c1.14 Actuar sobre los hallazgos de seguridad críticos
La detección no sirve sin respuesta. Deje que AWS Security Hub correlacione y priorice los hallazgos de GuardDuty, Security Hub CSPM, Inspector y Macie, alerte sobre los críticos/altos y asegúrese de que una persona o equipo designado actúe sobre ellos, y sepa cómo contactar a AWS ante un incidente activo.
Guía de implementación
Centralice, correlacione y alerte
Los hallazgos de sus servicios de detección —Amazon GuardDuty, los security checks de AWS Security Hub CSPM, IAM Access Analyzer, Amazon Inspector, Amazon Macie— se enrutan automáticamente a AWS Security Hub, que los correlaciona y enriquece a través de cuentas y Regiones para exponer y priorizar los riesgos reales. Enrute los hallazgos de severidad crítica y alta a una notificación (EventBridge → Amazon SNS, o una integración Lambda a Slack/Teams). Si ya opera un SIEM, reenvíe los hallazgos ahí y alerte desde él.
Nota de nomenclatura: desde finales de 2025 hay dos servicios. AWS Security Hub es la capa unificada que correlaciona y prioriza señales para la respuesta; AWS Security Hub CSPM (lo que antes se llamaba "AWS Security Hub") hace posture management y verificaciones de buenas prácticas. Los hallazgos de CSPM fluyen hacia AWS Security Hub.
Alguien debe actuar
Un control detective solo mejora su postura cuando un humano o una automatización realmente investiga y remedia. Designe a la persona o equipo responsable, capacítelos y —como Quick Win— comprométase a actuar al menos sobre los hallazgos críticos/altos conforme llegan. Las alertas deberían llegar a más de una persona.
Sepa cómo escalar un incidente real
Enseñe al equipo a distinguir un riesgo (un hallazgo a corregir) de un incidente de seguridad activo (algo que está pasando ahora). Ante un incidente activo puede recurrir al AWS Customer Incident Response Team (CIRT) —asistencia gratuita durante un evento activo— y, con Enterprise Support, a su Technical Account Manager.
Hallazgos sobre los que debe actuar de inmediato
- Una notificación de abuso de AWS (su cuenta está atacando a otros; probablemente comprometida).
- Una access key expuesta (vía notificación o Trusted Advisor).
- Un hallazgo crítico de GuardDuty como command-and-control o tráfico Tor; vea los tipos de hallazgos de GuardDuty.
Ver video
Cómo validar
- ¿Hay una persona o equipo designado y capacitado para actuar sobre los hallazgos críticos?
- ¿Las alertas están configuradas para llegar a más de una persona?
- ¿Los hallazgos se correlacionan y centralizan en AWS Security Hub en todas las cuentas y Regiones?
- ¿El equipo distingue un riesgo de un incidente activo y sabe que existe el AWS CIRT?
Amenazas que atiende
- Los controles detectivos que identifican riesgos no aportan seguridad a menos que alguien —un humano o una automatización— actúe para investigar y contener la amenaza. Los hallazgos que se acumulan sin leer no son protección.
Servicios AWS
AWS Security Hub 
Amazon GuardDuty 
Amazon EventBridge Precios
AWS Security Hub ofrece una prueba gratuita de 30 días. AWS Security Hub CSPM incluye un nivel gratuito perpetuo de los primeros 10,000 eventos de ingesta de hallazgos por cuenta por Región al mes (los eventos de sus propios security checks no se cobran); el uso por encima se cobra por evento. El AWS CIRT brinda soporte gratuito durante incidentes de seguridad activos. Vea precios de AWS Security Hub.