用途：在新建或既有 AWS 账户中建立持续威胁检测，调查实例被入侵、凭证滥用、数据外泄等 GuardDuty 发现，并构建自动化事件响应流程；可把威胁覆盖扩展到 EKS、ECS、Fargate 容器工作负载，并对可疑 EC2 实例挂载的 EBS 卷启用恶意软件扫描。
主要能力：启用 S3 保护、EKS 审计日志监控、运行时监控、恶意软件保护、RDS 登录活动与 Lambda 网络活动监控等防护计划；通过委托管理员在 AWS Organizations 中多账户统一启用与聚合，并将发现导出至集中 S3 桶供留存和 SIEM 摄取；发现按严重性分为 Critical、High、Medium、Low，类型格式为 ThreatPurpose:ResourceType/ThreatName，涵盖侦察、未授权访问、加密货币挖矿、影响与攻击序列等类别；扩展威胁检测会关联多信号生成攻击序列发现。
使用方式：需具备 guardduty:* 管理权限，且已启用 CloudTrail、VPC Flow Logs 与 DNS 查询日志，多账户场景需配置 AWS Organizations，自动化响应需 EventBridge 与 Lambda。核心命令包括 aws guardduty create-detector 启用检测器、update-detector 启用运行时监控、enable-organization-admin-account 指定委托管理员、update-organization-configuration 自动注册成员、create-publishing-destination 导出发现；用 aws events put-rule 与 put-targets 将严重性大于等于 7 的发现路由到 Lambda 做隔离实例、吊销凭证或封禁 IP 等处置；用 list-findings 与 get-findings 调查攻击序列。
适用场景与限制：适用于 AWS 云上威胁检测与响应；不适用于 Azure 或 GCP 威胁检测、静态代码分析或合规态势监控。文中未提供收费与价格信息，其他平台细节暂未提供。