本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
自定义检测规则的工作原理
首先，浏览 GuardDuty 提供识别检测与您的环境相关的活动的规则。然后将每条规则与活动意外发生的账户相关联。有关将规则与账户关联的更多信息，请参阅管理自定义检测规则。
数据源和信号
关联规则后， GuardDuty 监控该规则所依赖的数据源，并评估传入日志中是否存在匹配的事件。自定义检测规则目前支持 Amazon CloudTrail 管理事件。 当观察到的活动符合规则时， GuardDuty 会生成信号。信号表示规则检测到的单次观察到的活动。
模式
每个关联都以两种模式之一运行：
-
实时 — 在规则匹配时 GuardDuty 生成查找结果。
-
试运行 — GuardDuty 发出 Amazon CloudWatch 指标，计算规则匹配的频率，但不会生成调查结果。使用试运行来衡量规则匹配的频率，然后才能创建结果或触发自动响应。试运行关联将在创建 14 天后过期，实时关联不会过期。
查找聚合
GuardDuty 将具有相同战术、服务和技巧的信号聚合到一个发现中。例如Tactic:Service/Technique，每个发现都遵循格式Persistence:IAM/AccountManipulation。当重复 GuardDuty 观察来自同一主体的相同活动时，单个发现可能包含多个信号。
有关查找结果结构和字段的更多信息，请参阅自定义检测规则查找详细信息。
已编辑的事件字段
自定义检测规则评估Amazon CloudTrail 事件中 Amazon CloudTrail 记录的字段。编辑发生在上游。 GuardDuty Amazon 服务可以在其发布的事件中编辑字段的值。此项修改可保护潜在的敏感数据。对字段进行编辑后，会 Amazon CloudTrail 记录该字段存在但不记录其值。
发布事件的服务决定对哪些字段进行编辑。当字段可以携带敏感信息时，服务会对该字段进行编辑。密文适用于字段，而不适用于特定值。因此，即使特定请求中的值不敏感，服务也会对字段进行密文。无论您使用、 Amazon CLI 还是 Amazon SDK Amazon Web Services 管理控制台，它都会为每个请求编辑这些字段。
GuardDuty 无法评估不在事件中的值。如果规则的检测逻辑依赖于已编辑的字段，则该规则不匹配。 GuardDuty 然后即使活动已发生，也不会产生任何信号，也不会发现任何结果。如果规则仅检查服务未编辑的字段，例如事件名称、服务和调用者身份，则该 Amazon 规则不受影响。
密文还可以使规则与一个请求匹配，但不能匹配另一个具有相同效果的请求。当 API 操作接受同一个更改的多个字段时，一个字段可能会被编辑，而另一个字段可能不会。那么，规则是否匹配取决于请求使用的字段。
注意
自定义检测规则是一种检测功能，而不是完整的审计记录。要确认您的账户中是否发生了特定 API 调用，请在中查看该事件 Amazon CloudTrail。有关更多信息，请参阅使用事件历史记录查看 Amazon CloudTrail 事件。