Amazon GuardDuty

偵測 AWS 環境中可疑操作或攻擊跡象的服務。

Amazon GuardDuty 是檢測 AWS 帳號或工作負載可疑活動的威脅偵測服務。

• 偵測可疑的 API 操作
• 偵測疑似入侵
• 安全監控

• 為威脅偵測服務
• 可分析 CloudTrail 或 VPC Flow Logs 等
• 與 Inspector 角色不同

• 準備偵測後的通知與應變流程
• 可與 Security Hub 整合彙總
• 個人 MVP 需考量與成本的平衡

Amazon GuardDuty 是持續偵測 AWS 環境內可疑活動或已知攻擊模式的託管型威脅偵測服務。將 AWS CloudTrail 的事件日誌、Amazon VPC Flow Logs、DNS 查詢日誌、Amazon S3 資料事件、Amazon EKS 稽核日誌等納入分析對象,並運用機器學習與威脅情報進行異常偵測。使用者無須安裝代理程式或進行個別日誌收集設定,僅需在主控台啟用即可開始使用。 偵測結果會以「Findings」形式並附上嚴重性(Low / Medium / High)通知,可透過 Amazon EventBridge 連動至 SNS 通知、Lambda 自動回應、彙整至 Security Hub 等。代表性偵測案例包括:透過 Tor 的可疑 API 呼叫、暗示加密貨幣挖礦的通訊模式、被入侵的憑證所進行的異常操作、來自非預期區域的存取等。 在考試方面,會以「持續偵測 AWS 環境內可疑操作或攻擊跡象的服務」形式出題,GuardDuty 為選項中的正確答案。容易與 Inspector(漏洞掃描)、Macie(S3 內機敏資料偵測)、Security Hub(多個安全服務的彙整)混淆,因此需整理各服務偵測對象的差異後記住。費用為依分析對象資料量計算的依用量計費,通常會在商用化或存取量增加時才判斷導入。

• 什麼是 Amazon GuardDuty (AWS 官方文件)
• Amazon GuardDuty (AWS 官方)

最後更新日: 2026-06-07