzahl von 2 000 IP-Adressen und CIDR angeben. Du darfst nur eine zuverlässige IP-Liste pro Detektor-Ressource haben. Weitere Informationen findest du unter Amazon-GuardDuty-Kontingente.

Die IAM-Identitätsberechtigungen überprüfen

Stelle sicher, dass deine AWS Identity and Access Management (IAM)-Identität über Berechtigungen für zuverlässige IP-Listen und GuardDuty verfügt:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "guardduty:*IPSet*",
        "guardduty:List*",
        "guardduty:Get*"
      ],
      "Resource": "*"
    }
  ]
}

Vergewissere dich, dass die IAM-Identität über die Berechtigungen für PutRolePolicy und DeleteRolePolicy für die mit dem GuardDuty-Service verknüpfte Rolle AWSServiceRoleForAmazonGuardDuty verfügt:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:DeleteRolePolicy",
        "iam:PutRolePolicy"
      ],
      "Resource": "arn:aws:iam::123456789123:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
    }
  ]
}

Weitere Informationen findest du unter IAM-Richtlinien bearbeiten.

Eine Liste zuverlässiger IP-Adressen in GuardDuty hinzufügen und aktivieren

1. Öffne die GuardDuty-Konsole.
2. Wähle im Navigationsbereich Listen aus.
3. Wähle Eine Liste zuverlässiger IPs hinzufügen aus.
4. Gib für Listenname einen Namen ein, der für dich von Bedeutung ist.
5. Gib für Pfad den Pfad für deinen S3-Bucket ein. Zum Beispiel https://s3.amazonaws.com/bucket-name/file.txt.
6. Wähle das Dropdown-Menü Format und wähle dann den Dateityp deiner Liste aus.
7. Markiere das Kontrollkästchen Ich stimme zu und wähle dann Liste hinzufügen.
8. Wähle unter Liste zuverlässiger IPs die Option Aktiv als Namen der Liste vertrauenswürdigen IP-Adressen aus.

Hinweis: Es kann bis zu 15 Minuten dauern, bis die Liste aktiviert ist.

Wenn du eine Liste zuverlässiger IP-Adressen in GuardDuty änderst, musst du die Liste aktualisieren und anschließend erneut aktivieren. Anweisungen findest du unter Entitätsliste oder Liste der IP-Adressen aktualisieren.

Ähnliche Informationen

So verwendest du Amazon GuardDuty und AWS Web Application Firewall, um verdächtige Hosts automatisch zu blockieren

Warum hat mir GuardDuty Warnmeldungen für eine Liste zuverlässiger IP-Adressen geschickt?