本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 自定义检测规则查找类型
<a name="findings-custom-detection-rules"></a>

本页列出了根据自定义检测规则 GuardDuty 生成的查找类型，按数据源分组。每种发现类型都会将一个或多个信号聚合到一个查找结果中。有关启用自定义检测规则的更多信息，请参阅[中的自定义检测规则 GuardDuty](custom-detection-rules.md)。

**注意**  
只有支持其目标 Amazon 服务或功能的单个规则才可用。 Amazon Web Services 区域 例如， Amazon 以 Organizations 或 Amazon 简单电子邮件服务为目标的规则仅在这些服务运营的地区可用。同样，针对 Lambda 函数 URL 或 SageMaker AI 笔记本实例的规则仅在支持这些功能的地区可用。

**Topics**
+ [的自定义检测规则 Amazon CloudTrail 管理事件](#cdr-cloudtrail-management-events)

## 的自定义检测规则 Amazon CloudTrail 管理事件
<a name="cdr-cloudtrail-management-events"></a>

以下发现类型由 Amazon CloudTrail 管理事件信号生成，按 MITRE ATT&CK® tactic 组织。

### 凭证访问
<a name="cdr-credential-access"></a>

这些规则试图检测检索或重置证书的操作，例如检索 Amazon EC2 实例密码或重置 Amazon RDS 管理员密码。


| 调查发现类型 | 规则名称 | 严重性 | 
| --- | --- | --- | 
| **CredentialAccess:EC2/UnsecuredCredentials** | EC2PasswordDataRetrieved | MEDIUM | 
| **CredentialAccess:RDS/ModifyAuthenticationProcess** | RDSMasterPasswordReset | HIGH | 

### 防御障碍
<a name="cdr-defense-impairment"></a>

这些规则试图检测禁用或削弱安全控制的更改，例如删除 VPC 流日志、禁用组织策略或从组织中移除账户。



- ****DefenseImpairment:EC2/DisableOrModifyTools****
  - **规则名称:** EC2TerminationProtectionEnabled / **严重性:** LOW
  - **规则名称:** VPCFlowLogsDeleted / **严重性:** HIGH

- ****DefenseImpairment:Organizations/ModifyCloudResourceHierarchy****
  - **规则名称:** OrganizationLeaveAttempt
  - **严重性:** HIGH

- ****DefenseImpairment:Organizations/DisableOrModifyTools****
  - **规则名称:** OrganizationPolicyDisabled
  - **严重性:** HIGH

- ****DefenseImpairment:RDS/ModifyAuthenticationProcess****
  - **规则名称:** RDSIAMAuthDisabled
  - **严重性:** MEDIUM

- ****DefenseImpairment:Route53Resolver/DisableOrModifyTools****
  - **规则名称:** DNSQueryLogsDeleted
  - **严重性:** MEDIUM

- ****DefenseImpairment:S3/DisableOrModifyTools****
  - **规则名称:** S3CustomerProvidedKeysEnabled
  - **严重性:** HIGH



### Execution
<a name="cdr-execution"></a>

这些规则尝试检测在资源上运行代码的更改，例如修改 A SageMaker I 笔记本生命周期配置。


| 调查发现类型 | 规则名称 | 严重性 | 
| --- | --- | --- | 
| **Execution:SageMaker/CommandAndScriptingInterpreter** | SageMakerLifecycleConfigModified | MEDIUM | 

### Exfiltration
<a name="cdr-exfiltration"></a>

这些规则试图检测在您的账户之外共享资源的更改，例如让 AMI、Amazon EBS 快照或 Amazon RDS 快照可供其他账户访问。



- ****Exfiltration:EC2/TransferDataToCloudAccount****
  - **规则名称:** AMIExternalAccess / **严重性:** HIGH
  - **规则名称:** EBSSnapshotExternalAccess / **严重性:** HIGH

- ****Exfiltration:RDS/TransferDataToCloudAccount****
  - **规则名称:** RDSSnapshotPubliclyShared
  - **严重性:** HIGH

- ****Exfiltration:S3/TransferDataToCloudAccount****
  - **规则名称:** S3BucketPolicyExternalAccess
  - **严重性:** HIGH



### 影响
<a name="cdr-impact"></a>

这些规则试图检测可能中断或破坏数据和资源的更改，例如将 Amazon S3 对象设置为快速过期或启用 Amazon SES 发送。



- ****Impact:S3/DataDestruction****
  - **规则名称:** S3LifecycleRapidExpiration
  - **严重性:** MEDIUM

- ****Impact:SES/ResourceHijacking****
  - **规则名称:** SESAccountSendingEnabled / **严重性:** LOW
  - **规则名称:** SESProductionAccessEnabled / **严重性:** MEDIUM



### 首次访问
<a name="cdr-initial-access"></a>

这些规则试图检测打开您的环境访问权限的活动，例如在没有 MFA 的情况下进行控制台登录或使 Amazon RDS 数据库可公开访问。


| 调查发现类型 | 规则名称 | 严重性 | 
| --- | --- | --- | 
| **InitialAccess:IAM/ValidAccounts** | ConsoleLoginWithoutMFA | MEDIUM | 
| **InitialAccess:RDS/ExploitPublicFacingApplication** | RDSPubliclyAccessible | HIGH | 

### 横向移动
<a name="cdr-lateral-movement"></a>

这些规则试图检测在资源之间授予访问权限的活动，例如将 SSH 密钥推送到 Amazon EC2 实例。


| 调查发现类型 | 规则名称 | 严重性 | 
| --- | --- | --- | 
| **LateralMovement:EC2/RemoteServices** | EC2InstanceSSHKeyPushed | MEDIUM | 

### Persistence
<a name="cdr-persistence"></a>

这些规则试图检测创建或扩展访问权限的更改，例如创建 IAM 访问密钥、修改角色信任策略或使 Lambda 函数可公开访问。



- ****Persistence:EC2/BootOrLogonInitializationScripts****
  - **规则名称:** EC2UserDataModified
  - **严重性:** HIGH

- ****Persistence:EC2/ExternalRemoteServices****
  - **规则名称:** EC2SecurityGroupPublicSSH
  - **严重性:** MEDIUM

- ****Persistence:IAM/AccountManipulation****
  - **规则名称:** IAMAccessKeyCreated / **严重性:** LOW
  - **规则名称:** IAMRoleTrustPolicyModified / **严重性:** MEDIUM
  - **规则名称:** IAMUserLoginProfileCreated / **严重性:** HIGH
  - **规则名称:** IAMUserLoginProfileUpdated / **严重性:** MEDIUM

- ****Persistence:Lambda/AccountManipulation****
  - **规则名称:** LambdaFunctionPublicAccess
  - **严重性:** HIGH

- ****Persistence:Lambda/ModifyAuthenticationProcess****
  - **规则名称:** LambdaFunctionUrlPublicAccess
  - **严重性:** HIGH

- ****Persistence:RolesAnywhere/AccountManipulation****
  - **规则名称:** RolesAnywhereTrustAnchorCreated
  - **严重性:** MEDIUM



### 权限提升
<a name="cdr-privilege-escalation"></a>

这些规则试图检测授予更广泛权限的更改，例如将管理员策略附加到 IAM 用户或角色。



- ****PrivilegeEscalation:IAM/AccountManipulation****
  - **规则名称:** AdminPolicyAttachedToRole / **严重性:** HIGH
  - **规则名称:** AdminPolicyAttachedToUser / **严重性:** HIGH
  - **规则名称:** BedrockServiceCredentialCreated / **严重性:** MEDIUM
  - **规则名称:** SESFullAccessPolicyAttachedToRole / **严重性:** MEDIUM
  - **规则名称:** SESFullAccessPolicyAttachedToUser / **严重性:** MEDIUM



### 资源开发
<a name="cdr-resource-development"></a>

这些规则试图检测可能支持以后活动的资源设置，例如验证 Amazon SES 域身份。


| 调查发现类型 | 规则名称 | 严重性 | 
| --- | --- | --- | 
| **ResourceDevelopment:SES/CompromiseAccounts** | SESDomainIdentityVerified | MEDIUM |