Amazon GuardDuty EC2 运行时监控功能现已正式推出
内容提要
Amazon GuardDuty是一项基于机器学习的安全监控和威胁检测服务，GuardDuty EC2运行时监控功能正式推出，扩大了EC2实例在运行时的威胁检测范围，用户可以识别和应对针对EC2工作负载的潜在威胁。
延伸解读
运行时监控的检测范围与价值
GuardDuty EC2 运行时监控通过分析操作系统、网络和文件事件，检测远程执行代码等威胁，并补充原有的 VPC 流日志、DNS 查询日志和 CloudTrail 管理事件监控。它能提供可疑命令的详细信息，帮助在威胁演变成安全事件前发现，尤其针对恶意软件下载和执行等场景。
部署与覆盖状态管理
用户可通过 GuardDuty 控制台启用运行时监控，并选择自动或手动部署安全代理。自动代理配置由 GuardDuty 管理，适合大多数客户。启用后可在覆盖范围选项卡查看实例列表和代理状态。即使覆盖状态不正常，GuardDuty 仍通过 CloudTrail、VPC 流日志和 DNS 日志提供网络级威胁检测。
成本优化与免费试用
首次使用 EC2 运行时监控可免费试用 30 天，试用期内可估算后续费用。试用结束后按每小时每 vCPU 收费。启用该功能后，源自运行安全代理的 EC2 实例无需为 GuardDuty 基础保护的 VPC 流日志付费，因为代理提供了类似但更具上下文相关性的网络数据，从而可能节省 GuardDuty 成本。
支持环境与区域限制
GuardDuty EC2 运行时监控支持运行 Amazon Linux 2 或 Amazon Linux 2023 的 EC2 实例，并可配置代理的 CPU 和内存限制。该功能已在所有提供 GuardDuty 的 AWS 区域推出，但不包括 AWS GovCloud（美国）区域和 AWS 中国区域。用户可通过 AWS Organizations 集中启用运行时威胁检测。
Q&A
Amazon GuardDuty EC2 运行时监控功能的主要作用是什么？
该功能扩大了 EC2 实例在运行时的威胁检测范围，帮助用户识别和应对潜在威胁。
如何启用 GuardDuty EC2 运行时监控功能？
用户可以在 GuardDuty 控制台中点击几下即可启用该功能，首次使用可免费试用 30 天。
GuardDuty EC2 运行时监控如何检测潜在威胁？
它分析操作系统级别、网络和文件事件，以检测针对 EC2 工作负载的潜在威胁。
使用 GuardDuty EC2 运行时监控功能的成本如何？
首次使用可免费试用 30 天，试用期结束后按每小时每 vCPU 收取监控代理费用。
GuardDuty EC2 运行时监控支持哪些操作系统？
该功能支持运行 Amazon Linux 2 或 Amazon Linux 2023 的 EC2 实例。
如何处理 GuardDuty 检测到的安全调查发现？
用户可以查看详细信息，检查相关资源，并根据活动的授权情况采取相应措施。
