Amazon GuardDuty では、関連する AWS アカウントすべての AWS CloudTrail、Amazon VPC フローログ、DNS ログの何十億というイベントに対する収集、分析、関連付けが行われ、インテリジェントな脅威検出が実行されます。GuardDuty の検出精度は、脅威インテリジェンス (AWS セキュリティやサードパーティの脅威インテリジェンスパートナーの提供する、既知の悪意ある IP アドレスのリストなど) が組み込まれることで、さらに向上しています。GuardDuty では、アカウントやネットワークの異常なアクティビティ検出に機械学習も利用されています。例えば、既知の悪意ある IP アドレスから実行されたリモート API コールが検出され、AWS 認証情報の侵害の可能性がある場合、GuardDuty ではアラートを発行します。GuardDuty では、AWS 環境に対する直接的な脅威として、DNS クエリ内で符号化データを送信する Amazon EC2 インスタンスなど、侵害されたことを示すインスタンスも検出されます。

多くの組織では、コストの適切な配分、俊敏性、セキュリティといった理由から、複数の AWS アカウントを使用しています。AWS マネジメントコンソールで数回クリックすれば、使用しているどの AWS アカウントにも Amazon GuardDuty を有効にし、脅威検出を集約できます。GuardDuty を使用する場合、アカウントやワークロードのアクティビティデータを分析するためにセキュリティソフトウェアやインフラストラクチャを追加でインストールする必要はありません。セキュリティ運用の中心チームは、脅威の管理と分類を単一のコンソールビューで簡単に実行でき、単一のセキュリティアカウントを使用してセキュリティ対応を自動化できます。

脅威の検出に加えて、Amazon GuardDuty なら脅威に対する対応の自動化も簡単で、修正や回復にかかる時間を短縮できます。GuardDuty の検出結果に基づいてトリガーされる、修正用スクリプトや AWS Lambda 関数を設定しておくことができます。GuardDuty によるセキュリティの検出結果には、影響を受けたリソースのタグ、セキュリティグループ、認証情報といった詳細情報も含まれます。また、IP アドレスや地理的位置など攻撃者の情報も含まれます。このように、GuardDuty のよるセキュリティの検出結果は、価値ある情報が含まれており、すぐに活用することができます。例えば、アカウント侵害は、アカウントのアクティビティをほぼリアルタイムで継続的に監視していない限り、すばやく検出することが困難です。GuardDuty では、あるインスタンスにデータ盗難の疑いが発生した場合、そのインスタンスに対してアウトバウンドアクセスを制限するアクセスコントロールエントリを自動的に作成できることをアラートで知らせます。