在亚马逊云科技Guardduty上集成第三方威胁情报的两种方法

bucketregion=(此为放置S3的region，例如：cn-norht-1）
bucketname=(此为存放威胁列表文件的存储桶，例如：mythreatbucket)
region=(此为运行CLI命令的region 例如：us-east-1）
filename=(此为威胁列表的源文件名称 例如：threatlist.txt)
threatset=(此为威胁列表集的名称 例如：mytestset)
regions=($(aws ec2 describe-regions --query 'Regions[*].RegionName' --output text --region=$region))
echo $regions

aws s3api create-bucket \
    --bucket $bucketname \
    --region $bucketregion \
    --create-bucket-configuration LocationConstraint=$bucketregion
aws s3 cp $filename s3://$bucketname/ --region=$bucketregion

for region in $regions; do
aws guardduty create-threat-intel-set \
    --detector-id $(aws guardduty list-detectors --output text --query 'DetectorIds' --region=$region)  \
    --name $threatset \
    --format TXT \
    --location $tiurl\
    --activate --region=$region
done

{
    "Version": "2012-10-17",
    "Id": "policyforguardduty",
    "Statement": [
        {
            "Sid": "allowcrossaccount",
            "Effect": "Allow",
            "Principal": {
                "AWS": [
                    "arn:aws-cn:iam::<accountid1>:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
                ]
            },
            "Action": "s3:GetObject",
            "Resource": "arn:aws-cn:s3:::<bucketname>/<filename>.txt"
        }
    ]
}

tiurl= (存放威胁情报文件的地址 例如：s3://threatbook-gdti/threatlist.txt)
threatset=(威胁列表的名称，只允许英文，例如：onlyenglishname）
regions=($(aws ec2 describe-regions --query 'Regions[*].RegionName' --output text --region=$region))
echo $regions

for region in $regions; do
aws guardduty create-threat-intel-set \
    --detector-id $(aws guardduty list-detectors --output text --query 'DetectorIds' --region=$region)  \
    --name $threatset \
    --format TXT \
    --location $tiurl\
    --activate --region=$region
done

regions=($(aws ec2 describe-regions --query 'Regions[*].RegionName' --output text --region=$region))
echo $regions
for region in $regions; do
did=$(aws guardduty list-detectors --output text --query 'DetectorIds' --region=$region)
tid=$(aws guardduty list-threat-intel-sets \
--detector-id=$(aws guardduty list-detectors --output text --query 'DetectorIds' \
--region=$region)  --region=$region --output text --query 'ThreatIntelSetIds' )
aws guardduty update-threat-intel-set --detector-id=$did --threat-intel-set-id=$tid --activate --region=$region
echo $region
done