Qué detecta GuardDuty y por qué

Amazon GuardDuty es el servicio administrado de detección de amenazas de AWS. Su característica principal es que no necesita agentes ni software que desplegar. Solo tiene que activarlo y comenzará a analizar la telemetría de AWS en busca de comportamientos maliciosos o no autorizados. Esto permite implementarlo rápidamente en toda una cuenta u organización.

GuardDuty incorpora y analiza continuamente fuentes de datos existentes y aplica inteligencia sobre amenazas, detección de anomalías y aprendizaje automático para identificar actividades sospechosas. Como lee registros que AWS ya genera, añade detección sin modificar sus cargas de trabajo. Funciona completamente como un servicio administrado.

GuardDuty analiza la actividad de la cuenta y de la red para detectar amenazas. Puede identificar reconocimientos, instancias comprometidas y comportamientos inusuales de la cuenta. Algunos ejemplos son una instancia que se comunica con una IP maliciosa conocida, credenciales utilizadas desde una ubicación inusual o un intento de desactivar el registro de seguridad.

GuardDuty utiliza fuentes de inteligencia sobre amenazas de AWS y de terceros: listas de direcciones IP y dominios conocidos como maliciosos. Cuando sus recursos se comunican con uno de ellos, genera un hallazgo. También puede proporcionar sus propias listas de IP de confianza y de amenazas para adaptar la detección a su entorno.

Además de las listas de elementos maliciosos conocidos, GuardDuty aprende el comportamiento normal de su cuenta y señala anomalías. Una llamada a la API desde un país nuevo, un aumento inusual de la actividad o un rol utilizado de una forma nunca vista pueden generar hallazgos. Así detecta ataques nuevos que ninguna lista de bloqueo conocería.

Un punto crucial: GuardDuty detecta y alerta; no bloquea. Genera hallazgos que describen lo que ha observado. Para actuar sobre un hallazgo, debe conectarlo a una automatización, como EventBridge, que active una corrección. Esta distinción entre detectar y prevenir aparece con frecuencia en los exámenes.

GuardDuty admite un administrador delegado que gestiona la detección en toda una AWS Organization. Una cuenta de seguridad puede activar GuardDuty para todas las cuentas miembro y consultar todos los hallazgos desde un único lugar. Esto permite ampliar la detección sin configurar cada cuenta manualmente.

Como no hay agentes, servidores ni canalizaciones de registros que crear, GuardDuty tiene un coste operativo muy bajo. El pago depende del volumen de datos analizados. Este modelo sencillo es la razón por la que suele ser el primer servicio de detección que activa una organización.

Los resultados de GuardDuty se integran de forma natural con Security Hub para su agregación y con Detective para su investigación, y con EventBridge para la respuesta. GuardDuty es el motor de detección en el centro de un flujo más amplio de respuesta ante amenazas, no una herramienta independiente.

Puede ajustar GuardDuty con listas de IP de confianza (direcciones que nunca desea que se marquen) y listas de IP de amenazas (direcciones que siempre desea que se marquen), además de reglas de supresión para archivar resultados esperados. Este ajuste reduce el ruido para que los analistas se concentren en las amenazas reales. En el examen se espera que sepa que GuardDuty se puede adaptar a un entorno y no es una caja negra fija.

No confunda GuardDuty con Amazon Inspector. GuardDuty supervisa la actividad en tiempo real para detectar amenazas e intrusiones activas. Inspector analiza las vulnerabilidades, como software sin parches y accesibilidad de red riesgosa, antes de que se aprovechen. Uno detecta amenazas durante el tiempo de ejecución y el otro evalúa vulnerabilidades; el examen suele comprobar cuál debe elegir para un objetivo determinado.

Compruebe sus conocimientos fundamentales sobre GuardDuty.

GuardDuty es un servicio administrado y sin agentes para detectar amenazas, que analiza la telemetría existente de AWS mediante inteligencia de amenazas, detección de anomalías y machine learning. Genera alertas mediante resultados, pero no bloquea; la corrección requiere automatización. Un administrador delegado lo habilita en toda una Organization, y sus resultados se envían a Security Hub, Detective y EventBridge.