GuardDuty y Detective — detectar e investigar
Detección gestionada de amenazas con Amazon GuardDuty (planes de protección, tipos de hallazgo y severidad, administrador delegado) e investigación con Amazon Detective.
Tienes CloudTrailAWS CloudTrailServicio de AWS que registra las llamadas a la API (quién, qué, cuándo, desde dónde) como eventos de gestión y, opcionalmente, de datos. organizacional, VPC Flow Logs y registros de DNS. Son terabytes de eventos donde cada llamada, por separado, parece normal. Escribir a mano las reglas que distinguen “la clave de CI usada a las 03:12 desde una IP nueva” del ruido de fondo es un trabajo sin fin. Esa es exactamente la pieza que Amazon GuardDuty te quita de encima: detección gestionada que ya trae los modelos y la inteligencia de amenazas. Esta nota cubre qué detecta, cómo son sus hallazgos, cómo se opera en una organización y cómo Amazon Detective convierte un hallazgo en una investigación.
Qué es GuardDuty#
GuardDutyAmazon GuardDutyServicio gestionado de detección de amenazas de AWS que analiza CloudTrail, VPC Flow Logs y DNS y genera hallazgos (findings). es un servicio de detección de amenazas gestionado: lo activas con un clic y empieza a analizar tus registros sin que despliegues agentes ni pipelines. Combina tres cosas que a mano cuestan muchísimo mantener:
- Inteligencia de amenazas: listas de IPs y dominios maliciosos conocidos (C2, Tor, minería), actualizadas por AWS.
- Modelos de anomalías por identidad: aprende la línea base de cada principal (qué API llama, desde dónde, a qué hora) y marca lo que se desvía.
- Detección multi-etapa: correlaciona señales débiles a lo largo del tiempo para ver un ataque completo, no solo eventos sueltos.
Sus fuentes fundamentales (foundational data sources) son tres y las consume de forma transparente, sin que las actives en tu propio trail: los eventos de gestión de CloudTrail, los VPC Flow Logs y los registros de consultas de DNS. Encima de esa base, activas planes de protección opcionales para ampliar la cobertura.
Paso 1 de 5Señales
GuardDuty consume de forma continua tres fuentes gestionadas —CloudTrail, registros de DNS y VPC Flow Logs— sin que montes ninguna canalización.
Planes de protección#
La base cubre el plano de control y la red. Los planes de protección (protection plans) añaden fuentes y análisis específicos; los activas según lo que ejecutes:
| Plan | Qué añade |
|---|---|
| S3 Protection | Analiza eventos de datos de S3 (sin activarlos en tu trail). |
| EKS Protection | Monitoriza los logs de auditoría del plano de control de EKS. |
| Runtime Monitoring | Agente ligero que ve el comportamiento en tiempo de ejecución en EKS, ECS-Fargate y EC2. |
| Malware Protection (EC2) | Escaneo de malware sobre volúmenes EBS tras un hallazgo sospechoso. |
| Malware Protection (S3) | Escanea objetos nuevos en buckets que elijas. |
| RDS Protection | Detecta accesos anómalos y sospechosos a tus bases de datos Aurora/RDS. |
| Lambda Protection | Analiza la actividad de red de tus funciones (p. ej. C2, minería). |
| AI Protection | Analiza eventos de datos de Bedrock y SageMaker (invocaciones anómalas, prompt injection). |
En Citas, los más rentables de entrada son S3 Protection (el bucket citas-adjuntos guarda PII) y Runtime Monitoring sobre el clúster ECS Fargate de la API. El resto se activa a medida que crece la superficie.
Tipos de hallazgo y severidad#
Cada hallazgo (finding) tiene un tipo con un formato estructurado que puedes leer de izquierda a derecha:
Propósito : TipoDeRecurso / FamiliaDeAmenaza . Mecanismo ! ArtefactoThreatPurpose:ResourceTypeAffected/ThreatFamilyName.DetectionMechanism!Artifact
# EjemplosUnauthorizedAccess:IAMUser/MaliciousIPCallerCryptoCurrency:EC2/BitcoinTool.B!DNSExfiltration:S3/AnomalousBehaviorEl propósito (ThreatPurpose) se alinea con las tácticas que ya conoces de ATT&CK: InitialAccess, Discovery, Persistence, CredentialAccess, Exfiltration, Impact, DefenseEvasion… El recurso te dice qué está afectado (IAMUser, EC2, S3, EKS) y el mecanismo cómo se detectó (anomalía vs. lista de amenazas).
La severidad es un número de 1.0 a 10.0 repartido en cuatro niveles:
| Nivel | Rango | Lectura práctica |
|---|---|---|
| Critical | 9.0–10.0 | Ataque en curso. Reserva para los attack sequences (ver abajo). |
| High | 7.0–8.9 | Recurso probablemente comprometido. Responde ya. |
| Medium | 4.0–6.9 | Actividad sospechosa que merece triaje. |
| Low | 1.0–3.9 | Intento bloqueado o reconocimiento. Útil para correlacionar. |
Administrador delegado en la cuenta de seguridad#
No gestiones GuardDuty cuenta por cuenta. En AWS Organizations designa una cuenta de seguridad como administrador delegado (delegated administrator) de GuardDuty: desde ahí activas el servicio en todas las cuentas miembro (incluidas las nuevas, con auto-enable), ves todos los hallazgos en un panel y defines las listas de confianza y de amenazas. En Citas, esa cuenta es la hermana de log-archive, separada de prod y staging, para que quien comprometa una carga de trabajo no pueda silenciar la detección.
Los hallazgos del administrador delegado se publican en EventBridge, que es la vía para automatizar la respuesta (lo vemos en auto-remediación).
Amazon Detective: del hallazgo a la investigación#
Un hallazgo te dice qué pasó; la pregunta cara es “¿es esto normal para este principal?”. Responderla a mano significa cruzar CloudTrail, Flow Logs y DNS durante horas. Amazon Detective lo hace por ti: ingiere de forma continua esos registros más los hallazgos de GuardDuty y los une en un grafo de comportamiento (behavior graph) que relaciona identidades, recursos, IPs y volúmenes a lo largo del tiempo.
Cuando pivotas desde un hallazgo de GuardDuty a Detective, obtienes de un vistazo:
- La línea base de esa identidad: qué API llama normalmente, desde qué geografías y ASN, con qué volumen.
- Qué hizo antes y después del evento: la ventana temporal completa, no solo el instante del hallazgo.
- Las finding groups: Detective agrupa hallazgos relacionados para que veas la causa raíz de un incidente de alta severidad en lugar de alertas sueltas.
Qué NO hace por ti#
Tu turno
Detona, detecta e investiga en tu laboratorio
En una cuenta sandbox propia (nunca en producción ni contra sistemas de terceros):
- Activa GuardDuty y, si puedes, S3 Protection y Runtime Monitoring.
- Genera hallazgos de prueba con las muestras de GuardDuty (
CreateSampleFindings) y, con más realismo, detona una técnica con Stratus Red Team (p. ej.aws.credential-access.ec2-get-password-data). - Abre el hallazgo, lee su tipo campo a campo y clasifícalo por severidad.
- Pivota a Detective y responde por escrito: ¿esta actividad se desvía de la línea base de ese principal? ¿Qué harías en los primeros 15 minutos?
Anota el tiempo desde la detonación hasta la alerta: ese número es tu MTTD real.
Reto
¿Por qué un attack sequence es siempre Critical y un hallazgo suelto no?
▸Mostrar solución
Porque un AttackSequence:… no es una señal aislada: es una cadena correlacionada de varias
etapas (acceso → descubrimiento → exfiltración) en una ventana de 24 h. Que todas esas piezas
encajen implica una intrusión en marcha, no una anomalía puntual que podría ser ruido.
Reto
GuardDuty marca una IP de tu VPN corporativa como MaliciousIPCaller. ¿Apagas la regla?
▸Mostrar solución
No. Añade ese rango a una lista de confianza (trusted IP list) o suprime esa combinación concreta con un filtro. Apagar el tipo de hallazgo o el servicio te deja ciego ante el mismo patrón cuando venga de una IP que sí es maliciosa.
En resumen#
- GuardDuty = detección gestionada: inteligencia de amenazas + anomalías por identidad sobre CloudTrail, Flow Logs y DNS, sin montar nada.
- Los planes de protección (S3, EKS, Runtime, Malware, RDS, Lambda, AI) amplían la cobertura según lo que ejecutes; empieza por lo que proteja tus datos.
- Los hallazgos tienen un tipo estructurado y severidad en cuatro niveles (Critical 9–10, High, Medium, Low). Los attack sequences de Extended Threat Detection son siempre Critical.
- Opéralo con un administrador delegado en la cuenta de seguridad y enruta los hallazgos por EventBridge.
- Detective no alerta: investiga. Convierte un hallazgo en un grafo de comportamiento con línea base y contexto temporal.