Exemples de politiques basées sur l'identité pour Amazon GuardDuty

Par défaut, les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier GuardDuty des ressources. Ils ne peuvent pas non plus effectuer de tâches à l'aide de l'API AWS Management Console, AWS Command Line Interface (AWS CLI) ou de AWS l'API. Pour octroyer aux utilisateurs des autorisations d’effectuer des actions sur les ressources dont ils ont besoin, un administrateur IAM peut créer des politiques IAM. L’administrateur peut ensuite ajouter les politiques IAM aux rôles et les utilisateurs peuvent assumer les rôles.

Pour apprendre à créer une politique basée sur l’identité IAM à l’aide de ces exemples de documents de politique JSON, consultez Création de politiques dans l’onglet JSON dans le Guide de l’utilisateur IAM.

Pour plus de détails sur les actions et les types de ressources définis par GuardDuty, y compris le format des ARN pour chacun des types de ressources, consultez la section Actions, ressources et clés de condition pour Amazon GuardDuty dans le Service Authorization Reference.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer GuardDuty des ressources dans votre compte. Ces actions peuvent entraîner des frais pour votre Compte AWS. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

• Commencez AWS par les politiques gérées et passez aux autorisations du moindre privilège : pour commencer à accorder des autorisations à vos utilisateurs et à vos charges de travail, utilisez les politiques AWS gérées qui accordent des autorisations pour de nombreux cas d'utilisation courants. Ils sont disponibles dans votre Compte AWS. Nous vous recommandons de réduire davantage les autorisations en définissant des politiques gérées par les AWS clients spécifiques à vos cas d'utilisation. Pour plus d’informations, consultez politiques gérées par AWS ou politiques gérées par AWS pour les activités professionnelles dans le Guide de l’utilisateur IAM.

• Accorder les autorisations de moindre privilège : lorsque vous définissez des autorisations avec des politiques IAM, accordez uniquement les autorisations nécessaires à l’exécution d’une seule tâche. Pour ce faire, vous définissez les actions qui peuvent être entreprises sur des ressources spécifiques dans des conditions spécifiques, également appelées autorisations de moindre privilège. Pour plus d’informations sur l’utilisation de IAM pour appliquer des autorisations, consultez politiques et autorisations dans IAM dans le Guide de l’utilisateur IAM.

• Utiliser des conditions dans les politiques IAM pour restreindre davantage l’accès : vous pouvez ajouter une condition à vos politiques afin de limiter l’accès aux actions et aux ressources. Par exemple, vous pouvez écrire une condition de politique pour spécifier que toutes les demandes doivent être envoyées via SSL. Vous pouvez également utiliser des conditions pour accorder l'accès aux actions de service si elles sont utilisées par le biais d'un service spécifique Service AWS, tel que AWS CloudFormation. Pour plus d’informations, consultez Conditions pour éléments de politique JSON IAM dans le Guide de l’utilisateur IAM.

• Utilisez IAM Access Analyzer pour valider vos politiques IAM afin de garantir des autorisations sécurisées et fonctionnelles : IAM Access Analyzer valide les politiques nouvelles et existantes de manière à ce que les politiques IAM respectent le langage de politique IAM (JSON) et les bonnes pratiques IAM. IAM Access Analyzer fournit plus de 100 vérifications de politiques et des recommandations exploitables pour vous aider à créer des politiques sécurisées et fonctionnelles. Pour plus d’informations, consultez Validation de politique IAM Access Analyzer dans le Guide de l’utilisateur IAM.

• Exiger l'authentification multifactorielle (MFA) : si vous avez un scénario qui nécessite des utilisateurs IAM ou un utilisateur root, activez l'authentification MFA pour une sécurité accrue. Compte AWS Pour exiger le MFA lorsque des opérations d’API sont appelées, ajoutez des conditions MFA à vos politiques. Pour plus d’informations, consultez Configuration de l’accès aux API protégé par MFA dans le Guide de l’utilisateur IAM.

Pour plus d’informations sur les bonnes pratiques dans IAM, consultez Bonnes pratiques de sécurité dans IAM dans le Guide de l’utilisateur IAM.

Utilisation de la console GuardDuty

Pour accéder à la GuardDuty console Amazon, vous devez disposer d'un ensemble minimal d'autorisations. Ces autorisations doivent vous permettre de répertorier et d'afficher les détails GuardDuty des ressources de votre Compte AWS. Si vous créez une stratégie basée sur l’identité qui est plus restrictive que l’ensemble minimum d’autorisations requis, la console ne fonctionnera pas comme prévu pour les entités (utilisateurs ou rôles) tributaires de cette stratégie.

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux utilisateurs qui appellent uniquement l'API AWS CLI ou l' AWS API. Autorisez plutôt l’accès à uniquement aux actions qui correspondent à l’opération d’API qu’ils tentent d’effectuer.

Pour garantir que les utilisateurs et les rôles peuvent toujours utiliser la GuardDuty console, associez également la politique GuardDuty ConsoleAccess ou la politique ReadOnly AWS gérée aux entités. Pour plus d’informations, consultez Ajout d’autorisations à un utilisateur dans le Guide de l’utilisateur IAM.

Autorisations requises pour activer GuardDuty

Pour accorder les autorisations nécessaires aux différentes identités IAM (utilisateurs, groupes et rôles), attachez la AWS politique gérée : AmazonGuardDutyFullAccess politique requise à activer GuardDuty.

Autorisation accordée aux utilisateurs pour afficher leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux utilisateurs IAM d’afficher les politiques en ligne et gérées attachées à leur identité d’utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide de l'API AWS CLI or AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws:iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Politique IAM personnalisée pour accorder un accès en lecture seule à GuardDuty

Pour accorder un accès en lecture seule, GuardDuty vous pouvez utiliser la politique AmazonGuardDutyReadOnlyAccess gérée.

Pour créer une politique personnalisée qui accorde à un rôle, à un utilisateur ou à un groupe IAM un accès en lecture seule GuardDuty, vous pouvez utiliser l'instruction suivante :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:ListMembers",
                "guardduty:GetMembers",
                "guardduty:ListInvitations",
                "guardduty:ListDetectors",
                "guardduty:GetDetector",
                "guardduty:ListFindings",
                "guardduty:GetFindings",
                "guardduty:ListIPSets",
                "guardduty:GetIPSet",
                "guardduty:ListThreatIntelSets",
                "guardduty:GetThreatIntelSet",
                "guardduty:GetMasterAccount",
                "guardduty:GetInvitationsCount",
                "guardduty:GetFindingsStatistics",
                "guardduty:DescribeMalwareScans",
                "guardduty:UpdateMalwareScanSettings",
                "guardduty:GetMalwareScanSettings"
            ],
            "Resource": "*"
        }
    ]
}

Refuser l'accès aux GuardDuty résultats

Vous pouvez utiliser la politique suivante pour refuser à un rôle, à un utilisateur ou à un groupe IAM l'accès aux GuardDuty résultats. Les utilisateurs ne peuvent pas consulter les résultats ni les détails les concernant, mais ils peuvent accéder à toutes les autres GuardDuty opérations :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "guardduty:CreateDetector",
                "guardduty:DeleteDetector",
                "guardduty:UpdateDetector",
                "guardduty:GetDetector",
                "guardduty:ListDetectors",
                "guardduty:CreateIPSet",
                "guardduty:DeleteIPSet",
                "guardduty:UpdateIPSet",
                "guardduty:GetIPSet",
                "guardduty:ListIPSets",
                "guardduty:CreateThreatIntelSet",
                "guardduty:DeleteThreatIntelSet",
                "guardduty:UpdateThreatIntelSet",
                "guardduty:GetThreatIntelSet",                      
                "guardduty:ListThreatIntelSets",
                "guardduty:ArchiveFindings",
                "guardduty:UnarchiveFindings",
                "guardduty:CreateSampleFindings",
                "guardduty:CreateMembers",
                "guardduty:InviteMembers",
                "guardduty:GetMembers",
                "guardduty:DeleteMembers",
                "guardduty:DisassociateMembers",
                "guardduty:StartMonitoringMembers",
                "guardduty:StopMonitoringMembers",
                "guardduty:ListMembers",
                "guardduty:GetMasterAccount",
                "guardduty:DisassociateFromMasterAccount",
                "guardduty:AcceptAdministratorInvitation",
                "guardduty:ListInvitations",
                "guardduty:GetInvitationsCount",
                "guardduty:DeclineInvitations",
                "guardduty:DeleteInvitations"
            ],
            "Resource": "*"
        }, 
         {
            "Effect": "Allow",
            "Action": [
                "iam:CreateServiceLinkedRole"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
            "Condition": {
                "StringLike": {
                    "iam:AWSServiceName": "guardduty.amazonaws.com"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PutRolePolicy",
                "iam:DeleteRolePolicy"
            ],
            "Resource": "arn:aws:iam::123456789012:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
        }
    ]
}

Utilisation d'une politique IAM personnalisée pour limiter l'accès aux ressources GuardDuty

Pour définir l'accès d'un utilisateur en GuardDuty fonction de l'ID du détecteur, vous pouvez utiliser toutes les actions d'GuardDutyAPI dans vos politiques IAM personnalisées, à l'exception des opérations suivantes :

• guardduty:CreateDetector

• guardduty:DeclineInvitations

• guardduty:DeleteInvitations

• guardduty:GetInvitationsCount

• guardduty:ListDetectors

• guardduty:ListInvitations

Utilisez les opérations suivantes dans une politique IAM pour définir l'accès d'un utilisateur en GuardDuty fonction de l'ID et de l'ID IPSet ThreatIntelSet  :

• guardduty:DeleteIPSet

• guardduty:DeleteThreatIntelSet

• guardduty:GetIPSet

• guardduty:GetThreatIntelSet

• guardduty:UpdateIPSet

• guardduty:UpdateThreatIntelSet

Les exemples suivants montrent comment créer des stratégies à l'aide de certains des opérations précédentes :

• Cette politique permet à un utilisateur d'exécuter l'opération guardduty:UpdateDetector, à l'aide de l'ID de détecteur 1234567 dans la région us-east-1 :

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                   "guardduty:UpdateDetector",
               ],
              "Resource": "arn:aws:guardduty:us-east-1:123456789012:detector/1234567"
          }
      ]
  }

• Cette politique permet à un utilisateur d'exécuter l'opération guardduty:UpdateIPSet, à l'aide de l'ID de détecteur 1234567 et de l'ID IPSet 000000 de la région us-east-1 :

  Note

  Assurez-vous que l'utilisateur dispose des autorisations requises pour accéder aux listes d'adresses IP fiables et aux listes de menaces dans GuardDuty. Pour plus d’informations, consultez Autorisations requises pour charger les listes d'adresses IP approuvées et les listes de menaces.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                   "guardduty:UpdateIPSet",
               ],
              "Resource": "arn:aws:guardduty:us-east-1:123456789012:detector/1234567/ipset/000000"
          }
      ]
  } 
                  

• Cette politique permet à un utilisateur d'exécuter l'opération guardduty:UpdateIPSet, à l'aide de n'importe quel ID de détecteur et de l'ID IPSet 000000 de la région us-east-1 :

  Note

  Assurez-vous que l'utilisateur dispose des autorisations requises pour accéder aux listes d'adresses IP fiables et aux listes de menaces dans GuardDuty. Pour plus d’informations, consultez Autorisations requises pour charger les listes d'adresses IP approuvées et les listes de menaces.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                   "guardduty:UpdateIPSet",
               ],
              "Resource": "arn:aws:guardduty:us-east-1:123456789012:detector/*/ipset/000000"
          }
      ]
  }

• Cette politique permet à un utilisateur d'exécuter l'opération guardduty:UpdateIPSet, à l'aide de son ID de détecteur et de n'importe quel ID IPSet de la région us-east-1 :

  Note

  Assurez-vous que l'utilisateur dispose des autorisations requises pour accéder aux listes d'adresses IP fiables et aux listes de menaces dans GuardDuty. Pour plus d’informations, consultez Autorisations requises pour charger les listes d'adresses IP approuvées et les listes de menaces.

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                   "guardduty:UpdateIPSet",
               ],
              "Resource": "arn:aws:guardduty:us-east-1:123456789012:detector/1234567/ipset/*"
          }
      ]
  }