Amazon GuardDuty
Phát hiện mối đe doạ
Liên tục phân tích CloudTrail, VPC Flow Logs, DNS log (và tuỳ chọn S3, EKS, RDS, Lambda, malware) bằng threat intelligence và machine learning để phát hiện hành vi đáng ngờ như đào coin, key bị lộ, truy cập từ IP xấu.
- Chi phí$$ Vừa phải
- Độ khó●●●●●
- Để không có tốn tiền?Không
- Serverless
- Có trong đềCLF · SAA · SOA
Hình dungNhư camera an ninh có AI tự báo động khi thấy người lạ lảng vảng.
Khi nào nên dùng
✓ Nên dùng khi
Gần như mọi account nên bật để phát hiện xâm nhập.
✗ Không nên dùng khi
Cần chặn tấn công web theo rule → WAF; cần quét lỗ hổng phần mềm → Inspector.
Ví dụ hay gặp
- Phát hiện EC2 đào tiền ảo
- Cảnh báo credential dùng từ IP lạ
- Quét malware trên EBS/S3
Tốn bao nhiêu tiền?
- Cách tính: Tính theo lượng sự kiện CloudTrail và GB log (VPC Flow, DNS) được phân tích, cộng phí từng protection plan bật thêm.
Account nhiều traffic hoặc bật thêm nhiều protection plan có thể tăng chi phí đáng kể — xem ước tính trong console sau 30 ngày dùng thử.
Đề hỏi “phát hiện mối đe doạ, key bị lộ, instance giao tiếp với IP độc hại, không cần cài agent” thì chọn GuardDuty; “quét lỗ hổng phần mềm” thì Inspector; “tìm PII trong S3” thì Macie; “chặn tấn công web” thì WAF.
Câu hỏi thường gặp
GuardDuty khác gì Inspector và Macie?
GuardDuty phát hiện hành vi đáng ngờ đang diễn ra (key bị lộ, đào coin, kết nối tới IP xấu). Inspector quét lỗ hổng phần mềm và cấu hình mạng của EC2, container image, Lambda. Macie tìm dữ liệu nhạy cảm như thông tin cá nhân trong S3. Ba dịch vụ bổ sung nhau chứ không thay thế nhau.
GuardDuty có cần cài agent hay bật log thủ công không?
Với các nguồn cơ bản thì không: GuardDuty tự đọc CloudTrail, VPC Flow Logs và DNS log độc lập, bạn không phải bật hay lưu các log đó và nó không ảnh hưởng hiệu năng. Các lớp bảo vệ mở rộng (S3, EKS, RDS, Lambda, malware) bật riêng theo nhu cầu.
GuardDuty có tự chặn tấn công không?
Không, nó chỉ phát hiện và tạo finding. Muốn tự phản ứng, gửi finding sang EventBridge rồi kích hoạt Lambda hoặc SSM để cô lập instance, thu hồi key. Với nhiều tài khoản, chỉ định một delegated administrator trong Organizations để bật và xem finding tập trung; dịch vụ hoạt động theo từng Region.
Dịch vụ liên quan
Ôn thi SAA-C03
GuardDuty xuất hiện trong các chủ đề ôn thi sau: