Lectura y priorización de hallazgos de GuardDuty

Una cuenta con mucha actividad puede generar numerosos resultados, y no todos tienen la misma importancia. Para responder bien, debe priorizar y concentrarse primero en las amenazas con mayor probabilidad de causar daños reales. GuardDuty facilita esta tarea mediante puntuaciones de gravedad y detalles completos de los resultados que indican dónde debe buscar primero.

Cada resultado de GuardDuty tiene un valor de gravedad de 0,1 a 8,9 o superior, asociado a un nivel. En términos generales, de 1,0 a 3,9 corresponde a Low, de 4,0 a 6,9 a Medium y de 7,0 a 8,9 a High. Los valores más altos indican mayor confianza y posible impacto, por lo que se colocan al principio de la cola.

Un resultado de gravedad High sugiere que un recurso probablemente está comprometido y actúa de forma maliciosa, por lo que requiere una acción urgente. Medium indica actividad sospechosa que merece investigación. Low suele reflejar reconocimiento o un comportamiento inusual que todavía no es dañino. La gravedad orienta la urgencia, no confirma que se haya producido una intrusión.

Cada resultado incluye el recurso afectado, el actor (como una IP remota y su geolocalización), la acción observada y el número de veces que ocurrió. Leer estos campos convierte una alerta de una sola línea en una historia: quién hizo qué, en qué recurso, desde dónde y con qué frecuencia.

Los resultados registran las marcas de tiempo de la primera y la última detección, además de un recuento. Un resultado que se repite durante horas es más grave que un único evento aislado. Estos detalles temporales le ayudan a determinar si un ataque continúa activo, lo que afecta considerablemente a la rapidez con la que debe contenerlo.

El propósito de la amenaza determina su respuesta. Un resultado de CryptoCurrency en una instancia indica una probable actividad de minería y justifica aislarla. Un resultado de UnauthorizedAccess en un usuario de IAM indica que una credencial podría haber sido robada y justifica rotar las claves. Adaptar la respuesta al propósito es el núcleo de la clasificación inicial.

Puede crear reglas de supresión para archivar automáticamente los resultados que coincidan con comportamientos conocidos y esperados, como un escáner de vulnerabilidades que ejecuta intencionadamente. Esto mantiene la cola centrada en las señales reales. Los resultados suprimidos siguen existiendo para fines de auditoría, pero no distraen a los encargados de responder.

GuardDuty puede generar resultados de ejemplo para que practique la clasificación inicial y pruebe su automatización sin que se produzca un ataque real. Esto permite a los equipos crear y validar playbooks de respuesta de forma segura. Saber que existe esta función resulta útil para configurar flujos de detección y respuesta.

Los resultados priorizados pasan a un proceso de respuesta: un compromiso de instancia de gravedad alta podría activar un aislamiento automático, mientras que un resultado de identidad de gravedad media podría enviar una notificación a un analista. La gravedad y el tipo determinan conjuntamente si debe encargarse la automatización o una persona, y con qué rapidez.

GuardDuty agrega las apariciones repetidas del mismo resultado en un único resultado y actualiza su recuento y la hora de la última detección, en lugar de crear una avalancha de duplicados. También puede configurar con qué frecuencia se publican los resultados actualizados en EventBridge y S3. Esto mantiene la cola legible y, al mismo tiempo, refleja que el ataque continúa activo.

De forma predeterminada, los resultados de GuardDuty se conservan durante 90 días. Para conservarlos más tiempo con fines de auditoría o análisis de tendencias, debe exportar los resultados a un bucket de S3 y configurar con qué frecuencia se exportan los nuevos resultados. Enviar los resultados a Security Hub y EventBridge también permite conservarlos y actuar sobre ellos. Saber cómo se conservan y exportan los resultados es importante en situaciones de cumplimiento normativo.

Priorice los resultados según su gravedad.

GuardDuty asigna a cada resultado una gravedad (aproximadamente Low de 1 a 3,9, Medium de 4 a 6,9 y High de 7 a 8,9), además de detalles sobre el recurso, el actor, la acción, la geolocalización y el momento. Priorice según la gravedad y el impacto, utilice el propósito de la amenaza para elegir una respuesta y aplique reglas de supresión para silenciar el ruido conocido como benigno. Los resultados de ejemplo permiten ensayar la clasificación inicial de forma segura.