Amazon GuardDuty 实现威胁检测 - 基于 ML 的异常检测与事件响应
解析 GuardDuty 的威胁检测机制、检测结果分类，以及通过 Security Hub 集成实现事件响应的方法。
GuardDuty 概述
GuardDuty 是一项持续检测 AWS 账户和工作负载威胁的服务，能够识别 200 多种威胁模式。它自动分析 CloudTrail 事件、VPC Flow Logs 和 DNS 查询日志，检测非法 API 调用、加密货币挖矿、与 C&C 服务器的通信、暴力破解攻击等。启用只需一键操作，无需更改现有日志配置。GuardDuty 独立获取日志数据，用户无需手动启用 VPC Flow Logs 或 CloudTrail。检测引擎结合两种方法：AWS 管理的威胁情报 Feed (已知恶意 IP 地址和域名列表) 和账户特定的行为基线 ML 模型。
检测结果与响应
检测结果按类型分为 Recon (侦察)、UnauthorizedAccess (未授权访问)、CryptoCurrency (加密货币挖矿)、Trojan (木马) 等。严重程度为 High 的检测结果需要立即响应，可通过 EventBridge 规则触发 Lambda，自动执行被入侵 IAM 凭证的失效处理或 EC2 实例的隔离操作。通过与 Security Hub 集成，可将 GuardDuty 的检测结果与其他安全服务的结果整合，实现安全态势的统一管理。典型的自动修复架构为：GuardDuty 生成 High 严重程度的 UnauthorizedAccess:IAMUser 检测结果 → EventBridge → Lambda 禁用该 IAM 用户的所有访问密钥并强制 MFA 重置 → SNS 通知运维团队。
保护计划与 Organizations 集成
GuardDuty 的保护计划在基本威胁检测之外，还提供 S3 Protection (S3 数据事件分析)、EKS Protection (Kubernetes 审计日志分析)、Malware Protection (EC2 和 ECS 恶意软件扫描)、RDS Protection (RDS 登录活动分析)、Lambda Protection (Lambda 网络活动分析)、Runtime Monitoring (EC2/ECS/EKS 运行时威胁检测)。通过 Organizations 的委托管理员可统一管理所有账户的 GuardDuty，并设置新账户的自动启用。检测结果会自动汇聚到 Security Hub。Runtime Monitoring 在主机或容器中部署 GuardDuty 代理，在内核级别监控文件访问、进程执行和网络连接。这可以捕获仅靠网络级检测无法发现的运行时威胁，如进程注入和反向 shell。 如果您想系统学习 GuardDuty，相关书籍 (Amazon)也可作为参考。
GuardDuty 费用优化
GuardDuty 的基本费用按 CloudTrail 管理事件和 VPC Flow Logs 的分析量计费。CloudTrail 事件每 100 万个约 4 美元，VPC Flow Logs 每 GB 约 1 美元。各保护计划会产生额外费用，S3 Protection 每 100 万个 S3 数据事件约 0.80 美元。建议利用 30 天免费试用确认实际成本后再决定是否启用。Malware Protection 按扫描数据量计费，因此建议将扫描范围限制在重要工作负载以控制成本。如果启用后费用高于预期，可在 GuardDuty 控制台的 Usage 页面查看按数据源的成本明细，禁用不需要的保护计划，或在 S3 保护事件频率较高时审查相关存储桶的访问模式。
检测精度调优与误报管理
GuardDuty 启用后初期容易产生误报 (false positive)，需要适当的调优才能实现运维稳定。在 Trusted IP Lists 中注册公司全局 IP 和 VPN 出口 IP 后，来自这些地址的访问所产生的检测结果会被自动抑制。类似地，可向 Threat IP Lists 添加自定义威胁情报以增强检测精度。针对特定资源的反复检测结果可通过 Suppression Rules 隐藏，但设置过于宽泛的规则有遗漏真实威胁的风险，因此条件应尽可能窄 (特定账户 ID + 特定资源 ARN + 特定检测类型)。将检测结果关联到 Amazon Detective 后，GuardDuty 展示「发生了什么」，Detective 通过 IP 地址行为历史和 API 调用时间线可视化「为什么、如何发生」，大幅提升调查和误报判定的效率。
与其他安全服务的角色分工
AWS 的安全服务在检测对象和目的上各不相同，以 GuardDuty 为核心组合多个服务的纵深防御最为有效。GuardDuty 的主要目的是「持续」检测账户行为和网络通信的异常，事后调查使用 Amazon Detective，漏洞扫描使用 Amazon Inspector，IAM 策略配置不当使用 IAM Access Analyzer。Security Hub 作为中心枢纽统一汇聚这些服务的检测结果，并提供基于 AWS Foundational Security Best Practices 等标准的合规性检查。先启用 GuardDuty，在产生检测结果后再追加启用 Detective 或 Inspector 的分阶段方式，从成本管理角度也是合理的。在多账户环境中，AWS Well-Architected Security Pillar 推荐将安全账户指定为委托管理员，将所有成员账户的 GuardDuty 检测结果汇聚到该账户的架构。
总结
GuardDuty 是一项利用 ML 和威胁情报自动检测 AWS 环境威胁的服务。通过 S3、EKS、Lambda、RDS、Runtime Monitoring 等保护计划提供多层威胁检测，并通过 Organizations 集成统一管理所有账户的安全。结合 EventBridge 可构建针对检测结果的自动修复操作，实现安全运维自动化。通过 Trusted IP Lists 和 Suppression Rules 控制误报，结合 Detective 提高调查效率，是实现稳定生产运维的关键。