本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
自定义检测规则查找类型
本页列出了根据自定义检测规则 GuardDuty 生成的查找类型，按数据源分组。每种发现类型都会将一个或多个信号聚合到一个查找结果中。有关启用自定义检测规则的更多信息，请参阅中的自定义检测规则 GuardDuty。
注意
只有支持其目标 Amazon 服务或功能的单个规则才可用。 Amazon Web Services 区域 例如， Amazon 以 Organizations 或 Amazon 简单电子邮件服务为目标的规则仅在这些服务运营的地区可用。同样，针对 Lambda 函数 URL 或 SageMaker AI 笔记本实例的规则仅在支持这些功能的地区可用。
的自定义检测规则 Amazon CloudTrail 管理事件
以下发现类型由 Amazon CloudTrail 管理事件信号生成，按 MITRE ATT&CK® tactic 组织。
凭证访问
这些规则试图检测检索或重置证书的操作，例如检索 Amazon EC2 实例密码或重置 Amazon RDS 管理员密码。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
CredentialAccess:EC2/UnsecuredCredentials |
EC2PasswordDataRetrieved |
MEDIUM |
CredentialAccess:RDS/ModifyAuthenticationProcess |
RDSMasterPasswordReset |
HIGH |
防御障碍
这些规则试图检测禁用或削弱安全控制的更改，例如删除 VPC 流日志、禁用组织策略或从组织中移除账户。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
DefenseImpairment:EC2/DisableOrModifyTools |
EC2TerminationProtectionEnabled |
LOW |
VPCFlowLogsDeleted |
HIGH |
|
DefenseImpairment:Organizations/ModifyCloudResourceHierarchy |
OrganizationLeaveAttempt |
HIGH |
DefenseImpairment:Organizations/DisableOrModifyTools |
OrganizationPolicyDisabled |
HIGH |
DefenseImpairment:RDS/ModifyAuthenticationProcess |
RDSIAMAuthDisabled |
MEDIUM |
DefenseImpairment:Route53Resolver/DisableOrModifyTools |
DNSQueryLogsDeleted |
MEDIUM |
DefenseImpairment:S3/DisableOrModifyTools |
S3CustomerProvidedKeysEnabled |
HIGH |
Execution
这些规则尝试检测在资源上运行代码的更改，例如修改 A SageMaker I 笔记本生命周期配置。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
Execution:SageMaker/CommandAndScriptingInterpreter |
SageMakerLifecycleConfigModified |
MEDIUM |
Exfiltration
这些规则试图检测在您的账户之外共享资源的更改，例如让 AMI、Amazon EBS 快照或 Amazon RDS 快照可供其他账户访问。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
Exfiltration:EC2/TransferDataToCloudAccount |
AMIExternalAccess |
HIGH |
EBSSnapshotExternalAccess |
HIGH |
|
Exfiltration:RDS/TransferDataToCloudAccount |
RDSSnapshotPubliclyShared |
HIGH |
Exfiltration:S3/TransferDataToCloudAccount |
S3BucketPolicyExternalAccess |
HIGH |
影响
这些规则试图检测可能中断或破坏数据和资源的更改，例如将 Amazon S3 对象设置为快速过期或启用 Amazon SES 发送。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
Impact:S3/DataDestruction |
S3LifecycleRapidExpiration |
MEDIUM |
Impact:SES/ResourceHijacking |
SESAccountSendingEnabled |
LOW |
SESProductionAccessEnabled |
MEDIUM |
首次访问
这些规则试图检测打开您的环境访问权限的活动，例如在没有 MFA 的情况下进行控制台登录或使 Amazon RDS 数据库可公开访问。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
InitialAccess:IAM/ValidAccounts |
ConsoleLoginWithoutMFA |
MEDIUM |
InitialAccess:RDS/ExploitPublicFacingApplication |
RDSPubliclyAccessible |
HIGH |
横向移动
这些规则试图检测在资源之间授予访问权限的活动，例如将 SSH 密钥推送到 Amazon EC2 实例。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
LateralMovement:EC2/RemoteServices |
EC2InstanceSSHKeyPushed |
MEDIUM |
Persistence
这些规则试图检测创建或扩展访问权限的更改，例如创建 IAM 访问密钥、修改角色信任策略或使 Lambda 函数可公开访问。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
Persistence:EC2/BootOrLogonInitializationScripts |
EC2UserDataModified |
HIGH |
Persistence:EC2/ExternalRemoteServices |
EC2SecurityGroupPublicSSH |
MEDIUM |
Persistence:IAM/AccountManipulation |
IAMAccessKeyCreated |
LOW |
IAMRoleTrustPolicyModified |
MEDIUM |
|
IAMUserLoginProfileCreated |
HIGH |
|
IAMUserLoginProfileUpdated |
MEDIUM |
|
Persistence:Lambda/AccountManipulation |
LambdaFunctionPublicAccess |
HIGH |
Persistence:Lambda/ModifyAuthenticationProcess |
LambdaFunctionUrlPublicAccess |
HIGH |
Persistence:RolesAnywhere/AccountManipulation |
RolesAnywhereTrustAnchorCreated |
MEDIUM |
权限提升
这些规则试图检测授予更广泛权限的更改，例如将管理员策略附加到 IAM 用户或角色。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
PrivilegeEscalation:IAM/AccountManipulation |
AdminPolicyAttachedToRole |
HIGH |
AdminPolicyAttachedToUser |
HIGH |
|
BedrockServiceCredentialCreated |
MEDIUM |
|
SESFullAccessPolicyAttachedToRole |
MEDIUM |
|
SESFullAccessPolicyAttachedToUser |
MEDIUM |
资源开发
这些规则试图检测可能支持以后活动的资源设置，例如验证 Amazon SES 域身份。
调查发现类型 |
规则名称 |
严重性 |
|---|---|---|
ResourceDevelopment:SES/CompromiseAccounts |
SESDomainIdentityVerified |
MEDIUM |