Cómo configurar GuardDuty en AWS

Vigila y entiende los intentos de conexión a tus recursos con GuardDuty de Amazon. Desde la consola, puedes activar el servicio, revisar sus findings y tomar decisiones informadas ante escaneos de puertos, intentos de Secure Shell por brute force, y eventos de distintas severidades. Con prácticas simples, es posible mantener tus servidores y bases de datos bajo control.

¿Qué es GuardDuty y cómo se configura en la consola?

GuardDuty es un sistema que muestra aspectos de seguridad sobre quién intentó conectarse a tus recursos de cómputo. Al entrar a la consola, escribe "GuardDuty", selecciona el servicio y haz clic en Get Started. Luego, otorga permisos para que pueda operar.

• Al inicio no verás datos. Se actualizará de forma automática conforme haya actividad.
• Puede tardar horas mientras escanea sistemas y conexiones hacia tus servidores.
• Si ya tienes otra cuenta con GuardDuty activo, podrás observar cómo se ven los findings en ejecución.

¿Qué verás cuando empiece a generar findings?

Cuando GuardDuty está corriendo, verás una lista de eventos de seguridad. Algunos ejemplos frecuentes:

• Escaneo de puertos abiertos a todo el mundo para identificar servicios expuestos.
• Intentos de ingreso por Secure Shell con brute force usando diccionarios de contraseñas.
• Registros con el tipo de ataque, su severidad y el recurso afectado.

¿Cómo interpretar los findings y su severidad?

Al abrir un detalle, se muestra información clave para decidir: tipo de ataque, severidad (por ejemplo, baja), cuenta, región y recurso atacado, que pueden ser instancias de S2 o RDS. Verás además datos de la instancia: estado, ubicación, imagen, sistema operativo, fecha de inicio, interfaz de red e IP pública.

• Se identifican puertos: por ejemplo, el puerto 22 corresponde a Secure Shell.
• Si el puerto es menos común, GuardDuty muestra el nombre asociado.
• Incluye la IP del atacante y su ubicación, con latitud y longitud. En algunos casos, casi la dirección de la organización vinculada a esa conexión.

¿Qué significan brute force y script kitty en este contexto?

• Brute force en Secure Shell: intentos continuos con contraseñas de un diccionario. En Amazon, no se permite configurar Secure Shell con usuario y password: se exige un key, por lo que este ataque no funciona con servidores que usan dicha llave.
• Script kitty: uso de software para atacar máquinas aleatorias en Internet y probar accesos. Se busca si un puerto abierto es explotable.

¿Qué hacer ante eventos de alta o baja severidad?

Aunque muchas alertas pueden ser de baja severidad y sin éxito, es clave revisar periódicamente. A veces aparecerán eventos de alta severidad que podrían indicar accesos logrados y requieren acciones inmediatas.

• Para baja severidad ya revisada: marca los findings y archívalos. Así evitas confundirlos en futuras revisiones.
• Para alta severidad: considera pausar la máquina y revisar el último respaldo disponible.
• Quita la IP pública y crea otra instancia dentro de Amazon si hace falta.
• Ajusta el grupo de seguridad o asigna otro para controlar accesos.
• Conéctate por la red interna desde otra máquina en Amazon. Todas las máquinas tienen dos IP: una pública y una interna o de administración que solo funciona dentro de Amazon.

¿Cómo mantener una revisión efectiva de seguridad?

• Realiza revisiones semanales o mensuales de los findings.
• Verifica si necesitas restaurar un snapshot previo a un acceso indebido.
• Observa tendencias: puertos atacados, regiones, cuentas y recursos más afectados.
• Documenta acciones y archiva lo revisado para mantener claridad.

¿Tienes prácticas que te hayan servido con GuardDuty o dudas sobre cómo interpretar un finding específico? Comparte tu experiencia y preguntas.