本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 中的自定义检测规则 GuardDuty
<a name="custom-detection-rules"></a>

自定义检测规则提供了一个预先构建的规则库，用于检测您不希望在 Amazon 环境中发生的活动。 GuardDuty 构建和维护这些规则，并使用从 MITRE ATT&CK® 和威胁技术目录等目录中提取的既定 Amazon 威胁技术词汇来描述每条规则。您可以为要检测的活动启用每条规则，要么在试运行模式下先对其进行测量，要么在实时模式下生成调查结果。

安全团队通常知道某些操作不应发生在特定账户中。诸如共享 AMI、删除 VPC 流日志或不使用 MFA 登录之类的操作在一个账户中可能是例行操作，而在另一个账户中则是泄露的迹象。大多数 GuardDuty 发现都确定了在任何环境中都存在可疑的活动。自定义检测规则允许您仅在不希望的账户中检测可疑活动。

自定义检测规则使用以下概念：

**规则**  
 GuardDuty 拥有和维护的预建检测。每条规则都针对一种威胁技术，并定义了导致其匹配的条件。

**协会**  
规则和账号之间的链接。关联记录该账户的规则运行模式。不评估没有关联的规则。

**Mode (模式)**  
关联规则与活动相匹配时的行为。每条规则都支持两种模式：  
+ **实**时 — 当规则与活动匹配时 GuardDuty 生成调查结果。直播模式不会过期。
+ **试运行** — GuardDuty 评估规则并发布 Amazon CloudWatch 指标，但不生成调查结果。在进行实时检测之前，请使用试运行来测量信号音量。 GuardDuty 仅当规则与事件匹配时才会发出这些指标，因此从不匹配的规则不会生成试运行指标。试运行将在 14 天后自动过期。

**组织配置**  
委派 GuardDuty 管理员账户应用于组织中的成员账户的规则配置。 GuardDuty 在每个目标账户中创建个人关联，包括稍后加入的账户。有关更多信息，请参阅 [在多账户环境中管理自定义检测规则](custom-detection-rules-multi-account.md)。

**信号**  
有人观察到规则检测到的活动发生了什么。 GuardDuty将共享战术、服务和技术的信号聚合到一个发现中。

**Topics**
+ [自定义检测规则的工作原理](custom-detection-rules-how-it-works.md)
+ [可用的自定义检测规则](custom-detection-rules-available.md)
+ [管理自定义检测规则](custom-detection-rules-managing.md)
+ [在多账户环境中管理自定义检测规则](custom-detection-rules-multi-account.md)