本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 管理自定义检测规则
<a name="custom-detection-rules-managing"></a>

GuardDuty 通过*关联*将规则应用于账户。关联会将规则链接到您的账户，并记录该规则的运行模式（实时或试运行）。

在组织中，委派的 GuardDuty 管理员账户使用组织配置来集中管理成员账户的规则。组织配置支持包含和排除列表，以控制规则适用于哪些帐户。有关更多信息，请参阅 [在多账户环境中管理自定义检测规则](custom-detection-rules-multi-account.md)。

## 列出可用规则
<a name="custom-detection-rules-listing"></a>

规则目录列出了所有可用的规则，包括名称、严重性、数据源、MITRE ATT&CK® 策略、技术和 Amazon 服务的筛选器。

------
#### [ Console ]

**列出可用规则**

1. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.amazonaws.cn/guardduty/)。

1. 在导航窗格中，选择 “**自定义检测规则**”。

1. 使用筛选控件按属性（例如严重性或战术）缩小列表范围。

------
#### [ API/CLI ]

运行[ListCustomDetectionRules](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_ListCustomDetectionRules.html)操作。您可以通过筛选器按名称、严重性、数据源、策略、技术或服务来缩小结果范围。

```
aws guardduty list-custom-detection-rules \
    --filters Name=severity,Values=HIGH
```

------

## 查看规则状态
<a name="custom-detection-rules-status"></a>

您账户中的每条规则都有以下三种状态之一：
+ **实**时-规则在实时模式下关联并生成结果。
+ **试运行** — 该规则在试运行模式下关联，并且仅发出 Amazon CloudWatch 指标。
+ 已@@ **禁用**-该规则没有关联且未进行评估。

------
#### [ Console ]

“**自定义检测规则**” 页面上的 “**状态**” 列显示每条规则的当前状态。您可以使用下拉列表按状态进行筛选。

------
#### [ API/CLI ]

运行该[ListCustomDetectionRuleAssociations](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_ListCustomDetectionRuleAssociations.html)操作以查看哪些规则与您的账户关联及其当前模式。

```
aws guardduty list-custom-detection-rule-associations
```

------

## 批量操作
<a name="custom-detection-rules-bulk"></a>

批量操作将相同的模式更改应用于多个规则，或者应用于多个账户中的一条规则。

------
#### [ Console ]

在 “**自定义检测规则**” 页面上，使用复选框选择多个规则，然后选择 “**操作**”，通过单个操作启用或禁用所有选定的规则。

------
#### [ API/CLI ]

要将相同的更改应用于多个规则，请为每条规则调用[CreateCustomDetectionRuleAssociation](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_CreateCustomDetectionRuleAssociation.html)一次。

```
for RULE in {{rule-id-1}} {{rule-id-2}}; do
    aws guardduty create-custom-detection-rule-association \
        --rule-id "$RULE" \
        --mode LIVE
done
```

要涵盖目录中的每条规则，而不是命名列表，请将规则 ID 替换为[ListCustomDetectionRules](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_ListCustomDetectionRules.html):的输出`$(aws guardduty list-custom-detection-rules --query 'Rules[].RuleId' --output text)`。

要将一条规则应用于多个账户，请使用组织配置而不是按账户调用。组织配置以包含和排除列表的成员帐户为目标，并 GuardDuty 创建各个关联。有关更多信息，请参阅 [在多账户环境中管理自定义检测规则](custom-detection-rules-multi-account.md)。

------

## 试跑
<a name="custom-detection-rules-dryrun"></a>

在试运行模式下， GuardDuty 根据规则评估事件，但不生成结果。而是 GuardDuty 发出 Amazon CloudWatch 指标，在启用实时检测之前，您可以使用这些指标来评估信号量和规则行为。 GuardDuty 仅当规则与事件匹配时才发布这些指标；如果规则从不匹配，则不会生成试运行指标。

使用试运行模式来了解规则在您的环境中的行为方式，而无需触发自动响应或在控制台中生成调查结果。

**注意**  
试运行关联将在创建 14 天后过期。规则到期后，将 GuardDuty 停止评估该账户的规则，并且该规则将恢复为禁用。要再次评估规则，请创建一个新的试运行关联。实时关联不会过期。

------
#### [ Console ]

**在试运行模式下启用规则**

1. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.amazonaws.cn/guardduty/)。

1. 在导航窗格中，选择 “**自定义检测规则**”。

1. 选择一个或多个规则。

1. 选择 “**操作**”，然后选择 “**启用（试运行）**”。

------
#### [ API/CLI ]

在`mode`设置为的情况下运行[CreateCustomDetectionRuleAssociation](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_CreateCustomDetectionRuleAssociation.html)操作`DRY_RUN`。

```
aws guardduty create-custom-detection-rule-association \
    --rule-id {{rule-id}} \
    --mode DRY_RUN
```

------

## 实时
<a name="custom-detection-rules-live"></a>

在实时模式下， GuardDuty 生成显示在 GuardDuty 控制台中的调查结果。调查结果将导出到亚马逊 EventBridge ，如果您配置了调查结果，则会导出到您拥有的 Amazon S3 存储桶中。调查结果还会发送到 Sec Amazon urity Hub 等集成 Amazon 服务。使用实时模式在您的环境中进行主动威胁检测。

------
#### [ Console ]

**在实时模式下启用规则**

1. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.amazonaws.cn/guardduty/)。

1. 在导航窗格中，选择 “**自定义检测规则**”。

1. 选择一个或多个规则。

1. 选择 “**操作**”，然后选择 “**启用（实时）**”。

要将现有规则从试运行切换到上线，请选择该规则，选择**操作**，然后选择**启用（上线）**。

------
#### [ API/CLI ]

要在实时模式下启用新规则，请在`mode`设置为的情况下运行[CreateCustomDetectionRuleAssociation](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_CreateCustomDetectionRuleAssociation.html)操作`LIVE`。

```
aws guardduty create-custom-detection-rule-association \
    --rule-id {{rule-id}} \
    --mode LIVE
```

要将现有规则从试运行切换到上线，请运行该[UpdateCustomDetectionRuleAssociation](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_UpdateCustomDetectionRuleAssociation.html)操作。

------

## 禁用规则
<a name="custom-detection-rules-disabling"></a>

禁用规则会移除关联，并停止 GuardDuty 根据该规则为您的账户评估事件。

------
#### [ Console ]

**禁用自定义检测规则**

1. 打开 GuardDuty 控制台，网址为[https://console.aws.amazon.com/guardduty/](https://console.amazonaws.cn/guardduty/)。

1. 在导航窗格中，选择 “**自定义检测规则**”。

1. 选择要禁用的一个或多个规则。

1. 选择 “**操作**”，然后选择 “**禁用**”。

1. 出现提示时确认操作。

------
#### [ API/CLI ]

运行[DeleteCustomDetectionRuleAssociation](https://docs.amazonaws.cn/guardduty/latest/APIReference/API_DeleteCustomDetectionRuleAssociation.html)操作。

```
aws guardduty delete-custom-detection-rule-association \
    --rule-id {{rule-id}}
```

------