AWS Config vigila que tus recursos cumplan las reglas (subcapítulo 23.2). Pero hay otra dimensión de la seguridad: detectar ataques y comportamientos maliciosos en curso. ¿Y si alguien roba unas credenciales? ¿Y si un servidor está siendo usado para minar criptomonedas sin que lo sepas? Para detectar estas amenazas activas existe GuardDuty, el sistema de detección de amenazas inteligente de AWS.

Las reglas de cumplimiento (Config) detectan configuraciones incorrectas, pero no detectan a un atacante actuando. Un atacante que ha conseguido unas credenciales válidas puede, técnicamente, estar «cumpliendo las reglas» mientras roba datos. Necesitas algo que detecte comportamientos sospechosos, patrones que delaten un ataque:

• Alguien accediendo desde un país donde nunca operas, a las 4 de la madrugada.
• Un servidor comunicándose con direcciones conocidas por ser maliciosas.
• Intentos masivos de acceso o de descubrir tu infraestructura.
• Un recurso comportándose de forma anormal (de repente mina criptomonedas).

GuardDuty es un servicio de detección de amenazas que analiza continuamente la actividad de tu cuenta de AWS en busca de comportamientos maliciosos o sospechosos. Usa inteligencia (machine learning, listas de amenazas conocidas, análisis de patrones) para detectar lo que un humano no podría vigilar.

Analogía: GuardDuty es como un sistema de alarma inteligente con cámaras para tu casa. No solo detecta una puerta abierta (eso sería Config); detecta comportamientos sospechosos: alguien rondando de noche, una ventana forzada, movimiento donde no debería haberlo. Y aprende qué es «normal» en tu casa para distinguir lo anómalo. Cuando ve algo raro, te avisa.

GuardDuty examina varias fuentes de información de tu cuenta, sin que tengas que instalar nada en tus servidores (es lo que se llama «sin agentes»):

• Registros de actividad de la API (CloudTrail): quién hace qué en tu cuenta.
• Tráfico de red (VPC Flow Logs): con quién se comunican tus recursos.
• Consultas DNS: a qué dominios acceden tus recursos (revela conexiones a sitios maliciosos).
• Y más fuentes, según las protecciones que actives.

A partir de ahí, cruza esa información con inteligencia de amenazas (listas de IPs y dominios maliciosos conocidos) y con modelos de comportamiento que aprenden qué es normal en tu cuenta.

GuardDuty genera hallazgos (findings) cuando detecta algo sospechoso. Ejemplos típicos:

Cada hallazgo viene con un nivel de gravedad (bajo, medio, alto) para que priorices.

Lo notable de GuardDuty es lo fácil que es: lo activas y empieza a vigilar automáticamente, sin instalar agentes en tus servidores, sin configurar reglas complejas y sin afectar al rendimiento de tus recursos (analiza logs y metadatos, no interfiere con tu aplicación). AWS se encarga de toda la inteligencia.

Detectar es el primer paso; luego hay que reaccionar. Los hallazgos de GuardDuty se pueden conectar con otros servicios para una respuesta automática:

Esto permite una respuesta automática a incidentes: por ejemplo, si GuardDuty detecta un servidor comprometido minando cripto, una Lambda puede aislarlo de la red al instante, conteniendo el ataque antes de que un humano siquiera lea la alerta.

Ejemplo del mundo real: una startup activa GuardDuty en su cuenta. Una madrugada, un atacante consigue una clave de acceso filtrada por error en un repositorio público. Intenta usarla para lanzar decenas de servidores caros (para minar cripto). GuardDuty detecta el patrón anómalo —«estas credenciales nunca habían lanzado tantos servidores, y desde una IP desconocida»— y genera un hallazgo de gravedad alta. Una automatización revoca la clave y alerta al equipo. El ataque se contiene en minutos, evitando una factura enorme y una brecha de seguridad.

GuardDuty añade la capa de detección de amenazas activas a tu seguridad. Recuerda las capas que llevamos:

Cada una cubre algo distinto. GuardDuty es los «ojos» que vigilan si alguien está atacando ahora mismo.

• Las reglas de cumplimiento (Config) detectan configuraciones incorrectas, pero no a un atacante actuando; para eso está la detección de amenazas.
• GuardDuty analiza continuamente la actividad de tu cuenta (accesos, tráfico de red, DNS) con inteligencia (machine learning + listas de amenazas) para detectar comportamientos maliciosos o sospechosos. Como una alarma inteligente con cámaras que aprende qué es normal.
• Detecta amenazas como credenciales comprometidas, comunicación con IPs maliciosas, reconocimiento, minería de cripto y exfiltración de datos, generando hallazgos con nivel de gravedad.
• Se activa con un clic, sin agentes, sin configuración compleja y sin afectar al rendimiento: AWS pone toda la inteligencia.
• Los hallazgos se conectan con EventBridge + Lambda para una respuesta automática a incidentes (aislar un recurso, revocar credenciales, alertar).
• Aporta la capa de detección de ataques activos a la defensa en profundidad.

En el siguiente subcapítulo veremos cómo tener una visión centralizada de toda tu seguridad con Security Hub.