Amazon GuardDuty

Amazon GuardDuty es un servicio de detección de amenazas que monitorea continuamente tus cuentas AWS buscando actividad maliciosa y comportamiento no autorizado.

Características principales:

• Inteligente: Usa machine learning y threat intelligence
• Sin agentes: No requiere instalar software en tus recursos
• Automatizado: Analiza continuamente sin intervención manual
• Fácil de activar: Un clic para habilitarlo

¿Qué detecta?

• Cuentas comprometidas
• Instancias infectadas con malware
• Reconocimiento por parte de atacantes
• Comunicación con IPs maliciosas
• Minería de criptomonedas no autorizada

GuardDuty analiza automáticamente:

No necesitas habilitar estas fuentes manualmente

GuardDuty accede a ellas directamente sin que tengas que configurar logging.

Categorías de amenazas:

Reconocimiento (Recon):

• Escaneo de puertos
• Enumeración de API inusual
• Sondeo desde IPs sospechosas

Instancia Comprometida:

• Comunicación con IPs de comando y control
• Malware conocido
• Criptominería

Cuenta Comprometida:

• Llamadas API desde ubicaciones inusuales
• Credenciales usadas desde IPs maliciosas
• Deshabilitación de logs de seguridad

Bucket Comprometido:

• Acceso desde IPs de Tor
• Acceso anómalo a datos sensibles
• Cambios de políticas sospechosos

Severidad de Findings:

Finding: CryptoCurrency:EC2/BitcoinTool.B!DNS

Significado: Una instancia EC2 está consultando dominios asociados con minería de Bitcoin.

Acción recomendada:

1. Investigar la instancia
2. Verificar si la minería es autorizada
3. Si no es autorizada, aislar y remediar

Finding: UnauthorizedAccess:IAMUser/ConsoleLogin

Significado: Login exitoso a la consola desde una IP que no se ha visto antes.

Acción recomendada:

1. Verificar si el usuario reconoce el login
2. Revisar ubicación geográfica
3. Si es sospechoso, revocar sesiones y rotar credenciales

Finding: Recon:EC2/PortProbeUnprotectedPort

Significado: Un puerto abierto está siendo escaneado desde Internet.

Acción recomendada:

1. Verificar si el puerto debe estar abierto
2. Revisar Security Groups
3. Considerar bloquear IP en NACL si es maliciosa

EventBridge para automatización

GuardDuty envía findings a EventBridge, permitiendo automatización:

[GuardDuty Finding] → [EventBridge Rule] → [Lambda] → [Respuesta]

Ejemplos de automatización:

• Enviar alerta a Slack cuando severity > Medium
• Bloquear IP automáticamente en NACL
• Aislar instancia EC2 cambiando Security Group
• Crear ticket en sistema de incidentes

Integración con Security Hub

GuardDuty envía findings a AWS Security Hub, que centraliza alertas de múltiples servicios de seguridad.

Integración con Detective

Amazon Detective ayuda a investigar findings de GuardDuty:

• Visualiza relaciones entre recursos
• Timeline de actividad
• Análisis forense facilitado

Activación

Por cuenta individual:

1. Ir a GuardDuty en la consola
2. Click en "Get Started"
3. Click en "Enable GuardDuty"

Para Organizations:

1. Designar cuenta de administrador delegado
2. Habilitar automáticamente para cuentas nuevas
3. Centralizar findings en una cuenta

Trusted IP Lists y Threat Lists

Trusted IP List: IPs que GuardDuty debe ignorar (ej: tu VPN corporativa)

Threat Intelligence List: IPs adicionales que consideras maliciosas

Costos

GuardDuty cobra por:

• Volumen de eventos de CloudTrail analizados
• Volumen de VPC Flow Logs analizados
• Volumen de DNS queries analizados

Free Tier: 30 días de prueba gratuita con estimación de costos.

Costo típico: Empresas medianas: $100-500/mes Varía significativamente según volumen de actividad

Puntos clave:

1. Detección de amenazas: ML + threat intelligence
2. Sin agentes: No instala nada en instancias
3. Fuentes: VPC Flow Logs, CloudTrail, DNS logs
4. Findings: Alertas categorizadas por severidad
5. Automatización: Integración con EventBridge
6. Multi-cuenta: Gestión centralizada con Organizations

Diferencias con otros servicios:

Preguntas típicas:

"¿Qué servicio detecta criptominería no autorizada en EC2?" → Amazon GuardDuty

"¿Qué servicio usa ML para detectar actividad maliciosa en cuentas AWS?" → Amazon GuardDuty

"¿Qué servicio puede detectar credenciales IAM comprometidas?" → Amazon GuardDuty

"¿Cómo automatizar respuesta a hallazgos de seguridad?" → GuardDuty + EventBridge + Lambda