c3.7 Agrega detección de amenazas personalizada
Amazon GuardDuty cubre muchas amenazas pero no puede expresar sus casos de uso personalizados. Para esos, identifique el caso de uso, centralice las fuentes de logs, correlaciónelas en detecciones categorizadas y alerte. Amazon Security Lake y un SIEM son los bloques de construcción.
Guía de implementación
Cuándo necesita detección personalizada
Amazon GuardDuty detecta un amplio conjunto de amenazas, pero no puede crear detecciones para sus casos de uso específicos. Para construirlos: 1. Identifique el caso de uso. 2. Identifique las fuentes de logs que contienen los datos requeridos. 3. Centralice esos eventos. 4. Escriba reglas de correlación que categoricen las ofensas detectadas. 5. Alerte según la categoría.
Centralice con Amazon Security Lake
Amazon Security Lake centraliza logs de un entorno multi-cuenta en un data lake normalizado al Open Cybersecurity Schema Framework (OCSF). Escala a petabytes y permite que SIEMs, herramientas de BI y Amazon Athena se suscriban o consulten eventos normalizados. Mantenga una ventana corta en sus herramientas de visualización mientras retiene años de logs consultables en el lake.
Integre un SIEM
En entornos híbridos o multi-cloud, un SIEM centraliza eventos (on-premises, multi-cloud, AWS) y aplica reglas de correlación para detectar incidentes. La mayoría de los SIEM (Splunk, IBM QRadar, Microsoft Sentinel, Sumo Logic, Exabeam y otros) pueden ingerir logs de AWS como CloudTrail y hallazgos de Security Hub CSPM. Si prefiere una opción nativa de AWS, la solución SIEM on Amazon OpenSearch Service se despliega vía CloudFormation e incluye un amplio conjunto de reglas de detección integradas.
¿AWS Security Hub es un SIEM? No. Un SIEM agrega eventos en bruto y los correlaciona en hallazgos; AWS Security Hub agrega y correlaciona hallazgos (de GuardDuty, Security Hub CSPM, Inspector, Macie y más) ya relevantes para que el equipo de seguridad actúe.
Cómo validar
- ¿Ha identificado los casos de uso de detección personalizada que importan a su negocio?
- ¿Las fuentes de logs requeridas están centralizadas (por ejemplo en Amazon Security Lake) y normalizadas?
- ¿Las reglas de correlación y el alertamiento están definidos y enrutados a su proceso de respuesta?
Amenazas que atiende
- Depender solo de la detección administrada deja invisibles los patrones de ataque específicos de la organización; sin logs centralizados y correlacionados no puede detectar ni investigar incidentes de múltiples fuentes.
Servicios AWS
AWS Security Hub 
Amazon Security Lake 
Amazon OpenSearch Service