Postura y cumplimiento — Security Hub, Config e Inspector

GuardDuty te avisa cuando algo está pasando. Pero la mayoría de las brechas no empiezan con un atacante listo: empiezan con un bucket público, una clave de acceso que lleva dos años sin rotar o una librería con un CVE sin parchear. Eso es postura: el estado de configuración y exposición de tu entorno antes de que nadie lo ataque. Esta nota cubre las tres piezas con las que AWS la mide y la mejora —AWS Config, Amazon Inspector y AWS Security Hub— y cómo encajan en una cuenta de seguridad centralizada.

Postura vs. detección#

No son lo mismo y no se sustituyen:

Detección (GuardDuty, Detective) observa actividad: ¿hay un comportamiento malicioso ocurriendo ahora? Es dinámica y reactiva.
Postura (Config, Inspector, Security Hub) observa estado: ¿está esto bien configurado y sin vulnerabilidades conocidas? Es estática y preventiva.

La una reduce el trabajo de la otra: cuanta mejor postura, menos superficie para que la detección tenga que vigilar. Un Cloud Security Engineer vive en las dos.

Postura: de hallazgos a una puntuación que mejora

AWS · Cumplimiento

Paso 1 de 5Config evalúa

AWS Config graba la configuración de cada recurso y una regla lo marca COMPLIANT o NON_COMPLIANT. Dos de estos tres fallan.

AWS Config: el estado de cada recurso en el tiempo#

AWS Config es la base. Un grabador de configuración (configuration recorder) toma una instantánea de cada recurso cada vez que cambia, guardando el historial de “cómo estaba este recurso el martes a las 15:00”. Sobre ese estado evalúa reglas (Config rules), gestionadas por AWS o propias con Lambda, que marcan cada recurso como COMPLIANT o NON_COMPLIANT.

resource "aws_config_config_rule" "s3_no_public_read" {
  name = "s3-bucket-public-read-prohibited"
  source {
    owner             = "AWS" # regla gestionada
    source_identifier = "S3_BUCKET_PUBLIC_READ_PROHIBITED"
  }
}

Conformance packs#

Cablear reglas una a una no escala. Un conformance pack agrupa muchas reglas (y sus remediaciones) en una plantilla YAML que despliegas de golpe en una cuenta o, vía AWS Organizations, en toda la organización. AWS publica packs alineados con CIS, PCI DSS, NIST y FSBP; obtienes una puntuación de cumplimiento agregada por pack sin montar cada regla a mano.

Remediación#

Una regla que solo señala deja el trabajo a medias. Config puede asociar a cada regla una remediación automática mediante un documento de SSM Automation: cuando un recurso entra en NON_COMPLIANT, Config ejecuta el runbook que lo corrige (p. ej. activar el cifrado por defecto de un bucket).

Amazon Inspector: vulnerabilidades, no configuración#

Config mira cómo está configurado un recurso; Amazon Inspector mira qué software vulnerable contiene. Descubre y escanea de forma continua, sin agentes que mantener a mano:

Instancias EC2: paquetes del sistema operativo contra CVEs conocidos.
Imágenes de contenedor en ECR: las capas de la imagen, en el push y de forma continua.
Funciones Lambda: las dependencias del paquete y, con el escaneo de código, el propio código de la función.

Cada hallazgo lleva un Inspector score que ajusta el CVSS con contexto de tu entorno —si el recurso es alcanzable desde internet, si hay exploit conocido— para que priorices lo explotable de verdad y no una lista plana de miles de CVEs. En Citas, Inspector vigila las imágenes de la API en ECR antes de que ECS Fargate las despliegue.

Vulnerable

Seguro

CVE-2025-1111  CVSS 9.8  (en una lambda sin acceso de red)
CVE-2025-2222  CVSS 7.5  (en la imagen ECR de la API pública)
CVE-2025-3333  CVSS 9.1  (en una AMI que ya no usa nadie)
# ¿Por cuál empiezas? Todos "críticos".

CVE-2025-2222  score 8.9  ← API pública, exploit conocido · PRIMERO
CVE-2025-1111  score 4.2  ← sin ruta de red alcanzable
CVE-2025-3333  score 2.0  ← recurso sin uso, aislado

AWS Security Hub: el techo que lo une todo#

Config e Inspector producen hallazgos; también lo hacen GuardDuty, Macie y herramientas de terceros. AWS Security Hub los normaliza a todos en el formato ASFF (AWS Security Finding Format), los deduplica y los correlaciona en un solo panel. Además ejecuta estándares de controles automatizados y calcula una puntuación de seguridad por estándar:

AWS Foundational Security Best Practices (FSBP): la base que define AWS.
CIS AWS Foundations Benchmark: el benchmark de CIS para AWS.
PCI DSS y NIST SP 800-53: para entornos con esos requisitos.

La puntuación sube a medida que resuelves hallazgos; es la métrica que llevas a dirección. Muchos de esos controles se apoyan por debajo en AWS Config, así que Config no es opcional si quieres los estándares.

Cómo encajan en la cuenta de seguridad centralizada#

El patrón de AWS Organizations es el mismo para los tres: designa una cuenta de seguridad como administrador delegado de GuardDuty, Inspector, Config y Security Hub. Desde ahí:

Activas cada servicio en todas las cuentas miembro, con auto-enable para las nuevas.
Agregas los hallazgos de todas las cuentas y regiones en un único panel de Security Hub (agregación cross-región).
Despliegas conformance packs y estándares de forma organizacional, no cuenta a cuenta.
Enrutas los hallazgos a EventBridge para la auto-remediación.

En Citas, esa cuenta de seguridad es hermana de log-archive y está separada de prod y staging: quien comprometa una carga de trabajo no puede manipular ni los logs ni la postura.

Tu turno

Mide y sube tu puntuación de postura

En tu cuenta sandbox (nunca producción):

Activa Security Hub CSPM con el estándar FSBP y anota la puntuación inicial.
Activa AWS Config y despliega un conformance pack de muestra (p. ej. el operativo de FSBP). ¿Qué reglas salen NON_COMPLIANT?
Activa Inspector y mira qué CVEs aparecen en una imagen de contenedor que tengas a mano.
Corrige tres hallazgos concretos y vuelve a mirar la puntuación. Documenta qué cambió y cuánto subió.

Fíjate en cuánto sube la puntuación por cada arreglo: no todos los controles pesan igual.

Reto

¿Por qué Security Hub necesita que AWS Config esté activo?

▸Mostrar solución

Porque muchos de sus controles automatizados se evalúan a través de reglas de Config por debajo. Sin el grabador de configuración activo, esos controles no pueden comprobar el estado de los recursos y la puntuación del estándar queda incompleta.