Amazon GuardDuty는 연결된 모든 AWS 계정에 걸쳐 AWS CloudTrail, Amazon VPC Flow Logs 및 DNS Logs에서 수십억 건의 이벤트를 수집, 분석 및 상관관계를 파악하여 지능형 위협 탐지 기능을 제공합니다. GuardDuty 탐지 기능은 위협 인텔리전스(AWS 보안 및 타사 위협 인텔리전스 파트너가 제공하는 알려진 악의적 IP 주소 목록 등)를 통합하여 좀 더 정확해집니다. 또한, GuardDuty는 기계 학습을 사용하여 이상 계정과 네트워크 활동을 탐지합니다. 예를 들어 알려진 악의적 IP 주소로부터 원격 API 호출이 수신된다는 것은 잠재적 AWS 자격 증명 유출을 의미합니다. GuardDuty에서는 이러한 호출을 탐지하는 경우, 사용자에게 알립니다. 또한, GuardDuty는 AWS 환경에 대한 직접 위협, 즉 DNS 쿼리 내에 인코딩된 데이터를 전송하는 Amazon EC2 인스턴스와 같은 인스턴스 침해를 탐지합니다.

많은 조직이 적절한 비용 할당, 민첩성 및 보안을 제공하는 데 도움이 되도록 여러 개의 AWS 계정을 사용합니다. AWS Management Console에서 클릭 몇 번으로 원하는 AWS 계정에 대해 Amazon GuardDuty를 활성화함으로써 위협 탐지를 중앙집중화할 수 있습니다. GuardDuty의 경우, 계정과 워크로드 활동 데이터를 분석하기 위해 추가로 보안 소프트웨어 또는 인프라를 설치할 필요가 없습니다. 보안 운영 센터 팀에서 단일 콘솔 보기를 통해 손쉽게 위협을 관리 및 분류하고, 단일 보안 계정을 사용해 보안 대응을 자동화할 수 있습니다.

Amazon GuardDuty를 사용하면 위협 탐지와 더불어, 이러한 위협에 대응하는 방법을 손쉽게 자동화하여 조치 및 복구 시간을 줄일 수 있습니다. GuardDuty 탐지 결과에 따라 트리거되도록 AWS Lambda 함수 또는 조치 스크립트를 구성할 수 있습니다. GuardDuty 보안 탐지 결과에는 태그, 보안 그룹, 자격 증명 등 영향을 받은 리소스에 대한 세부 정보가 포함됩니다. 또한, GuardDuty 탐지 결과에는 IP 주소, 위치 정보 등 공격자 정보가 포함됩니다. 즉, GuardDuty 보안 결과는 유용하고 실행 가능한 정보를 제공합니다. 예를 들어 거의 실시간으로 계정 활동을 지속적으로 모니터링하고 있지 않다면 계정 침해를 신속하게 탐지하기는 쉽지 않습니다. GuardDuty에서는 데이터 도난이 의심되는 인스턴스가 있는 경우, 해당 인스턴스에 대한 아웃바운드 액세스를 제한하는 액세스 제어 항목을 자동으로 생성할 수 있도록 사용자에게 이를 알립니다.