c1.14 Agir sobre as descobertas de segurança críticas
A detecção não serve sem resposta. Deixe o AWS Security Hub correlacionar e priorizar as descobertas do GuardDuty, do Security Hub CSPM, do Inspector e do Macie, alerte sobre as críticas/altas e garanta que uma pessoa ou equipe designada aja sobre elas, e saiba como contatar a AWS diante de um incidente ativo.
Guia de implementação
Centralize, correlacione e alerte
As descobertas dos seus serviços de detecção —Amazon GuardDuty, os security checks do AWS Security Hub CSPM, IAM Access Analyzer, Amazon Inspector, Amazon Macie— são encaminhadas automaticamente para o AWS Security Hub, que as correlaciona e enriquece entre contas e Regiões para expor e priorizar os riscos reais. Encaminhe as descobertas de severidade crítica e alta para uma notificação (EventBridge → Amazon SNS, ou uma integração Lambda para Slack/Teams). Se você já opera um SIEM, encaminhe as descobertas para lá e alerte a partir dele.
Nota de nomenclatura: desde o final de 2025 há dois serviços. O AWS Security Hub é a camada unificada que correlaciona e prioriza sinais para a resposta; o AWS Security Hub CSPM (o que antes se chamava "AWS Security Hub") faz posture management e verificações de boas práticas. As descobertas do CSPM fluem para o AWS Security Hub.
Alguém precisa agir
Um controle detetivo só melhora a sua postura quando um humano ou uma automação de fato investiga e remedia. Designe a pessoa ou equipe responsável, treine-a e —como Quick Win— comprometa-se a agir ao menos sobre as descobertas críticas/altas conforme chegam. Os alertas devem alcançar mais de uma pessoa.
Saiba como escalar um incidente real
Ensine a equipe a distinguir um risco (uma descoberta a corrigir) de um incidente de segurança ativo (algo acontecendo agora). Diante de um incidente ativo você pode acionar o AWS Customer Incident Response Team (CIRT) —assistência gratuita durante um evento ativo— e, com o Enterprise Support, o seu Technical Account Manager.
Descobertas sobre as quais você deve agir imediatamente
- Uma notificação de abuso da AWS (sua conta está atacando outros; provavelmente comprometida).
- Uma access key exposta (via notificação ou Trusted Advisor).
- Uma descoberta crítica do GuardDuty como command-and-control ou tráfego Tor; veja os tipos de descobertas do GuardDuty.
Assista
Como validar
- Existe uma pessoa ou equipe designada e treinada para agir sobre as descobertas críticas?
- Os alertas estão configurados para alcançar mais de uma pessoa?
- As descobertas são correlacionadas e centralizadas no AWS Security Hub em todas as contas e Regiões?
- A equipe distingue um risco de um incidente ativo e sabe que o AWS CIRT existe?
Ameaças atendidas
- Os controles detetivos que identificam riscos não agregam segurança a menos que alguém —um humano ou uma automação— aja para investigar e conter a ameaça. Descobertas que se acumulam sem serem lidas não são proteção.
Serviços AWS
AWS Security Hub 
Amazon GuardDuty 
Amazon EventBridge Preços
O AWS Security Hub oferece um teste gratuito de 30 dias. O AWS Security Hub CSPM inclui um nível gratuito perpétuo dos primeiros 10.000 eventos de ingestão de descobertas por conta por Região ao mês (os eventos dos seus próprios security checks não são cobrados); o uso acima disso é cobrado por evento. O AWS CIRT fornece suporte gratuito durante incidentes de segurança ativos. Veja os preços do AWS Security Hub.