本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Amazon GuardDuty 中的概念和關鍵術語
<a name="guardduty_concepts"></a>

當您開始使用 Amazon GuardDuty 時，您可以從了解其概念和相關關鍵術語中獲益。

**帳戶**  
標準 Amazon Web Services (AWS) 帳戶，其中包含您的 AWS 資源。您可以使用 AWS 帳戶登入 ，並啟用 GuardDuty。  
您也可以邀請其他帳戶啟用 GuardDuty，並與您在 GuardDuty 中的 AWS 帳戶建立關聯。如果您的邀請被接受，您的帳戶會指定為**管理員帳戶** GuardDuty 帳戶，而新增的帳戶會成為您的**成員**帳戶。然後您便可代表他們檢視和管理這些帳戶的 GuardDuty 調查結果。  
管理員帳戶使用者可以設定 GuardDuty，並可檢視並管理自己和所有成員帳戶的 GuardDuty 調查結果。如需管理員帳戶可管理的成員帳戶數量資訊，請參閱 [GuardDuty 配額](guardduty_limits.md)。  
成員帳戶使用者可以設定 GuardDuty，並可透過 GuardDuty 管理主控台或 GuardDuty API 來檢視和管理成員帳戶的 GuardDuty 調查結果。成員帳戶使用者無法查看或管理其他成員帳戶中的問題清單。  
 AWS 帳戶 不能同時是 GuardDuty 管理員帳戶和成員帳戶。只能 AWS 帳戶 接受一個成員資格邀請。接受成員邀請為選擇性。  
如需詳細資訊，請參閱[Amazon GuardDuty 中的多個帳戶](guardduty_accounts.md)。

**攻擊序列**  
攻擊序列是多個事件的相互關聯，如 GuardDuty 所觀察，這些事件會以符合可疑活動模式的特定序列發生。GuardDuty 會使用其[延伸威脅偵測](guardduty-extended-threat-detection.md)功能來偵測這些跨您帳戶中基礎資料來源、 AWS 資源和時間軸的多階段攻擊。  
以下清單簡短說明與攻擊序列相關聯的關鍵術語：  
+ **指標** – 提供有關為什麼一系列事件符合潛在可疑活動的資訊。
+ **訊號** – 訊號是 GuardDuty 觀察到的 API 活動，或帳戶中已偵測到的 GuardDuty 調查結果。透過關聯帳戶中特定序列中觀察到的事件，GuardDuty 會識別攻擊序列。

  您的帳戶中有事件無法表示潛在威脅。GuardDuty 會將它們視為**弱**訊號。不過，當在與潛在可疑活動相關的特定序列中觀察到弱訊號和 GuardDuty 調查結果時，GuardDuty 會產生攻擊序列調查結果。
+ **端點** – 威脅行為者可能用於攻擊序列的網路端點相關資訊。

**偵測器**  
Amazon GuardDuty 是區域服務。當您在特定 中啟用 GuardDuty 時 AWS 區域，您的 AWS 帳戶 會與偵測器 ID 建立關聯。此 32 個字元的英數 ID 對該區域中的帳戶是唯一的。例如，當您為不同區域中的相同帳戶啟用 GuardDuty 時，您的帳戶將與不同的偵測器 ID 建立關聯。detectorId 的格式為 `12abc34d567e8fa901bc2d34e56789f0`。  
關於管理問題清單和 GuardDuty 服務的所有 GuardDuty 問題清單、帳戶和動作都會使用偵測器 ID 來執行 API 操作。  
若要尋找`detectorId`您帳戶和目前區域的 ，請參閱 https：//[https://console.aws.amazon.com/guardduty/](https://console.aws.amazon.com/guardduty/) 主控台中的**設定**頁面，或執行 [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListDetectors.html) API。  
在多個帳戶環境中，成員帳戶的所有調查結果都會匯總到管理員帳戶的偵測器。
部分 GuardDuty 功能是透過偵測器設定，例如設定 CloudWatch Events 通知頻率，以及啟用或停用 GuardDuty 處理的選用保護計畫。    
**在 GuardDuty 中使用 S3 的惡意軟體防護**  
當您在啟用 GuardDuty 的帳戶中啟用 S3 惡意軟體防護時，例如啟用、編輯和停用受保護資源的 S3 惡意軟體防護動作不會與偵測器 ID 相關聯。  
當您未啟用 GuardDuty 並選擇威脅偵測選項惡意軟體防護 S3 時，不會為您的帳戶建立偵測器 ID。

**基礎資料來源**  
一組資料的原始來源或位置。偵測您 AWS 環境中未經授權或非預期的活動。GuardDuty 會分析和處理來自 AWS CloudTrail 事件日誌、 AWS CloudTrail 管理事件、S3 AWS CloudTrail 的資料事件、VPC 流程日誌、DNS 日誌的資料，請參閱 [GuardDuty 基礎資料來源](guardduty_data-sources.md)。

**功能**  
針對 GuardDuty 保護計劃設定的功能物件有助於偵測 AWS 您環境中未經授權的或非預期的活動。每個 GuardDuty 保護計畫都會設定對應的功能物件來分析和處理資料。部分功能物件包括 EKS 稽核日誌、RDS 登入活動監控、Lambda 網路活動日誌和 EBS 磁碟區。如需詳細資訊，請參閱[GuardDuty API 中保護計劃的功能名稱](guardduty-features-activation-model.md)。

**問題清單**  
GuardDuty 發現的潛在安全問題。如需詳細資訊，請參閱[了解和產生 Amazon GuardDuty 調查結果](guardduty_findings.md)。  
調查結果會顯示在 GuardDuty 主控台中，並包含該安全問題的詳細描述。您也可以透過呼叫 [GetFindings](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_GetFindings.html) 和 [https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListFindings.html](https://docs.aws.amazon.com/guardduty/latest/APIReference/API_ListFindings.html) API 操作來擷取產生的調查結果。  
您也可以透過 Amazon CloudWatch Events 查看您的 GuardDuty 調查結果。GuardDuty 透過 HTTPS 通訊協定將調查結果傳送至 Amazon CloudWatch。如需詳細資訊，請參閱[使用 Amazon EventBridge 處理 GuardDuty 問題清單](guardduty_findings_eventbridge.md)。

**IAM 角色**  
這是具有掃描 S3 物件所需許可的 IAM 角色。啟用標記掃描的物件時，IAM PassRole 許可可協助 GuardDuty 將標籤新增至掃描的物件。

**惡意軟體防護計劃資源**  
為儲存貯體啟用惡意軟體防護 S3 之後，GuardDuty 會建立惡意軟體防護計劃資源。此資源與惡意軟體防護計劃 ID 相關聯，這是受保護儲存貯體的唯一識別符。使用惡意軟體防護計劃資源，對受保護的資源執行 API 操作。

**受保護的儲存貯體 （受保護的資源）**  
當您為此儲存貯體啟用惡意軟體防護 S3，且其保護狀態變更為**作用中**時，Amazon S3 S3 儲存貯體會被視為受到保護。  
GuardDuty 僅支援 S3 儲存貯體做為受保護的資源。

**保護狀態**  
與惡意軟體防護計劃資源相關聯的狀態。為儲存貯體啟用惡意軟體防護 S3 之後，此狀態表示儲存貯體是否已正確設定。

**S3 物件字首**  
在 Amazon Simple Storage Service (Amazon S3) 儲存貯體中，您可以使用字首來組織儲存。字首是 S3 儲存貯體中物件的邏輯分組。如需詳細資訊，請參閱《*Amazon S3 使用者指南*》中的[組織和列出物件](https://docs.aws.amazon.com/AmazonS3/latest/userguide/organizing-objects.html)。

**掃描選項**  
啟用 EC2 的 GuardDuty 惡意軟體防護時，可讓您指定要掃描或略過的 Amazon EC2 執行個體和 Amazon Elastic Block Store (EBS) 磁碟區。此功能可讓您將與 EC2 執行個體和 EBS 磁碟區相關聯的現有標籤新增至包含標籤清單或排除標籤清單。系統會掃描與您新增至包含標籤清單的標籤相關聯的資源是否含有惡意軟體，不會掃描新增至排除標籤清單的資源。如需詳細資訊，請參閱[具有使用者定義標籤的掃描選項](malware-protection-customizations.md#mp-scan-options)。

**快照保留**  
啟用 EC2 的 GuardDuty 惡意軟體防護時，會提供選項，讓您將 EBS 磁碟區的快照保留在 AWS 帳戶中。GuardDuty 會根據 EBS 磁碟區的快照產生複本 EBS 磁碟區。只有當 EC2 的惡意軟體防護掃描在複本 EBS 磁碟區中偵測到惡意軟體時，您才能保留 EBS 磁碟區的快照。如果在複本 EBS 磁碟區中未偵測到惡意軟體，GuardDuty 會自動刪除 EBS 磁碟區的快照，不論快照保留設定為何。如需詳細資訊，請參閱[快照保留](malware-protection-customizations.md#mp-snapshots-retention)。

**隱藏規則**  
隱藏規則可讓您建立非常特定的屬性組合以隱藏問題清單。例如，您可以透過 GuardDuty 篩選條件定義規則，以便僅從那些在特定 VPC 中、執行特定 AMI 或具備特定 EC2 標籤的執行個體自動封存 `Recon:EC2/Portscan`。此規則會造成符合條件的執行個體連接埠掃描問題清單被自動封存。不過，如果 GuardDuty 偵測到那些執行個體正在執行其他惡意活動 (例如加密貨幣採礦)，則仍會允許發出提醒。  
GuardDuty 管理員帳戶中定義的隱藏規則適用於 GuardDuty 成員帳戶。GuardDuty 成員帳戶無法修改隱藏規則。  
使用隱藏規則時，GuardDuty 仍會產生所有調查結果。隱藏規則可抑制問題清單，同時保持所有活動歷史記錄完整不變。  
一般來說，隱藏規則是用來隱藏您判定為環境誤判的問題清單，並減少低價值問題清單的雜訊，讓您可以專注於較大的威脅。如需詳細資訊，請參閱[GuardDuty 中的隱藏規則](findings_suppression-rule.md)。

**信任 IP 清單**  
信任 IP 地址清單，可高度確保您 AWS 環境的通訊安全。GuardDuty 不會根據信任 IP 清單產生調查結果。如需詳細資訊，請參閱[使用實體清單和 IP 位址清單自訂威脅偵測](guardduty_upload-lists.md)。

**威脅 IP 清單**  
已知惡意 IP 地址的清單。除了由於潛在可疑活動而產生調查結果之外，GuardDuty 也會根據這些威脅清單產生調查結果。如需詳細資訊，請參閱[使用實體清單和 IP 位址清單自訂威脅偵測](guardduty_upload-lists.md)。