本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
中的自定义检测规则 GuardDuty
自定义检测规则提供了一个预先构建的规则库，用于检测您不希望在 Amazon 环境中发生的活动。 GuardDuty 构建和维护这些规则，并使用从 MITRE ATT&CK® 和威胁技术目录等目录中提取的既定 Amazon 威胁技术词汇来描述每条规则。您可以为要检测的活动启用每条规则，要么在试运行模式下先对其进行测量，要么在实时模式下生成调查结果。
安全团队通常知道某些操作不应发生在特定账户中。诸如共享 AMI、删除 VPC 流日志或不使用 MFA 登录之类的操作在一个账户中可能是例行操作，而在另一个账户中则是泄露的迹象。大多数 GuardDuty 发现都确定了在任何环境中都存在可疑的活动。自定义检测规则允许您仅在不希望的账户中检测可疑活动。
自定义检测规则使用以下概念：
- 规则
-
GuardDuty 拥有和维护的预建检测。每条规则都针对一种威胁技术，并定义了导致其匹配的条件。
- 协会
-
规则和账号之间的链接。关联记录该账户的规则运行模式。不评估没有关联的规则。
- Mode (模式)
-
关联规则与活动相匹配时的行为。每条规则都支持两种模式：
-
实时 — 当规则与活动匹配时 GuardDuty 生成调查结果。直播模式不会过期。
-
试运行 — GuardDuty 评估规则并发布 Amazon CloudWatch 指标，但不生成调查结果。在进行实时检测之前，请使用试运行来测量信号音量。 GuardDuty 仅当规则与事件匹配时才会发出这些指标，因此从不匹配的规则不会生成试运行指标。试运行将在 14 天后自动过期。
-
- 组织配置
-
委派 GuardDuty 管理员账户应用于组织中的成员账户的规则配置。 GuardDuty 在每个目标账户中创建个人关联，包括稍后加入的账户。有关更多信息，请参阅 在多账户环境中管理自定义检测规则。
- 信号
-
有人观察到规则检测到的活动发生了什么。 GuardDuty将共享战术、服务和技术的信号聚合到一个发现中。