c3.21 Investigar incidentes de seguridad
Cuando se dispara un hallazgo, necesita llegar rápido a la causa raíz: separar un falso positivo de un incidente real, entender el radio de impacto y decidir qué contener. Construya esta capacidad de investigación con herramientas correlacionadas, idealmente asistidas por IA; AWS ofrece varias opciones complementarias.
Guía de implementación
La capacidad, no una sola herramienta
El objetivo de este control es la capacidad de investigar un hallazgo de seguridad hasta su causa raíz: correlacionar señales entre servicios, distinguir el comportamiento normal del anómalo, entender el radio de impacto y descartar falsos positivos, con rapidez para que el dwell time se mantenga bajo. Varios servicios de AWS lo entregan, y son complementarios en vez de excluyentes:
- Amazon Detective: correlaciona automáticamente AWS CloudTrail, VPC Flow Logs y los hallazgos de GuardDuty en un grafo de comportamiento enlazado con geolocalización y una línea base de actividad normal, para que los analistas rastreen un incidente sin construir el pipeline por su cuenta.
- Amazon GuardDuty investigation agent: evaluación de amenazas asistida por IA, bajo demanda que investiga un hallazgo y resume lo ocurrido.
- AWS Security Incident Response: combina triaje automatizado con un agente de investigación asistido por IA y acceso 24/7 al AWS Customer Incident Response Team (CIRT) para eventos activos.
- AWS Security Hub: correlaciona y prioriza hallazgos entre servicios en exposures, y puede alimentar flujos de investigación asistidos por IA.
Muchos equipos también investigan desde un SIEM / SOAR de terceros. Lo que importa para el alineamiento es que la capacidad exista y sea rápida, no qué producto la provee.
Qué responde una buena investigación
- ¿Es esta actividad anómala frente al patrón normal del recurso, y desde ubicaciones esperadas?
- ¿Cuál es el radio de impacto y cuál es la verdadera causa raíz frente a un falso positivo?
- ¿Qué hay que contener ahora y qué evidencia hay que preservar?
Ver video
Cómo validar
- ¿Tiene una capacidad para investigar un hallazgo hasta la causa raíz correlacionando señales entre servicios (CloudTrail, VPC Flow Logs, GuardDuty y más)?
- ¿Los analistas pueden distinguir el comportamiento normal del anómalo y determinar el radio de impacto?
- ¿Los hallazgos de GuardDuty / Security Hub se enrutan a investigación con rapidez, y los respondedores saben cómo activar AWS Security Incident Response / CIRT ante un evento activo?
- ¿Las salidas de la investigación se preservan como evidencia y se alimentan a su proceso de respuesta?
Amenazas que atiende
- Sin una capacidad de investigación rápida y correlacionada, los analistas unen logs a mano, los falsos positivos consumen esfuerzo y la verdadera causa raíz se encuentra tarde, extendiendo el dwell time y el impacto.
Servicios AWS
Amazon Detective 
AWS Security Hub 
AWS Security Incident Response Precios
Varían según la herramienta. Por ejemplo, Amazon Detective ofrece una prueba gratuita de 30 días e incluye datos históricos recientes desde la activación.