关于Guard Duty EC2实例恶意软件扫描是否需EBS快照的确认

核心结论 #

针对EC2实例的GuardDuty恶意软件扫描（主动发起/按需扫描）不需要预先配置EBS快照策略，也无需用户手动创建EBS快照。

细节说明 #

• GuardDuty执行扫描时，会自动创建目标EC2挂载EBS卷的临时副本，扫描完成后自动清理这些临时资源，全程无需用户干预。文档中提及的“从快照创建副本”是其内部技术实现流程，和用户预先配置的快照策略无关。
• 你对Inspector的判断完全正确：Amazon Inspector的漏洞扫描确实依赖EBS快照（或直接访问EBS卷），可能需要用户配置相关权限或快照策略，但这一逻辑不适用于GuardDuty的恶意软件扫描。

实际使用验证 #

在实际运维场景中，只要GuardDuty拥有EC2和EBS的基础权限（默认启用GuardDuty时会自动配置），就能直接对运行中的EC2发起恶意软件扫描，不需要额外设置快照相关规则。扫描过程中不会在你的快照列表中留下持久化的快照资源。

内容的提问来源于stack exchange，提问作者Deepti Saini