Seguridad en AWS: GuardDuty, Detective y Security Hub
La seguridad como un atributo de calidad, no un paso opcional en nuestra infraestructura...
La seguridad en la nube ya no es opcional: es un requisito fundamental para cualquier workload que corra en AWS. A medida que las arquitecturas se vuelven más complejas —con cientos de servicios, cuentas múltiples y millones de eventos por día—, la capacidad de detectar amenazas, investigar incidentes y centralizar hallazgos se convierte en la diferencia entre una respuesta oportuna y una brecha catastrófica.
AWS ofrece un trío de servicios de seguridad nativos que trabajan juntos de forma complementaria:
- Amazon GuardDuty: monitoreo continuo e inteligente de amenazas.
- Amazon Detective: investigación forense y análisis de causa raíz.
- AWS Security Hub: visión unificada y gestión centralizada de la postura de seguridad.
En este artículo exploraremos qué hace cada uno, cómo se integran entre sí y qué buenas prácticas debes seguir para sacarles el máximo provecho en tu entorno AWS.
Amazon GuardDuty: Detección Inteligente de Amenazas
Amazon GuardDuty es un servicio de detección de amenazas administrado que monitorea continuamente tu entorno AWS en busca de actividad maliciosa o comportamientos anómalos. Su propuesta de valor es simple: no requiere agentes, no hay infraestructura que gestionar y se activa en minutos.
¿Cómo funciona?
GuardDuty analiza de forma continua tres fuentes de datos principales:
- AWS CloudTrail: registros de llamadas a la API (quién hizo qué, cuándo y desde dónde).
- VPC Flow Logs: tráfico de red entrante y saliente de tus recursos.
- DNS Logs: consultas de DNS realizadas por instancias EC2 dentro de tu VPC.
Además, con integraciones más recientes, GuardDuty puede analizar logs de Amazon S3, comportamientos de EKS (Kubernetes) y actividades en Lambda y RDS.
Bajo el capó, GuardDuty utiliza machine learning, detección de anomalías e inteligencia de amenazas alimentada por AWS y terceros de confianza (como CrowdStrike y Proofpoint). Esto le permite identificar patrones como:
- Acceso desde direcciones IP maliciosas conocidas o redes Tor.
- Reconocimiento de puertos y escaneo de redes inusual.
- Credenciales de IAM comprometidas usadas desde ubicaciones anómalas.
- Comunicación con dominios de command-and-control (C2).
- Minería de criptomonedas no autorizada.
- Exfiltración de datos desde buckets S3.
Hallazgos (Findings)
Cuando GuardDuty detecta algo sospechoso, genera un finding con severidad clasificada en Baja, Media y Alta. Cada finding incluye detalles del recurso afectado, la IP involucrada, la acción sospechosa y recomendaciones de remediación.
Casos de uso clave
- Detectar credenciales IAM robadas usadas desde otro país.
- Identificar instancias EC2 que realizan escaneo de puertos interno.
- Alertar cuando un bucket S3 confidencial es accedido desde una IP de la lista negra.
💡 Tip para builders: GuardDuty tiene un período de prueba gratuito de 30 días para todas las cuentas. Habilítalo en todas tus cuentas desde el primer día, incluso en entornos de desarrollo.
Amazon Detective: Investigación Profunda de Incidentes
Si GuardDuty detecta la amenaza, Amazon Detective te ayuda a entenderla. Detective es un servicio de análisis de seguridad que recopila, procesa y visualiza automáticamente los datos de tu entorno para facilitar la investigación de incidentes de seguridad.
El problema que resuelve
Cuando GuardDuty emite un finding de alta severidad, la pregunta inmediata es: ¿qué pasó exactamente, cuánto tiempo lleva ocurriendo y qué otros recursos están comprometidos? Responder eso manualmente —buscando en CloudTrail, VPC Flow Logs y otros registros— puede tomar horas o días.
Detective automatiza ese trabajo. Ingiere continuamente los logs y los organiza en un grafo de comportamiento (behavior graph) que muestra relaciones entre entidades: roles IAM, instancias EC2, direcciones IP, cuentas, usuarios y más.
¿Cómo funciona?
Detective opera en cuatro pasos:
- Ingesta automática: consume CloudTrail, VPC Flow Logs y los findings de GuardDuty sin configuración adicional.
- Construcción del grafo: correlaciona entidades y construye líneas de tiempo de actividad con hasta 12 meses de datos históricos.
- Visualizaciones interactivas: muestra conexiones entre recursos, patrones de acceso y comportamientos inusuales en una consola gráfica intuitiva.
- Pivot desde GuardDuty: puedes hacer clic en un finding de GuardDuty y ser redirigido directamente a Detective con el contexto ya cargado.
¿Qué puedes investigar con Detective?
- ¿Desde qué IPs se ha conectado este rol IAM en los últimos 30 días?
- ¿Esta instancia EC2 ha establecido conexiones salientes a puertos inusuales antes?
- ¿Cuántos otros recursos interactuaron con esta dirección IP maliciosa?
- ¿Cuál fue el primer indicio de actividad sospechosa y cuándo comenzó?
Integración nativa
Detective se integra directamente con GuardDuty y Security Hub. Cuando recibes un finding, puedes iniciar la investigación con un solo clic, sin necesidad de cambiar de consola ni exportar datos manualmente.
💡 Tip para builders: Detective también tiene 30 días de prueba gratuita. Su valor se maximiza cuando llevas al menos algunas semanas de datos históricos, así que habilítalo cuanto antes para tener contexto cuando más lo necesites.
AWS Security Hub: Centro de Control de Seguridad
AWS Security Hub es el panel de control central de seguridad de tu entorno AWS. Su función principal es agregar, normalizar y priorizar los hallazgos de seguridad de múltiples servicios de AWS y soluciones de terceros en un único lugar.
Un solo panel, toda la visibilidad
En un entorno AWS real, los hallazgos de seguridad pueden venir de muchas fuentes: GuardDuty, Inspector, Macie, IAM Access Analyzer, Firewall Manager, herramientas de terceros como Palo Alto o CrowdStrike. Sin Security Hub, un analista tendría que revisar cada consola por separado.
Security Hub ingiere todos esos hallazgos, los normaliza al formato ASFF (Amazon Security Finding Format) y los presenta en un dashboard unificado con métricas, tendencias y puntuaciones de severidad.
Estándares de cumplimiento integrados
Una de las características más poderosas de Security Hub es la verificación automática contra estándares de seguridad reconocidos:
- AWS Foundational Security Best Practices (FSBP): controles de seguridad recomendados por AWS.
- CIS AWS Foundations Benchmark: referencia del Center for Internet Security.
- PCI DSS: requisitos del estándar de seguridad para la industria de pagos.
- NIST SP 800-53: marco de controles del Instituto Nacional de Estándares de EE. UU.
- SOC 2: criterios de servicios de confianza.
Para cada control, Security Hub muestra si tu cuenta es PASS, FAIL o NOT AVAILABLE, con un Security Score agregado que te da una fotografía inmediata de tu postura de seguridad.
Automatización con EventBridge
Security Hub se integra con Amazon EventBridge, lo que permite crear reglas de automatización. Por ejemplo:
- Si un finding de severidad CRITICAL aparece en GuardDuty → notificar a Slack y abrir un ticket en Jira.
- Si un bucket S3 está marcado como público → corregirlo automáticamente con una Lambda.
- Si un control de CIS falla → enviar un reporte al equipo de cumplimiento.
Multi-cuenta y multi-región
Security Hub soporta AWS Organizations nativamente, lo que permite designar una cuenta administradora que agrega hallazgos de todas las cuentas miembro. Esto es esencial para organizaciones con múltiples cuentas.
💡 Tip para builders: Habilita Security Hub junto a GuardDuty desde el primer día. El Security Score inicial (suele estar alrededor del 50-60%) es un excelente punto de partida para priorizar mejoras de seguridad sin saber por dónde empezar.
Cómo Trabajan Juntos: Una Defensa Integrada
La verdadera potencia de estos servicios se manifiesta cuando se usan juntos. Forman un ciclo de seguridad continuo con tres fases claramente diferenciadas:
Fase 1 — Detectar (GuardDuty) GuardDuty monitorea de forma continua y silenciosa. Cuando identifica actividad sospechosa —por ejemplo, una instancia EC2 enviando tráfico a una IP de C2 conocida—, genera un finding y lo envía automáticamente a Security Hub.
Fase 2 — Investigar (Amazon Detective) El equipo de seguridad recibe el finding en Security Hub. Con un clic en "Investigate in Detective", se abre el grafo de comportamiento mostrando toda la actividad histórica del recurso comprometido: qué APIs llamó, con qué otros recursos interactuó, desde qué IPs se conectó en los últimos 90 días. En minutos, no en horas, el analista entiende el alcance del incidente.
Fase 3 — Gestionar y remediar (Security Hub) Security Hub agrega el finding, lo prioriza con base en severidad y lo correlaciona con el estado general de cumplimiento. A través de EventBridge, puede disparar automáticamente acciones de remediación: aislar la instancia comprometida, revocar credenciales temporales de IAM o notificar al equipo de respuesta.
Flujo end-to-end resumido
1
2
3
4
5
6
7
GuardDuty (detecta amenaza)
↓ finding automático
Security Hub (agrega, prioriza, alerta)
↓ 1 clic → "Investigate"
Amazon Detective (investiga causa raíz, alcance y timeline)
↓ contexto completo
Remediación (manual o automatizada via EventBridge + Lambda)Este flujo reduce el tiempo medio de detección y respuesta (MTTD/MTTR) de días a horas, o incluso minutos con automatización adecuada.
Buenas Prácticas y Recomendaciones
Para maximizar el valor de este trío de servicios, sigue estas recomendaciones:
1. Habilita los tres desde el primer día No esperes a tener un incidente. GuardDuty, Detective y Security Hub tienen períodos de prueba gratuita y el costo de no tenerlos habilitados es mucho mayor que el de activarlos.
2. Usa AWS Organizations para cobertura multi-cuenta Delega la administración de seguridad en una cuenta dedicada (Security Account). Desde allí, administra GuardDuty, Security Hub y Detective para todas las cuentas miembro de tu organización. Ninguna cuenta debe quedar sin cobertura.
3. Activa todas las fuentes de protección de GuardDuty GuardDuty puede proteger S3, EKS, Lambda, RDS y más. Cada nueva fuente de datos amplía tu cobertura. Revisa las opciones de protection plans disponibles para tu caso de uso.
4. Establece una línea base de Security Score Al habilitar Security Hub, anota tu score inicial. Define un objetivo (por ejemplo, llegar al 80%) y trabaja sistemáticamente los controles fallidos, comenzando por los de severidad CRITICAL y HIGH.
5. Automatiza respuestas para hallazgos comunes No todo requiere intervención humana. Para hallazgos de baja severidad recurrentes, usa EventBridge + Lambda para remediar automáticamente: deshabilitar usuarios IAM inactivos, bloquear IPs maliciosas en Security Groups, etc.
6. Configura supresión de ruido en GuardDuty Si tienes IPs o rangos internos que generan falsos positivos (como escáneres de vulnerabilidades propios), configura reglas de supresión para enfocar la atención del equipo en amenazas reales.
7. Integra con tu SIEM o sistema de tickets Security Hub puede enviar hallazgos a herramientas externas (Splunk, ServiceNow, PagerDuty, Jira) mediante integraciones nativas o via EventBridge. Cierra el ciclo con tu proceso operativo existente.
8. Revisa los findings regularmente, no solo cuando hay alertas Establece una reunión semanal o quincenal de revisión de postura de seguridad usando el dashboard de Security Hub. La seguridad proactiva es más eficiente que la reactiva.
Conclusión
GuardDuty, Detective y Security Hub no son tres herramientas aisladas: son las piezas de un sistema de seguridad cohesionado que cubre el ciclo completo de detectar → investigar → gestionar.
Como builders en AWS, tenemos la responsabilidad de construir no solo de forma rápida e innovadora, sino también de forma segura. La buena noticia es que AWS ha hecho que la seguridad fundamental sea accesible: los tres servicios son administrados, sin agentes, se integran entre sí nativamente y tienen pruebas gratuitas para que no haya excusa para no comenzar hoy.
Enjoyed reading this content? Let the author know!
Your likes, comments, shares, and saves help creators reach more builders.
Loading recommendations
Loading article