GuardDuty pricing sau free trial
What — Cấu trúc phí
GuardDuty có 2 lớp pricing:
- Foundational threat detection — luôn bật, không tắt được. Phân tích CloudTrail management events + VPC Flow Logs + DNS query logs.
- Protection plans tuỳ chọn — 7 plans (S3, EKS, Runtime, Malware for EC2, Malware for S3, RDS, Lambda). Bật/tắt độc lập, mỗi plan billing metric khác nhau.
Why — Cần biết để tránh bill shock
Community AWS hay report GuardDuty bill nhảy từ $15 → $400/tháng sau khi bật thêm protection plans. Nếu không hiểu cấu trúc phí → bật hết mặc định → surprise bill.
How — Mức phí chi tiết (us-east-1, tính đến 2026)
Foundational (luôn có)
| Data source | Phí |
|---|---|
| CloudTrail management events | $4.00 / triệu events |
| VPC Flow Logs + DNS query logs | $1.00/GB (500GB đầu) → $0.50/GB (2,000GB tiếp) → giảm dần |
Protection plans tuỳ chọn
| Plan | Metric | Ví dụ giá |
|---|---|---|
| S3 Protection | CloudTrail S3 data events | $0.80 / triệu events (500M đầu) |
| EKS Audit Log | Events | $1.60 / triệu events (100M đầu) |
| Malware for EC2 | GB scanned | $0.05/GB |
| Malware for S3 | Objects evaluated + GB scanned | $0.215/1000 objects + $0.09/GB |
| RDS Protection | vCPU | ~$0.48/vCPU/tháng (ap-southeast-1) |
| Lambda Protection | GB VPC Flow Logs | $1.00/GB |
| Runtime Monitoring | vCPU | tuỳ region |
Ước tính thực tế
| Môi trường | Chi phí / tháng |
|---|---|
| Account lab/học, ít activity | $3–9 |
| Side project nhỏ, foundational only | $10–30 |
| Môi trường nhỏ (5 accounts, S3 Protection bật) | $10–100 |
| Mid-size (50 accounts, EKS + RDS) | $500–2,000 |
Gotchas
- Foundational không tắt được: Muốn tránh phí foundational = phải disable hoàn toàn GuardDuty. Không có option "bật GuardDuty nhưng không tính phí foundational".
- Per-region: 30 ngày free trial tính riêng cho từng account TỪNG region. Nếu bật GuardDuty ở
ap-southeast-1vàus-east-1→ 2 free trial riêng. - Usage tab trong console: Trong 30 ngày free trial, GuardDuty hiển thị projected cost theo từng data source. Đây là cách tốt nhất để estimate bill thật trước khi hết trial.
- S3 Protection: Log level S3 data events rất cao với bucket hoạt động nhiều (analytics, logging buckets). Cân nhắc không bật S3 Protection cho các bucket này.
- Price cut tháng 2/2025: Malware Protection for S3 giảm 85% — từ $0.60 xuống $0.09/GB. Nếu đã dismiss vì đắt trước đây thì re-evaluate lại.
When / When not
Nên giữ bật sau free trial:
- Account production hoặc có workload thực tế
- Account có IAM user/role được share với người khác
- Môi trường cần compliance audit
Có thể tắt sau khi học/test:
- Account thuần lab không chạy workload thật
- Muốn tránh ~$3–9/tháng foundational cost
Protection plans nên bật thêm:
- S3 Protection: nếu có sensitive data trên S3
- EKS: nếu chạy EKS cluster
- Malware for EC2: nếu EC2 xử lý file upload từ user
- Các plan khác: chỉ khi workload cụ thể yêu cầu
Connection
GuardDuty là tầng detection trong security model:
Prevention → IAM policies, Security Groups, NACLs
Detection → GuardDuty (threat), Config Rules (compliance)
Response → EventBridge + Lambda auto-remediation
Aggregation → Security HubFindings của GuardDuty → ship sang Security Hub → trigger EventBridge rule → Lambda auto-remediate.
Hands-on
Trước khi hết free trial:
GuardDuty → Usage→ xem projected monthly cost theo từng data source- So sánh cost của Foundational vs từng protection plan
- Quyết định bật/tắt plan nào dựa trên workload thực tế
- Set CloudWatch alarm hoặc AWS Budget riêng để alert nếu GuardDuty cost vượt ngưỡng
# Xem GuardDuty usage qua CLI
aws guardduty get-usage-statistics \
--detector-id <detector-id> \
--usage-statistic-type SUM_BY_DATA_SOURCE \
--usage-criteria '{"DataSources":["CLOUD_TRAIL","DNS_LOGS","FLOW_LOGS","S3_LOGS"]}'Glossary
Threat intelligence feed [^threat-intel-feed]
What: Danh sách IP/domain được biết là độc hại, được cập nhật liên tục từ nhiều nguồn (AWS internal, third-party security vendors).
Why: GuardDuty dùng để so sánh với traffic trong account — nếu EC2 communicate với IP trong feed → finding.
Connection: Tương đương blacklist trong spam filter email.
VPC Flow Logs [^vpc-flow-logs]
What: Metadata của network traffic (source/dest IP, port, bytes, accept/reject) — không phải content packet.
Why: GuardDuty dùng Flow Logs để detect port scanning, unusual traffic patterns, communication với known bad IPs.
Gotchas: Flow Logs tạo ra volume data lớn → chi phí GuardDuty tăng nếu có nhiều traffic. Lambda Protection (phân tích Lambda VPC Flow Logs) đặc biệt đắt: $1.00/GB.
ML-based detection [^ml-detection]
What: GuardDuty học behavior baseline của account (login time, geographic location, API call patterns) rồi alert khi có anomaly.
Why: Phát hiện được attack mới chưa có trong known threat list — ví dụ account A chưa bao giờ login từ VN lúc 3am, đột nhiên có → alert dù IP chưa bị blacklist.
Gotchas: Cần thời gian để học baseline. Account mới sẽ có nhiều false positive hơn trong tuần đầu.