View a markdown version of this page

管理自定义检测规则 - Amazon GuardDuty
列出可用规则查看规则状态批量操作试跑实时禁用规则
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

管理自定义检测规则

GuardDuty 通过关联将规则应用于账户。关联会将规则链接到您的账户，并记录该规则的运行模式（实时或试运行）。

在组织中，委派的 GuardDuty 管理员账户使用组织配置来集中管理成员账户的规则。组织配置支持包含和排除列表，以控制规则适用于哪些帐户。有关更多信息，请参阅 在多账户环境中管理自定义检测规则。

列出可用规则

规则目录列出了所有可用的规则，包括名称、严重性、数据源、MITRE ATT&CK® 策略、技术和 Amazon 服务的筛选器。

Console
列出可用规则

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

  2. 在导航窗格中，选择 “自定义检测规则”。

  3. 使用筛选控件按属性（例如严重性或战术）缩小列表范围。

API/CLI

运行ListCustomDetectionRules操作。您可以通过筛选器按名称、严重性、数据源、策略、技术或服务来缩小结果范围。

aws guardduty list-custom-detection-rules \
    --filters Name=severity,Values=HIGH

查看规则状态

您账户中的每条规则都有以下三种状态之一：

  • 实时-规则在实时模式下关联并生成结果。

  • 试运行 — 该规则在试运行模式下关联，并且仅发出 Amazon CloudWatch 指标。

  • 已@@ 禁用-该规则没有关联且未进行评估。

Console

“自定义检测规则” 页面上的 “状态” 列显示每条规则的当前状态。您可以使用下拉列表按状态进行筛选。

API/CLI

运行该ListCustomDetectionRuleAssociations操作以查看哪些规则与您的账户关联及其当前模式。

aws guardduty list-custom-detection-rule-associations

批量操作

批量操作将相同的模式更改应用于多个规则，或者应用于多个账户中的一条规则。

Console

在 “自定义检测规则” 页面上，使用复选框选择多个规则，然后选择 “操作”，通过单个操作启用或禁用所有选定的规则。

API/CLI

要将相同的更改应用于多个规则，请为每条规则调用CreateCustomDetectionRuleAssociation一次。

for RULE in rule-id-1 rule-id-2; do
    aws guardduty create-custom-detection-rule-association \
        --rule-id "$RULE" \
        --mode LIVE
done

要涵盖目录中的每条规则，而不是命名列表，请将规则 ID 替换为ListCustomDetectionRules:的输出$(aws guardduty list-custom-detection-rules --query 'Rules[].RuleId' --output text)。

要将一条规则应用于多个账户，请使用组织配置而不是按账户调用。组织配置以包含和排除列表的成员帐户为目标，并 GuardDuty 创建各个关联。有关更多信息，请参阅 在多账户环境中管理自定义检测规则。

试跑

在试运行模式下， GuardDuty 根据规则评估事件，但不生成结果。而是 GuardDuty 发出 Amazon CloudWatch 指标，在启用实时检测之前，您可以使用这些指标来评估信号量和规则行为。 GuardDuty 仅当规则与事件匹配时才发布这些指标；如果规则从不匹配，则不会生成试运行指标。

使用试运行模式来了解规则在您的环境中的行为方式，而无需触发自动响应或在控制台中生成调查结果。

注意

试运行关联将在创建 14 天后过期。规则到期后，将 GuardDuty 停止评估该账户的规则，并且该规则将恢复为禁用。要再次评估规则，请创建一个新的试运行关联。实时关联不会过期。

Console
在试运行模式下启用规则

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

  2. 在导航窗格中，选择 “自定义检测规则”。

  3. 选择一个或多个规则。

  4. 选择 “操作”，然后选择 “启用（试运行）”。

API/CLI

在mode设置为的情况下运行CreateCustomDetectionRuleAssociation操作DRY_RUN。

aws guardduty create-custom-detection-rule-association \
    --rule-id rule-id \
    --mode DRY_RUN

实时

在实时模式下， GuardDuty 生成显示在 GuardDuty 控制台中的调查结果。调查结果将导出到亚马逊 EventBridge ，如果您配置了调查结果，则会导出到您拥有的 Amazon S3 存储桶中。调查结果还会发送到 Sec Amazon urity Hub 等集成 Amazon 服务。使用实时模式在您的环境中进行主动威胁检测。

Console
在实时模式下启用规则

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

  2. 在导航窗格中，选择 “自定义检测规则”。

  3. 选择一个或多个规则。

  4. 选择 “操作”，然后选择 “启用（实时）”。

要将现有规则从试运行切换到上线，请选择该规则，选择操作，然后选择启用（上线）。

API/CLI

要在实时模式下启用新规则，请在mode设置为的情况下运行CreateCustomDetectionRuleAssociation操作LIVE。

aws guardduty create-custom-detection-rule-association \
    --rule-id rule-id \
    --mode LIVE

要将现有规则从试运行切换到上线，请运行该UpdateCustomDetectionRuleAssociation操作。

禁用规则

禁用规则会移除关联，并停止 GuardDuty 根据该规则为您的账户评估事件。

Console
禁用自定义检测规则

  1. 打开 GuardDuty 控制台，网址为https://console.aws.amazon.com/guardduty/。

  2. 在导航窗格中，选择 “自定义检测规则”。

  3. 选择要禁用的一个或多个规则。

  4. 选择 “操作”，然后选择 “禁用”。

  5. 出现提示时确认操作。

API/CLI

运行DeleteCustomDetectionRuleAssociation操作。

aws guardduty delete-custom-detection-rule-association \
    --rule-id rule-id