为实时搜索配置AWS并执行runLiveSearchQuery

登录AWS云平台。

创建S3存储桶。前往 亚马逊S3 > 存储桶 > 创建存储桶 并创建S3存储桶。

存储桶中保存的信息将存储在以下路径中： <companyId>/<endpointProtectedEntityId>/osquery_<endpointProtectedEntityId>_<date>.json .

创建一个AWS角色以授予 GravityZone 上传文件到存储桶所需的权限。前往 IAM > 角色 > 创建角色 .

在创建表单中选择 自定义信任策略 并添加具有以下格式的信任策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "AWS": arn:aws:iam::789423628920:root
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:ExternalId": <externalId>
                }
            }
        }
    ]
}

该信任策略授予Bitdefender用户担任角色的权限。其中， Principal.AWS 字段指定了 亚马逊资源名称（ARN） ，即 Bitdefender 用户的ARN，用于定义允许担任该角色的主体。

为增强安全性，还应配置 ExternalId 。这是一个自定义字符串，有助于防止未经授权的访问。该值可以是任何唯一标识符，在通过API调用 runLiveSearchQuery 方法时将作为参数传递。

添加存储桶策略。返回存储桶并进入 权限 ，添加以下存储桶策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Principal": {
                "AWS": <roleArn>
            },
            "Action": "s3:PutObject",
            "Resource": <bucketArn>
        }
    ]
}

该策略允许角色将对象放入S3存储桶。

为角色创建策略。前往 IAM > 策略 > 创建策略 .

创建以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": <bucketArn>
        }
    ]
}

该策略授予角色对指定S3存储桶执行 PutObject 操作的权限。

其中 Resource 字段定义了目标存储桶的ARN，指定角色允许上传对象的位置。例如： "arn:aws:s3:::osquery-bucket-test/*" .

使用 runLiveSearchQuery :

{
    "params": {
        "companyId": <companyId>,
        "query": "select * from time;",
        "s3UploadConfig": {    
            "bucket": <bucketName>,
            "region": <bucketRegion>,
            "roleArn" : <roleArn>,
            "externalId" : <externalId>
        }
    },
    "jsonrpc": "2.0",
    "method": "runLiveSearchQuery",
    "id": "301f7b05-ec02-481b-9ed6-c07b97de2b7b"
}

示例

{
    "params": {
        "companyId": <companyId>,
        "query": "select * from time;", // 或其他实时搜索查询
        "s3UploadConfig": {    
            "bucket": "osquery-bucket-test",
            "region": "eu-north-1",
            "roleArn": "arn:aws:iam::205620608461:role/osquery-role",
            "externalId": "12345678910"
        }
    },
    "jsonrpc": "2.0",
    "method": "runLiveSearchQuery",
    "id": "301f7b05-ec02-481b-9ed6-c07b97de2b7b"
}

若您的终端通过中继服务器与GravityZone通信且无法访问S3存储桶，需在中继策略设置中将存储桶域名加入白名单。操作步骤如下：