AWS políticas gerenciadas para a Amazon GuardDuty

AmazonGuardDutyServiceRolePolicy: atualizar para uma política existente

Foi adicionada a cloudtrail:CreateServiceLinkedChannel permissão para ativar um mecanismo adicional para consumir AWS CloudTrail eventos.

{
                                "Sid": "CloudTrailCreateServiceLinkedChannelSid",
                                "Effect": "Allow",
                                "Action": [
                                    "cloudtrail:CreateServiceLinkedChannel"
                                ],
                                "Resource": "arn:aws:cloudtrail:*:*:channel/aws-service-channel/guardduty/*",
                                "Condition": {
                                    "StringEquals": {
                                        "aws:ResourceAccount": "${aws:PrincipalAccount}"
                                    }
                                }
                            }

Esta política foi substituída por uma política com escopo reduzido chamada AmazonGuardDutyFullAccess_v2.

Depois de 13 de março de 2026, você não poderá vincular a AmazonGuardDutyFullAccess política a novos usuários, grupos ou funções. Para obter mais informações, consulte AWS política gerenciada: AmazonGuardDutyFullAccess_v2 (recomendado).

AmazonGuardDutyFullAccess_v2 – atualização para uma política existente

Permissão adicionada que permite passar uma função do IAM para GuardDuty quando você ativa a Proteção contra Malware para AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess – atualização para uma política existente

Permissão adicionada que permite passar uma função do IAM para GuardDuty quando você ativa a Proteção contra Malware para AWS Backup.

{
                                    "Sid": "AllowPassRoleToMalwareProtection",
                                    "Effect": "Allow",
                                    "Action": [
                                        "iam:PassRole"
                                    ],
                                    "Resource": "arn:aws:iam::*:role/*",
                                    "Condition": {
                                        "StringEquals": {
                                            "iam:PassedToService": [
                                                "malware-protection-plan.guardduty.amazonaws.com",
                                                "malware-protection.guardduty.amazonaws.com"
                                            ]
                                        }
                                    }
                        }

AmazonGuardDutyFullAccess_v2 - Adicionou uma nova política

Nova política AmazonGuardDutyFullAccess_v2 adicionada. Isso é recomendado porque suas permissões aumentam a segurança ao restringir as ações administrativas aos diretores GuardDuty de serviços com base nas funções, políticas e integração do IAM. AWS Organizations

AmazonGuardDutyServiceRolePolicy – atualização para uma política existente

Adicionou a permissão ec2:DescribeVpcs. Isso permite rastrear GuardDuty as atualizações da VPC, como a recuperação do CIDR da VPC.

AmazonGuardDutyFullAccess – atualização para uma política existente

Permissão adicionada que permite que você passe uma função do IAM para GuardDuty quando você ativa a Proteção contra Malware para S3.

{
            "Sid": "AllowPassRoleToMalwareProtectionPlan",
            "Effect": "Allow",
            "Action": [
                "iam:PassRole"
            ],
            "Resource": "arn:aws:iam::*:role/*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "malware-protection-plan.guardduty.amazonaws.com"
                }
            }
}

AmazonGuardDutyServiceRolePolicy: atualizar para uma política existente.

Use AWS Systems Manager ações para gerenciar associações de SSM em instâncias do Amazon EC2 ao GuardDuty habilitar o Runtime Monitoring com agente automatizado para o Amazon EC2. Quando a configuração GuardDuty automatizada do agente está desativada, GuardDuty considera somente as instâncias do EC2 que têm uma tag de inclusão (GuardDutyManaged:true).

AmazonGuardDutyServiceRolePolicy: atualizar para uma política existente.

GuardDuty adicionou uma nova permissão: organization:DescribeOrganization recuperar o ID da organização da conta compartilhada da Amazon VPC e definir a política de endpoint do Amazon VPC com o ID da organização.

AmazonGuardDutyMalwareProtectionServiceRolePolicy: atualizar para uma política existente.

O Malware Protection for EC2 adicionou duas permissões: obter o snapshot de um volume do EBS (usando criptografia Chave gerenciada pela AWS) do seu Conta da AWS e copiá-lo para a conta de GuardDuty serviço antes de iniciar a verificação de malware. GetSnapshotBlock ListSnapshotBlocks

AmazonGuardDutyServiceRolePolicy – atualização para uma política existente

Foram adicionadas novas permissões GuardDuty para permitir adicionar configurações de conta do guarddutyActivate Amazon ECS e realizar operações de lista e descrição nos clusters do Amazon ECS.

AmazonGuardDutyReadOnlyAccess – atualização para uma política existente

16 de novembro de 2023

AmazonGuardDutyFullAccess – atualização para uma política existente

16 de novembro de 2023

AmazonGuardDutyServiceRolePolicy – atualização para uma política existente

GuardDuty adicionou novas permissões para oferecer suporte ao próximo recurso de monitoramento de tempo de execução do GuardDuty EKS.

AmazonGuardDutyServiceRolePolicy – atualização para uma política existente

GuardDuty adicionou novas permissões para permitir GuardDuty a criação de uma função vinculada ao serviço para proteção contra malware para EC2. Isso ajudará a GuardDuty simplificar o processo de ativação da Proteção contra Malware para o EC2.

GuardDuty agora pode realizar a seguinte ação do IAM:

{
    "Effect": "Allow",
	"Action": "iam:CreateServiceLinkedRole",
	"Resource": "*",
	"Condition": {
	   "StringEquals": {
	       "iam:AWSServiceName": "malware-protection.guardduty.amazonaws.com"
	   }
	}
}

AmazonGuardDutyFullAccess – atualização para uma política existente

GuardDuty ARN atualizado paraiam:GetRole. *AWSServiceRoleForAmazonGuardDutyMalwareProtection

AmazonGuardDutyFullAccess: atualização para uma política existente

GuardDuty adicionou uma nova AWSServiceName para permitir a criação de uma função vinculada a serviços usando o iam:CreateServiceLinkedRole serviço GuardDuty Malware Protection for EC2.

GuardDuty agora pode realizar a iam:GetRole ação para obter informaçõesAWSServiceRole.

AmazonGuardDutyServiceRolePolicy: atualização para uma política existente

GuardDuty adicionou novas permissões GuardDuty para permitir o uso das ações de rede do Amazon EC2 para melhorar as descobertas.

GuardDuty agora você pode realizar as seguintes ações do EC2 para obter informações sobre como suas instâncias do EC2 estão se comunicando. Essas informações são usadas para melhorar a precisão da descoberta.

GuardDuty começou a rastrear as alterações

GuardDuty começou a rastrear as mudanças em suas políticas AWS gerenciadas.