阅读并确定 GuardDuty 发现结果的优先级

繁忙的账户可能会生成许多发现，而这些发现的重要性并不相同。要进行有效响应，您必须确定优先级，首先关注最可能造成实际损害的威胁。GuardDuty 通过严重性分数和丰富的发现详细信息帮助您决定应先从哪里开始调查。

每条 GuardDuty 发现都有一个严重性值，范围为 0.1 至 8.9 及以上，并映射到相应级别。大致来说，1.0 至 3.9 为低，4.0 至 6.9 为中，7.0 至 8.9 为高。数值越高，表示置信度和潜在影响越大，因此处理优先级也越高。

高严重性发现表示某个资源很可能已遭到入侵并正在执行恶意行为，需要立即采取措施。中严重性表示存在值得调查的可疑活动。低严重性通常表示侦察活动，或表示行为异常但尚未造成危害。严重性用于指示紧急程度，而不是确定是否已经发生入侵。

每条发现都包含受影响的资源、行为者（例如远程 IP 及其地理位置）、观察到的操作，以及该操作发生的次数。阅读这些字段后，一行警报就会变成一段完整的事件描述：谁从哪里、对哪个资源做了什么，以及发生了多少次。

发现会记录首次出现和最近出现的时间戳以及发生次数。持续数小时反复出现的发现，比单次短暂出现的异常更严重。这些时间信息有助于您判断攻击是否仍在进行，而这会直接影响您必须多快将其遏制。

威胁意图会决定您的响应方式。实例上的 CryptoCurrency 发现意味着可能正在进行挖矿，应当隔离该实例。IAM 用户上的 UnauthorizedAccess 发现意味着凭证可能已被窃取，应当轮换密钥。根据威胁意图匹配响应方式，是分级处理的核心。

您可以创建抑制规则，自动归档与已知预期行为匹配的发现，例如您有意运行的漏洞扫描器所产生的活动。这样可以让队列专注于真正的信号。被抑制的发现仍会保留以供审计，但不会干扰响应人员。

GuardDuty 可以生成示例发现，让您在没有真实攻击的情况下练习分级处理并测试自动化。这样，团队就可以安全地构建和验证响应手册。了解此功能对于设置从检测到响应的流程很有帮助。

经过优先级排序的发现会进入响应流程：高严重性的实例入侵可能触发自动隔离，而中严重性的身份发现可能会通知分析人员。严重性和类型共同决定由自动化机制还是人工来处理，以及需要多快处理。

GuardDuty 会将同一发现的重复发生情况进行聚合，合并为一条发现，并更新其计数和最近出现时间，而不是生成大量重复发现。您还可以配置更新后的发现发布到 EventBridge 和 S3 的频率。这样既能保持队列清晰易读，又能反映攻击仍在持续。

默认情况下，GuardDuty 发现会保留 90 天。若要出于审计或趋势分析目的延长保留时间，您可以将发现导出到 S3 存储桶，并配置导出新发现的频率。将发现继续发送到安全中心和 EventBridge，也可以保留并处理这些发现。了解发现的保留和导出方式对于合规场景十分重要。

根据严重性确定发现的优先级。

GuardDuty 会为每条发现分配严重性（大致为低 1–3.9、中 4–6.9、高 7–8.9），并提供资源、行为者、操作、地理位置和时间信息。请根据严重性和影响确定优先级，利用威胁意图选择响应方式，并使用抑制规则屏蔽已知无害的噪声。示例发现可以让您安全地演练分级处理。