适用于 Amazon S3 的 Amazon GuardDuty 恶意软件防护简介
内容提要
Amazon推出适用于Amazon S3的GuardDuty恶意软件防护，检测上传到S3存储桶的恶意文件，不影响性能。用户可配置和监督防护，并采取措施。有限免费套餐，定价基于扫描对象的GB量和每月评估的对象数量。
延伸解读
扫描能力与限制
GuardDuty 恶意软件防护支持扫描 S3 Standard、S3 Intelligent-Tiering、S3 Standard-IA、S3 One Zone-IA 和 S3 Glacier Instant Retrieval 存储类别中的文件。发布时，最大支持 5 GB 的文件大小，包括最多 5 个级别的存档文件，解压缩后每级 1000 个文件。超出大小限制的对象将无法扫描，并标记为 UNSUPPORTED。
配置与权限管理
启用该功能需要创建并附加一个 IAM 角色，该角色需包含 EventBridge 操作、S3 事件通知、访问 S3 对象以及 KMS 密钥操作的权限。您可以使用提供的策略模板和信任关系模板，替换占位符后创建或更新角色。配置完成后，GuardDuty 会为扫描对象添加预定义标签，如 GuardDutyMalwareScanStatus，以便下游处理。
定价与免费套餐
定价基于扫描对象的 GB 量和每月评估的对象数量。该功能提供有限的 AWS Free Tier，包括每月 1000 个请求和 1 GB 的扫描量。对于新 AWS 账户，可在账户创建后的前 12 个月内享受；对于现有 AWS 账户，可在 2025 年 6 月 11 日之前享受。具体定价信息请参阅 Amazon GuardDuty 定价页面。
区域可用性与账户要求
适用于 Amazon S3 的 GuardDuty 恶意软件防护已在提供 GuardDuty 的所有 AWS 区域正式推出，但不包括中国区域和 GovCloud（美国）区域。即使您的 AWS 账户未启用 GuardDuty，也可以为 S3 存储桶设置该防护。但启用 GuardDuty 后，可结合 CloudTrail 管理事件、VPC 流日志和 DNS 查询日志等全面监控，并将调查发现发送到 Security Hub 和 Detective 进行进一步调查。
Q&A
Amazon GuardDuty恶意软件防护的主要功能是什么？
Amazon GuardDuty恶意软件防护用于检测上传到Amazon S3存储桶的恶意文件，并提供相应的防护措施。
如何配置Amazon S3的GuardDuty恶意软件防护？
用户需在GuardDuty控制台中选择适用于S3的恶意软件防护，输入存储桶名称并启用扫描功能。
GuardDuty恶意软件防护的定价是怎样的？
定价基于扫描对象的GB量和每月评估的对象数量，提供有限的免费套餐。
GuardDuty如何处理扫描到的恶意文件？
GuardDuty可以添加预定义标签以标识扫描状态，并允许用户采取措施隔离或清除恶意软件。
使用GuardDuty需要哪些权限设置？
用户需创建并附加IAM角色，以管理EventBridge规则和访问权限，确保GuardDuty能够访问S3对象。
GuardDuty支持扫描哪些类型的S3存储类别？
GuardDuty支持扫描S3 Standard、S3 Intelligent-Tiering、S3 Standard-IA、S3 One Zone-IA和Amazon S3 Glacier Instant Retrieval等存储类别。
