AWS Primeros Pasos
IdiomaEspañol
Seguridad

Detección de amenazas con Amazon GuardDuty - Detección de anomalías basada en ML y respuesta a incidentes

Aprende cómo GuardDuty detecta amenazas, clasifica hallazgos e integra con Security Hub para la respuesta a incidentes.

Unos 7 min de lectura

Descripcion general de GuardDuty

GuardDuty es un servicio que detecta continuamente amenazas a tus cuentas y cargas de trabajo de AWS. Analiza automaticamente eventos de CloudTrail, VPC Flow Logs y consultas DNS para detectar llamadas API no autorizadas, mineria de criptomonedas, comunicacion con servidores C&C, ataques de fuerza bruta y mas. Tras habilitarlo, el análisis comienza sin habilitar nada más, y no requiere cambios en la configuración de logs existente. GuardDuty adquiere los datos de log de forma independiente, por lo que los usuarios no necesitan tener VPC Flow Logs o CloudTrail habilitados manualmente. El motor de deteccion combina dos enfoques: feeds de inteligencia de amenazas gestionados por AWS (direcciones IP maliciosas conocidas y listas de dominios) y modelos ML de linea base de comportamiento especificos de la cuenta.

Hallazgos y respuesta

Los hallazgos se clasifican en tipos como Recon (reconocimiento), UnauthorizedAccess, CryptoCurrency (mineria) y Trojan. Para los hallazgos de alta severidad, puedes usar reglas de EventBridge para activar funciones Lambda que revoquen automáticamente credenciales IAM comprometidas o aíslen instancias EC2. La integración con Security Hub permite revisar los hallazgos de GuardDuty junto con los resultados de otros servicios de seguridad. Una arquitectura práctica de remediación automatizada implica: GuardDuty genera un hallazgo de alta severidad UnauthorizedAccess:IAMUser -> EventBridge -> Lambda deshabilita las claves de acceso del usuario IAM afectado y solicita el restablecimiento de MFA ->SNS notifica al equipo de operaciones.

Planes de proteccion e integracion con Organizations

Los planes de protección de GuardDuty incluyen S3 Protection, EKS Protection, Runtime Monitoring (detección de amenazas en tiempo de ejecución para Amazon EKS, Amazon EC2 y Amazon ECS, incluido AWS Fargate), Malware Protection for EC2 (escaneo de los volúmenes de EBS asociados a las instancias EC2), Malware Protection for S3, RDS Protection, Lambda Protection, entre otros. La integración con Organizations permite gestionar GuardDuty en varias cuentas de forma conjunta y configurar la habilitación automática para cuentas nuevas. Los hallazgos se pueden enviar a Security Hub para agregarlos. Runtime Monitoring despliega un agente de GuardDuty en hosts o contenedores para monitorear acceso a archivos, ejecucion de procesos y conexiones de red a nivel de kernel. Esto sirve para detectar amenazas en tiempo de ejecución como la inyección de procesos y las reverse shells.

Optimizacion de costos de GuardDuty

El precio de la detección básica de amenazas de GuardDuty depende del volumen de eventos y logs analizados. Cada plan de protección genera un cargo aparte por la parte que habilites. Al habilitar GuardDuty por primera vez, los planes de protección, excepto Runtime Monitoring, también se incluyen en la prueba gratuita de 30 días, así que comprueba los costos durante ese periodo. Malware Protection se cobra por volumen de datos escaneados, asi que limita los objetivos de escaneo a cargas criticas. Si los costos son mayores de lo esperado, revisa la pagina Usage en la consola de GuardDuty para ver el desglose por fuente de datos, deshabilita planes de proteccion innecesarios, o revisa patrones de acceso de buckets S3 con alta frecuencia de eventos.

Ajuste de precision de deteccion y gestion de falsos positivos

Inmediatamente después de habilitar GuardDuty pueden aparecer falsos positivos, así que ajusta la configuración de detección para estabilizar la operación. Registrar las IPs globales corporativas y las IPs de salida VPN en Trusted IP Lists suprime automaticamente los hallazgos generados desde estas direcciones. Similarmente, puedes agregar inteligencia de amenazas personalizada a Threat IP Lists para mejorar la precision de deteccion. Los hallazgos repetitivos para recursos específicos se pueden ocultar usando Suppression Rules, pero reglas demasiado amplias arriesgan perder amenazas reales, así que configura condiciones estrechas, como ID de cuenta específica + ARN de recurso específico + tipo de hallazgo específico. Integrar hallazgos con Amazon Detective permite que GuardDuty muestre "qué pasó" mientras Detective visualiza "por qué y cómo" a través del historial de comportamiento de direcciones IP y líneas de tiempo de llamadas API, lo que sirve para la investigación.

Diferenciacion de roles con otros servicios de seguridad

Los servicios de seguridad de AWS difieren en objetivos de detección y propósitos, así que puedes construir una defensa en profundidad combinando múltiples servicios alrededor de GuardDuty. El proposito principal de GuardDuty es la deteccion continua de anomalias en el comportamiento de cuentas y comunicaciones de red. Para investigacion post-incidente usa Amazon Detective, para escaneo de vulnerabilidades usa Amazon Inspector, y para misconfiguracion de politicas IAM usa IAM Access Analyzer. Security Hub sirve como hub central agregando hallazgos de todos estos servicios y proporciona verificaciones de cumplimiento basadas en estandares como AWS Foundational Security Best Practices. En un enfoque por fases, habilitas GuardDuty primero, revisas sus hallazgos y luego agregas Detective o Inspector mientras compruebas los costos. En entornos multicuenta, puedes designar una cuenta de seguridad como administrador delegado y agregar los hallazgos de GuardDuty de todas las cuentas miembro en esta cuenta.

Resumen

GuardDuty es un servicio que detecta automaticamente amenazas en tu entorno AWS usando ML e inteligencia de amenazas. Sus planes de protección para S3, EKS, Lambda, RDS y Runtime Monitoring amplían el alcance de la detección, mientras que la integración con Organizations permite gestionar GuardDuty en varias cuentas de forma conjunta. A través de la integración con EventBridge, las acciones de remediación para los hallazgos se pueden ejecutar automáticamente. Trusted IP Lists y Suppression Rules reducen los falsos positivos, y la integración con Detective apoya la investigación.

Referencias (recursos oficiales de AWS)

Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.

Si esta página y la documentación oficial difieren, prevalece la documentación oficial.

Compartir

Servicios relacionados

Amazon GuardDuty PopularUn servicio de detección de amenazas impulsado por aprendizaje automáticoAWS Security Hub PopularGestione centralmente la postura de seguridad de AWS y verifique automáticamente el cumplimiento de mejores prácticasAmazon Detective EspecializadoUn servicio que analiza automáticamente hallazgos de seguridad e investiga la causa raíz

Artículos relacionados

Investigación de incidentes de seguridad con Amazon Detective - Identificación de causas raíz mediante análisis de grafosExplicamos la investigación de hallazgos de GuardDuty con Detective, perfiles de entidades y el uso de grafos de comportamiento.Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Escaneo automatizado de vulnerabilidades con Amazon Inspector - Evaluación continua de seguridad para EC2, Lambda y ECREscanea automáticamente las vulnerabilidades de instancias EC2, imágenes de contenedores ECR y funciones Lambda, y las prioriza con puntuaciones de riesgo basadas en CVE. Explica cómo se logra también el escaneo sin agente mediante la integración con el agente de Systems Manager.

Más sobre este tema

Detección de permisos excesivos con IAM Access Analyzer - Análisis de acceso externo y permisos no utilizadosDetecte los permisos no utilizados de los roles IAM a partir de CloudTrail y genere automáticamente políticas de mínimo privilegio. Explicamos desde la detección de acceso externo hasta la incorporación de verificaciones de políticas personalizadas en CI/CD.Gestión automatizada de certificados SSL/TLS con AWS Certificate Manager - De la emisión a la rotaciónExplicamos la emisión gratuita de certificados públicos con ACM, la validación DNS, la renovación automática y el despliegue en ALB / CloudFront.Obtención de informes de cumplimiento con AWS Artifact - Respuesta a auditorías y gestión de contratosPresenta cómo obtener informes de auditoría SOC, PCI DSS e ISO bajo demanda, y aplicar BAA y GDPR DPA de forma masiva a toda la organización con Organizations.Automatización de auditorías - Recopilación continua de evidencias de cumplimiento con AWS Audit ManagerExplica la recopilación automática de evidencias de auditoría con AWS Audit Manager. Presenta la evaluación automática basada en frameworks (SOC 2, PCI DSS, GDPR, etc.), gestión centralizada de evidencias y generación de informes de auditoría.La estructura oculta de los 12 dígitos del ID de cuenta de AWS - Por qué son 12 dígitos y qué se puede inferirUna exploración curiosa de por qué los ID de cuenta de AWS son números de 12 dígitos, la intención de diseño incorporada en la estructura ARN, y las consideraciones de seguridad sobre lo que se puede inferir a partir de un ID de cuenta.Por qué el usuario root de una cuenta AWS es peligroso - Filosofía de diseño de separación de privilegios y práctica de selladoExplicamos por qué el usuario root de AWS tiene privilegios que IAM no puede restringir, la lista de operaciones que solo el usuario root puede realizar, cómo configurar MFA y la estrategia de sellado mediante la gestión de acceso root de Organizations.Gestión de certificados y HTTPS - Operaciones automatizadas de certificados TLS con AWS Certificate ManagerAprenda sobre la emisión de certificados TLS/SSL, renovación automática y despliegue usando AWS Certificate Manager (ACM). Cubre la integración con CloudFront, ALB y API Gateway, validación DNS y uso de Private CA.Gestión dedicada de claves con AWS CloudHSM - Cifrado compatible con FIPS 140-3 Level 3Logre gestión de claves compatible con FIPS 140-3 Level 3 con instancias HSM dedicadas. Aprenda cuándo elegir CloudHSM sobre KMS y cómo integrar ambos mediante almacenes de claves personalizados de KMS.

Artículos y servicios similares

Amazon GuardDutyServicio gestionado de detección de amenazas que monitorea y detecta continuamente amenazas en cuentas AWS y cargas de trabajo utilizando machine learning e inteligencia de amenazasInvestigación de incidentes de seguridad con Amazon Detective - Identificación de causas raíz mediante análisis de grafosExplicamos la investigación de hallazgos de GuardDuty con Detective, perfiles de entidades y el uso de grafos de comportamiento.Investigación de seguridad y análisis de amenazas - Eficiencia en la respuesta a incidentes con Amazon DetectiveExplicamos las técnicas de investigación de incidentes de seguridad y análisis de amenazas utilizando Amazon Detective. Presentamos el flujo de trabajo desde la detección hasta la investigación mediante la integración con GuardDuty y el método de identificación de causas raíz mediante análisis basado en grafos.Evaluación de vulnerabilidades y detección de amenazas - Monitoreo continuo de seguridad con Amazon Inspector y GuardDutyExplicamos el diseño y operación de la evaluación de vulnerabilidades y detección de amenazas utilizando Amazon Inspector y Amazon GuardDuty.