c1.8 Detectar amenazas activas
Detecte de forma continua amenazas activas —reconocimiento, uso indebido de credenciales, command-and-control, comportamiento anómalo— en todas sus cuentas. La forma más simple de lograrlo es la detección gestionada con un clic de Amazon GuardDuty; luego asegúrese de que alguien (o una automatización) actúe sobre los hallazgos.
Guía de implementación
Detección de amenazas gestionada con un clic
Amazon GuardDuty es la forma más simple de detectar amenazas comunes en entornos cloud. Habilítalo para toda la organización y analizará CloudTrail, DNS, VPC flow y otras señales para exponer reconocimiento, command-and-control, escalación de privilegios, exfiltración de credenciales y comportamiento anómalo — sin agentes ni pipelines de logs que construir.
Extended Threat Detection
GuardDuty Extended Threat Detection correlaciona múltiples señales a lo largo del tiempo en un solo hallazgo de secuencia de ataque, de modo que un ataque de varias etapas aparece como una sola historia de severidad alta en lugar de eventos dispersos de baja severidad. Planes de protección opcionales extienden la cobertura a S3, EKS/runtime, actividad de login de RDS, Lambda y malware.
La detección necesita quién responda
GuardDuty es un servicio de detección — solo aporta valor si se actúa sobre los hallazgos. Envía los hallazgos críticos a una notificación (EventBridge hacia Amazon SNS) e, idealmente, a una respuesta automatizada. Asegúrate de que el equipo esté entrenado para leer los hallazgos de GuardDuty y actúa primero sobre los de severidad crítica/alta.
La detección personalizada más rica (SIEM, UEBA, detección de anomalías de red) vale la pena más adelante, pero su esfuerzo y costo la sacan de un Quick Win — GuardDuty te da una cobertura sólida ahora.
Cómo encaja
Cómo validar
- ¿Está GuardDuty habilitado en toda la organización (todas las cuentas y Regiones)?
- ¿Los hallazgos críticos se envían a una notificación y/o a una respuesta automatizada?
- ¿El equipo está entrenado para entender y triar los hallazgos de GuardDuty?
Amenazas que atiende
- GuardDuty detecta a los adversarios temprano — durante el reconocimiento y las técnicas de ataque comunes — antes de que alcancen su objetivo.
- Es un servicio de detección: sin que alguien o algo actúe sobre los hallazgos, la detección por sí sola no detiene el ataque.
Servicios AWS
Amazon GuardDuty 
AWS Security Hub 
Amazon EventBridge Precios
GuardDuty factura por el volumen analizado, con una prueba gratuita de 30 días que reporta el uso que se te facturaría para que estimes el costo. Consulta los precios de GuardDuty.