用途：把 Amazon GuardDuty 的威胁发现接入 Amazon EventBridge 与 AWS Lambda，实现实时自动化事件响应，将平均响应时间从小时级缩短到秒级。GuardDuty 会分析 VPC Flow Logs、CloudTrail 管理与数据事件、DNS 日志、EKS 审计日志和 S3 数据事件。
主要能力：启用 GuardDuty 及 S3、Kubernetes 审计、恶意软件防护、运行时监控等数据源；用 EventBridge 规则按严重级别（如 >=7.0）过滤发现并触发 Lambda；Lambda 可对 EC2 实例打隔离标签、切换到隔离安全组、创建 EBS 取证快照，并对 IAM 凭证泄露停用访问密钥、附加 Deny-All 策略；通过 SNS 通知安全团队；支持 Terraform 部署与多账户组织级配置。
必要用法：需具备已启用 GuardDuty 的 AWS 账户、Lambda 执行 IAM 角色、EventBridge 规则、SNS 主题，建议集成 Security Hub。启用示例：aws guardduty create-detector --enable --finding-publishing-frequency FIFTEEN_MINUTES；多账户可用 aws guardduty enable-organization-admin-account 与 update-organization-configuration --auto-enable。
适用场景：SOC 分析师调查安全事件、构建检测规则与威胁狩猎查询、验证安全监控覆盖度。
限制：资料未提供具体定价、性能指标与完整部署步骤，实际使用需按环境调整 IAM 权限与隔离策略。