Amazon GuardDuty 可跨您的所有关联 AWS 账户收集、分析和关联来自 AWS CloudTrail、Amazon VPC 流日志和 DNS 日志的数十亿个事件，从而实现智能威胁检测。GuardDuty 可整合威胁情报（如 AWS Security 和第三方威胁情报合作伙伴提供的已知恶意 IP 地址列表），从而做出更准确的检测。GuardDuty 还会使用机器学习来检测异常账户和网络活动。例如，如果 GuardDuty 检测到从已知恶意 IP 地址发起的远程 API 调用（表明 AWS 凭证可能被盗用），就会提醒您。GuardDuty 还能检测到对 AWS 环境的直接威胁（表明实例受损），如在 DNS 查询中发送编码数据的 Amazon EC2 实例。

许多组织会使用多个 AWS 账户，以实现合理的成本分配、敏捷性和安全性。您只需在 AWS 管理控制台中单击几次鼠标，即可跨任意 AWS 账户启用 Amazon GuardDuty 来集中检测威胁。使用 GuardDuty，您无需安装额外的安全软件或基础设施即可分析账户和工作负载活动数据。您的安全操作中心团队可以通过单一控制台视图轻松管理和分类各种威胁，以及使用单个安全账户自动执行安全响应。

除了检测威胁之外，您还可以使用 Amazon GuardDuty 轻松设置自动响应这些威胁的方式，从而缩短修复和恢复时间。您可以基于 GuardDuty 的发现结果设置要触发的修复脚本或 AWS Lambda 函数。GuardDuty 安全发现结果包括受影响资源的详细信息，如标记、安全组或凭证。GuardDuty 发现结果也包括攻击者的信息，如 IP 地址和地理位置。这使得 GuardDuty 安全发现结果具有参考性和可操作性。例如，如果您未近乎实时地持续监控账户活动，那么就很难快速检测到账户盗用问题。如果您使用 GuardDuty，当该服务怀疑某个实例的数据遭到窃取时会提醒您，以便自动创建访问控制条目来限制该实例的出站访问。