Amazon GuardDuty
Servicio gestionado de detección de amenazas que monitorea y detecta continuamente amenazas en cuentas AWS y cargas de trabajo utilizando machine learning e inteligencia de amenazas
Descripción general
Amazon GuardDuty es un servicio de detección de amenazas que monitorea continuamente la actividad maliciosa y el comportamiento no autorizado en el entorno AWS. Analiza múltiples fuentes de datos como CloudTrail logs, VPC Flow Logs y DNS logs, utilizando machine learning, detección de anomalías e inteligencia de amenazas integrada para identificar actividades sospechosas.
Clasificación de tipos de detección y lectura de severidad
GuardDuty clasifica las detecciones en tipos que indican la naturaleza de la amenaza: Recon (reconocimiento), UnauthorizedAccess (acceso no autorizado), Trojan, CryptoCurrency (minería), Exfiltration (exfiltración de datos), entre otros. Cada hallazgo tiene una severidad (Low, Medium, High) que indica la urgencia de respuesta. Los hallazgos High requieren investigación inmediata (ej: credenciales comprometidas, comunicación con servidores C&C). Los Medium indican actividad sospechosa que merece revisión. Los Low son informativos y pueden indicar intentos de reconocimiento. La combinación de tipo y severidad guía la priorización de la respuesta.
Remediación automática con integración EventBridge
GuardDuty publica cada hallazgo como evento en EventBridge, permitiendo construir respuestas automatizadas. Patrones comunes incluyen: revocar automáticamente credenciales IAM comprometidas, aislar instancias EC2 sospechosas modificando su security group, bloquear IPs maliciosas en WAF, y notificar al equipo de seguridad vía SNS. Lambda funciona como el motor de remediación, ejecutando la lógica de respuesta apropiada según el tipo y severidad del hallazgo. Step Functions orquesta flujos de respuesta complejos que requieren múltiples pasos y aprobaciones humanas.
Entorno multi-cuenta y funciones de protección adicional
En entornos Organizations, GuardDuty se habilita centralmente desde la cuenta de administrador delegado, cubriendo automáticamente todas las cuentas miembro. Los hallazgos de todas las cuentas se agregan en la cuenta de seguridad para visibilidad centralizada. Las funciones de protección adicional incluyen: S3 Protection (monitoreo de acceso a datos en S3), EKS Audit Log Monitoring (detección de amenazas en clústeres Kubernetes), Malware Protection (escaneo de volúmenes EBS), y RDS Login Activity (detección de intentos de acceso anómalos a bases de datos). Cada protección adicional se habilita independientemente según las necesidades.