Runbook de triage con el agente de investigacion de Amazon GuardDuty (preview)
Como incorporar el agente de investigacion de Amazon GuardDuty (preview) al triage de un SOC: habilitacion, permisos IAM, los tres tipos de analisis, las cuotas del preview, y el runbook paso a paso para decidir con criterio humano sobre findings que la IA ya analizo.
El problema del triage manual
El ciclo de triage de un finding de GuardDuty es conocido para cualquier analista de un centro de operaciones de seguridad (SOC). Sale un finding. Abres el detalle. Verificas si el principal (usuario o rol de AWS Identity and Access Management, IAM) se ha comportado asi antes. Pivotas a AWS CloudTrail para ver que llamadas de API hizo. Cruzas los Amazon VPC Flow Logs para ver el trafico de red. Si operas multi-cuenta, persigues la actividad entre cuentas. Y al final decides una de tres cosas: es un incidente real, es ruido, o necesito escalar.
Ese ciclo cuesta entre 20 y 40 minutos por finding cuando se hace bien. En una cola con decenas de findings al dia, el analista de nivel 1 no alcanza, y los findings de severidad media terminan sin revisar. Ese es exactamente el hueco donde un primer pase automatizado tiene valor: no para reemplazar la decision del analista, sino para que llegue a la decision con el contexto ya reunido.
Que hace el agente y que no
El agente de investigacion de Amazon GuardDuty analiza bajo demanda un finding, una cuenta, o toda tu organizacion. Cuando creas una investigacion, GuardDuty examina el contexto del finding, la actividad relacionada de los ultimos 90 dias, los recursos afectados, y la inteligencia de amenazas, usando knowledge graphs.
"When you create an investigation, GuardDuty examines finding context, related activity from the last 90 days, affected resources, threat intelligence and threat indicators using knowledge graphs. Each investigation provides a threat disposition assessment with confidence scoring, MITRE ATT&CK technique classification, supporting evidence, and actionable recommendations." - GuardDuty Investigation (Preview)
Cada investigacion produce un nivel de riesgo (Info, Low, Medium, High, o Critical), un puntaje de confianza, una clasificacion de tecnica segun MITRE ATT&CK, la evidencia que respalda el veredicto, y recomendaciones accionables.
Igual de importante es lo que NO es. Es una caracteristica en preview, no disponibilidad general. Durante el preview solo funciona en 10 Regiones comerciales, tiene cuotas estrictas, y AWS es explicito en que el analisis de IA puede contener errores y debe ser revisado por un humano. No contiene la amenaza, no remedia, y no reemplaza el trabajo forense. Hace el primer pase de analisis. La decision de contencion sigue siendo tuya.
Esta distincion es la que separa un runbook util de una expectativa mal puesta. El agente reune y razona sobre el contexto; tu decides que hacer con ese veredicto.
Habilitacion y permisos
El agente se habilita como una caracteristica del detector de GuardDuty, no como un servicio aparte. Actualizas el detector para activar la caracteristica AI_ANALYST:
1
2
3
aws guardduty update-detector \
--detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
--features '[{"Name": "AI_ANALYST", "Status": "ENABLED"}]'
Tu identidad de IAM necesita tres acciones para operar investigaciones:
- guardduty:CreateInvestigation para crear una investigacion nueva
- guardduty:GetInvestigation para recuperar los resultados
- guardduty:ListInvestigations para listar las investigaciones de un detector
Una politica de IAM minima para usar el agente se ve asi:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"guardduty:CreateInvestigation",
"guardduty:GetInvestigation",
"guardduty:ListInvestigations"
],
"Resource": "arn:aws:guardduty:us-west-2:123456789012:detector/2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7"
}
]
}
El modelo de acceso distingue entre cuentas administradoras y miembro. La cuenta administradora puede crear, obtener, y listar investigaciones para si misma y para sus cuentas miembro. Una cuenta miembro solo puede obtener y listar investigaciones de su propia cuenta: no puede crear investigaciones ni acceder a las de otras cuentas. Esto importa para tu runbook, porque define quien en tu organizacion puede realmente iniciar una investigacion.
Los tres tipos de analisis
El agente determina el tipo de analisis a partir del prompt que le das. Hay tres.
- Analisis de finding. Incluyes exactamente un ID de finding (una cadena hexadecimal de 32 caracteres) en el prompt. Es el modo que usaras en el triage diario: tienes un finding concreto y quieres el veredicto.
1
2
3
aws guardduty create-investigation \
--detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
--trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"
- Analisis de cuenta. Incluyes un ID de cuenta de 12 digitos. Analiza la postura de amenaza de esa cuenta completa. Util cuando sospechas de una cuenta, no de un finding puntual. Requiere ser administrador de esa cuenta.
- Analisis de organizacion. Describes una preocupacion a nivel de toda la organizacion. Analiza senales entre cuentas. Util para una revision amplia, no para triage de un evento.
Durante el preview, para analisis de finding, el agente soporta todos los findings de Extended Threat Detection y findings selectos de los planes foundational, S3, y Runtime. La investigacion corre de forma asincrona: creas, obtienes un ID, y consultas el estado con ese ID.
El runbook de triage
Aqui esta el flujo, pensado para un analista de nivel 1 o 2 operando la cola de findings. Sigue el mismo espiritu que el runbook de respuesta a alarmas de burn rate de esta serie: cada paso reduce la incertidumbre antes de escalar.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
RUNBOOK: Triage de finding de GuardDuty con el agente de investigacion
PASO 1 - Clasifica el finding por severidad
- Critical o High: candidato inmediato a investigacion.
- Medium: investiga si la cuota del dia lo permite.
- Low o Info: revision en lote, normalmente sin investigacion dedicada.
PASO 2 - Decide si gastas una investigacion
- Recuerda la cuota del preview: 10 por cuenta por dia, 100 acumuladas.
- Las investigaciones fallidas NO cuentan contra la cuota.
- Prioriza findings donde el contexto de 90 dias aporte senal real.
PASO 3 - Crea la investigacion
- Consola: Investigations, luego Initiate investigation, luego el finding ID.
- API/CLI: create-investigation con el trigger-prompt que contiene el finding ID.
- Guarda el InvestigationId que devuelve.
PASO 4 - Lee el veredicto, no solo el nivel de riesgo
- Nivel de riesgo: Info, Low, Medium, High, Critical.
- Puntaje de confianza: un High con baja confianza no es lo mismo que un High con alta confianza.
- Clasificacion MITRE ATT&CK: que tecnica se observo.
- Evidencia: contrasta lo que el agente cita contra lo que ves en CloudTrail.
PASO 5 - Cruza contra tu propio contexto
- El agente reune contexto, pero tu conoces tu entorno.
- Hubo un despliegue o una prueba autorizada que explique la actividad?
- El principal es un rol de automatizacion conocido?
PASO 6 - Decide y documenta
- Incidente real: escala segun tu proceso, preserva evidencia, inicia contencion.
- Falso positivo: documenta el porque y considera una regla de supresion.
- Registra: finding ID, InvestigationId, veredicto del agente, tu decision, y la razon.
El paso 4 es el que evita el error mas comun: tratar el nivel de riesgo como una decision en vez de como una entrada. Un veredicto High con confianza baja es una senal para mirar mas de cerca, no para paginar al equipo de guardia automaticamente.
Lo que este agente no cubre (limitaciones honestas)
- Es preview, con cuotas reales. Diez investigaciones por cuenta por dia, 100 acumuladas durante el preview. En una cola grande te quedas sin investigaciones antes del mediodia si no priorizas. Las fallidas no cuentan, pero las exitosas si.
- Solo 10 Regiones. Esta disponible en US East (Norte de Virginia), US East (Ohio), US West (Oregon), Canada (Central), Europa (Frankfurt), Europa (Irlanda), Europa (Londres), Europa (Paris), Europa (Estocolmo), y Asia Pacifico (Tokio). Si tu detector esta en otra Region, no puedes usarlo todavia.
- Usa inferencia entre Regiones. El agente usa Cross-Region Inference: tus datos se almacenan solo en la Region de origen, pero el analisis puede procesarse en otra Region dentro de tu geografia. Para entornos con requisitos estrictos de residencia de datos, esto hay que revisarlo con tu equipo de compliance antes de habilitarlo.
- Las cuentas miembro no pueden crear investigaciones. Solo la cuenta administradora crea. Si tu SOC opera desde una cuenta miembro, tu modelo de acceso tiene que contemplarlo.
- El analisis de IA puede equivocarse. AWS lo dice de forma explicita: el resultado debe ser revisado por un humano. El agente acelera el primer pase, no firma la decision final.
- No contiene ni remedia. Detecta y analiza. La contencion, la preservacion de evidencia, y la remediacion siguen siendo tuyas, con las herramientas que ya usas.
Conclusion
El agente de investigacion de GuardDuty no reemplaza al analista. Cambia donde empieza su trabajo: en vez de arrancar con un finding crudo y 30 minutos de pivoteo manual, arranca con un veredicto, evidencia, y una clasificacion MITRE ATT&CK que puede aceptar o refutar. En preview, con cuotas y en 10 Regiones, el valor esta en usarlo con criterio: priorizar que findings merecen una investigacion, leer la confianza y no solo el riesgo, y quedarte tu con la decision de contencion. El primer pase lo hace la IA. El juicio sigue siendo humano.
Recursos
- GuardDuty Investigation (Preview) - La documentacion del agente, con tipos de analisis, Regiones, y modelo de acceso
- CreateInvestigation API - Referencia de la API y las cuotas del preview
- Introducing the Amazon GuardDuty investigation agent - El blog de lanzamiento de AWS (julio 2026)
- Getting started with GuardDuty - Habilitacion del detector de GuardDuty
Enjoyed reading this content? Let the author know!
Your likes, comments, shares, and saves help creators reach more builders.
Loading recommendations
Loading article