AWS CloudTrail Insights 與 GuardDuty

Question

CloudTrail Insights 可識別 CloudTrail 事件中的任何異常。 在 GuardDuty 的所有輸入中，CloudTrail Events 就是其中之一。 看起來 CloudTrail Insights 和 GuardDuty 都提供類似的服務。

想知道兩者的區別。 AWS 提供了很多類似的服務。

Answer 1

GuardDuty 將查看 CloudTrail Insights 不會查看的幾類數據，包括 VPC 流日志和 DNS 日志（如果您使用 VPC DNS 分辨率）。 這意味着對端口掃描器（即使在您的 VPC 中起源和目的地）和 DNS 查找等可能表明存在妥協的事物發出警報。 它還可以針對與您的機器進行交互（或嘗試）的“已知不良”演員等事情產生警報。 當然，所有這些都存在誤報，但這些都是 GuardDuty 可以做到而 CloudTrail Insights 無法做到的事情。

CloudTrail Insights 應用的“異常”機器學習與它應用於 CloudTrail 日志上的 GuardDuty 的機器學習是相同還是不同，這有點不清楚。 然而，GuardDuty 似乎更傾向於實際妥協的跡象，而洞察力更多只是“不尋常的”API 活動。