GuardDuty 检测什么以及原因

Amazon GuardDuty 是 AWS 托管的威胁检测服务。它的主要特点是无需代理，也无需部署软件。您只需启用它，它就会开始分析 AWS 遥测数据，检测恶意或未经授权的行为。因此，您可以快速将它部署到整个账户或组织中。

GuardDuty 会持续接收并分析现有数据源，然后应用威胁情报、异常检测和机器学习来发现可疑活动。由于它读取的是 AWS 已经生成的日志，因此无需更改工作负载即可增加检测能力。整个服务完全由 AWS 托管。

GuardDuty 会分析账户活动和网络活动来检测威胁。它可以发现侦察行为、遭到入侵的实例以及异常的账户行为。例如，实例与已知恶意 IP 通信、凭证从异常位置被使用，或有人试图关闭安全日志记录。

GuardDuty 会使用 AWS 和第三方威胁情报源，其中包含已知恶意 IP 地址和域名的列表。当您的资源与其中某个地址或域名通信时，GuardDuty 就会生成一条调查结果。您也可以提供自己的可信 IP 列表和威胁 IP 列表，根据环境调整检测效果。

除了已知恶意对象列表之外，GuardDuty 还会学习账户的正常行为，并标记异常。来自新国家的 API 调用、活动量异常激增，或某个角色以从未使用过的方式被调用，都可能触发调查结果。这样可以发现拦截列表无法识别的新型攻击。

有一点至关重要：GuardDuty 负责检测和告警，但不会拦截。它会生成调查结果，描述自己观察到的情况。要对调查结果采取行动，您需要将其连接到自动化流程，例如让 EventBridge 触发修复操作。理解检测与阻止之间的区别是考试中的重点。

GuardDuty 支持由委派管理员在整个 AWS Organization 中统一管理检测。一个安全账户就可以为每个成员账户启用 GuardDuty，并在中央位置查看所有调查结果。这样无需手动配置每个账户，就能扩展检测范围。

由于无需代理、服务器或构建日志处理管道，GuardDuty 的运行运营成本非常低。您只需根据分析的数据量付费。这种低门槛模式也是它经常成为组织首个启用的检测服务的原因。

GuardDuty 发现会自然地汇总到安全中心，也会发送到调查器进行调查，并发送到 EventBridge 进行响应。GuardDuty 是更大规模威胁响应流程中的检测引擎，而不是独立运行的工具。

您可以使用可信 IP 列表（永远不希望被标记的地址）和威胁 IP 列表（始终希望被标记的地址）调整 GuardDuty，还可以使用抑制规则归档预期中的发现。这样的调整可以减少噪声，让分析人员专注于真正的威胁。考试要求您了解 GuardDuty 可以根据环境进行调整，而不是一个固定不变的黑盒。

请不要将 GuardDuty 与Amazon Inspector混淆。GuardDuty 监控实时活动，以检测正在发生的威胁和入侵。Inspector 则扫描漏洞，例如未安装补丁的软件和存在风险的网络可达性，以便在漏洞被利用前发现它们。前者用于运行时威胁检测，后者用于漏洞评估；考试经常考查针对特定目标应选择哪一项。

测试您对 GuardDuty 基础知识的掌握情况。

GuardDuty 是一种无需安装代理的托管式威胁检测服务，它结合威胁情报、异常检测和机器学习，分析现有的 AWS 遥测数据。它通过发现发出警报，但不会阻止威胁；修复需要借助自动化。委派管理员可以在整个组织中启用它，其发现会发送到安全中心、调查器和 EventBridge。