我要如何為 GuardDuty 設定可信任 IP 地址清單？

簡短描述

您可以將 GuardDuty 設定為使用您自己的自訂可信任 IP 清單。使用此清單設定允許的 IP 地址，以便與 AWS 基礎設施和應用程式進行安全通訊。如需更多資訊，請參閱使用實體清單與 IP 位址清單自訂威脅偵測。

解決方法

建立可信任 IP 清單

檢閱可信任 IP 清單檔案的接受格式。然後，按照說明將檔案上傳到 Amazon Simple Storage Service (Amazon S3) 儲存貯體。

注意：可信任 IP 清單檔案的格式必須是 TXT、STIX、OTX_CSV、ALIEN_VAULT、PROOF_POINT 或 FIRE_EYE。可信任 IP 清單不支援 IPv6 地址。對於每個可信任 IP 清單，最多可以有 2000 個 IP 地址和 CIDR。每個偵測器資源只能有一個可信任 IP 清單。如需更多資訊，請參閱 Amazon GuardDuty 配額。

檢查 IAM 身分權限

確保您的 AWS Identity and Access Management (IAM) 身分具有可信任 IP 清單和 GuardDuty 的權限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "guardduty:*IPSet*",
        "guardduty:List*",
        "guardduty:Get*"
      ],
      "Resource": "*"
    }
  ]
}

請確保您的 IAM 身分對 GuardDuty 服務連結角色 AWSServiceRoleForAmazonGuardDuty: 具有 PutRolePolicy 和 DeleteRolePolicy 權限

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:DeleteRolePolicy",
        "iam:PutRolePolicy"
      ],
      "Resource": "arn:aws:iam::123456789123:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
    }
  ]
}

如需詳細資訊，請參閱編輯 IAM 政策。

在 GuardDuty 中新增並啟動可信任 IP 清單

1. 開啟 GuardDuty 主控台。
2. 在瀏覽窗格中，選擇清單。
3. 選擇新增可信任 IP 清單。
4. 在清單名稱中，輸入對您有意義的名稱。
5. 在位置中，輸入 S3 儲存貯體的位置。例如，https://s3.amazonaws.com/bucket-name/file.txt。
6. 選擇格式下拉式選單，然後選擇清單的檔案類型。
7. 選取我同意核取方塊，然後選擇新增清單。
8. 在可信任 IP 清單中，為您的可信任 IP 清單名稱選擇作用中。

**注意：**清單最多可能需要 15 分鐘才能啟用。

如果您在 GuardDuty 中變更可信任 IP 清單，則必須更新清單，然後重新啟用該清單。如需操作說明，請參閱更新實體清單或 IP 位址清單。

相關資訊

如何使用 Amazon GuardDuty 和 AWS Web Application Firewall 自動封鎖可疑主機

GuardDuty 為什麼會傳送有關可信任 IP 清單地址的警示調查結果給我？