Cadena de herramientas de respuesta a incidentes de AWS - Plataforma de investigación integrada desde CloudTrail hasta Security Hub
Explicamos la cadena de herramientas de respuesta a incidentes de AWS que combina CloudTrail, Config, Detective y Security Hub, comparando las diferencias en el enfoque de investigación con Azure Sentinel.
Requisitos de una cadena de herramientas para respuesta a incidentes
Cuando ocurre un incidente de seguridad, lo que se requiere del equipo de respuesta es identificar rápidamente qué ocurrió, cuándo ocurrió, quién estuvo involucrado y cuál es el alcance del impacto. Para responder a estas 4 preguntas, se necesitan registros de llamadas API, historial de cambios de configuración de recursos, análisis de tráfico de red y visualización de relaciones entre entidades. AWS aborda estos requisitos con una división de roles donde CloudTrail registra las llamadas API, Config rastrea los cambios de configuración de recursos, VPC Flow Logs registra el tráfico de red y Detective integra estos datos para visualizar las relaciones entre entidades.
CloudTrail - Registro de todas las llamadas API
CloudTrail es un servicio que registra todas las llamadas API ejecutadas dentro de una cuenta de AWS y es la fuente de datos más fundamental para la respuesta a incidentes. Los eventos de gestión (operaciones del plano de control) se retienen por defecto durante 90 días, permitiendo investigar operaciones pasadas sin configuración adicional. Los eventos de datos (acceso a objetos S3, invocaciones de Lambda, etc.) requieren habilitación explícita, pero una vez habilitados registran completamente las operaciones del plano de datos. CloudTrail Lake, introducido en 2022, permite consultar eventos de CloudTrail directamente con SQL, eliminando la necesidad de configurar Athena sobre S3.
Seguimiento de cambios de configuración de recursos con Config
AWS Config es un servicio que registra continuamente los cambios de configuración de los recursos en la cuenta y proporciona una línea temporal de configuración. El rol que Config cumple en la respuesta a incidentes es comprender con precisión cómo cambió la configuración de los recursos antes y después del incidente. Por ejemplo, si se sospecha una fuga de datos de un bucket S3, revisando la línea temporal de Config se puede identificar cuándo se modificó la política del bucket y cuándo se deshabilitó el bloqueo de acceso público. Con Config Rules se pueden detectar en tiempo real los cambios de configuración que violan los estándares de seguridad.
Investigación integrada con Detective y Security Hub
Amazon Detective ingiere automáticamente logs de CloudTrail, VPC Flow Logs, hallazgos de GuardDuty y logs de auditoría de EKS, acumulándolos en una base de datos de grafos. Visualiza las relaciones entre entidades (usuarios IAM, roles, direcciones IP, instancias EC2, etc.) como un grafo, permitiendo comprender intuitivamente la imagen completa del incidente. Cuando GuardDuty genera una alerta de llamada API sospechosa, se puede iniciar la investigación desde esa alerta en Detective. Security Hub agrega los hallazgos de seguridad de múltiples servicios de AWS en formato ASFF (AWS Security Finding Format), proporcionando una vista unificada del estado de seguridad.
Comparación del enfoque de investigación con Azure Sentinel
Azure Sentinel (ahora Microsoft Sentinel) es un SIEM/SOAR nativo de la nube con un enfoque fundamentalmente diferente al de AWS para la respuesta a incidentes. Sentinel adopta un enfoque centralizado que agrega todos los logs en un workspace de Log Analytics y los analiza transversalmente con KQL (Kusto Query Language). Esto contrasta con el enfoque distribuido de AWS donde cada servicio se encarga de su área especializada y se coordinan mediante ASFF. La fortaleza de Sentinel es el soporte multi-fuente que puede ingerir logs no solo de Azure sino también de AWS, GCP y on-premises, junto con la integración con el ecosistema de Microsoft.
Resumen
La cadena de herramientas de respuesta a incidentes de AWS se compone del registro completo de llamadas API con CloudTrail, el seguimiento de cambios de configuración con Config, la visualización de relaciones entre entidades con Detective y la agregación centralizada de hallazgos con Security Hub. La arquitectura distribuida donde cada servicio se especializa en su área y se coordina mediante ASFF permite cubrir desde la detección hasta la investigación y contención de incidentes sin necesidad de un SIEM de terceros. Azure Sentinel tiene fortalezas en soporte multi-fuente e integración con el ecosistema Microsoft, pero requiere gestión de costos de ingesta de logs.