AWS Config vigila que els teus recursos compleixin les regles (subcapítol 23.2). Però hi ha una altra dimensió de la seguretat: detectar atacs i comportaments maliciosos en curs. I si algú roba unes credencials? I si un servidor està sent utilitzat per minar criptomonedes sense que ho sàpigues? Per detectar aquestes amenaces actives existeix GuardDuty, el sistema de detecció d'amenaces intel·ligent d'AWS.

Les regles de compliment (Config) detecten configuracions incorrectes, però no detecten un atacant actuant. Un atacant que ha aconseguit unes credencials vàlides pot, tècnicament, estar «complint les regles» mentre roba dades. Necessites alguna cosa que detecti comportaments sospitosos, patrons que delatin un atac:

• Algú accedint des d'un país on mai operes, a les 4 de la matinada.
• Un servidor comunicant-se amb adreces conegudes per ser malicioses.
• Intents massius d'accés o de descobrir la teva infraestructura.
• Un recurs comportant-se de manera anormal (de sobte mina criptomonedes).

GuardDuty és un servei de detecció d'amenaces que analitza contínuament l'activitat del teu compte d'AWS a la recerca de comportaments maliciosos o sospitosos. Utilitza intel·ligència (machine learning, llistes d'amenaces conegudes, anàlisi de patrons) per detectar el que un humà no podria vigilar.

Analogia: GuardDuty és com un sistema d'alarma intel·ligent amb càmeres per a casa teva. No només detecta una porta oberta (això seria Config); detecta comportaments sospitosos: algú rondant de nit, una finestra forçada, moviment on no hauria d'haver-n'hi. I aprèn què és «normal» a casa teva per distingir l'anòmal. Quan veu alguna cosa estranya, t'avisa.

GuardDuty examina diverses fonts d'informació del teu compte, sense que hagis d'instal·lar res als teus servidors (és el que s'anomena «sense agents»):

• Registres d'activitat de l'API (CloudTrail): qui fa què al teu compte.
• Trànsit de xarxa (VPC Flow Logs): amb qui es comuniquen els teus recursos.
• Consultes DNS: a quins dominis accedeixen els teus recursos (revela connexions a llocs maliciosos).
• I més fonts, segons les proteccions que activis.

A partir d'aquí, creua aquesta informació amb intel·ligència d'amenaces (llistes d'IPs i dominis maliciosos coneguts) i amb models de comportament que aprenen què és normal al teu compte.

GuardDuty genera hallazgos (findings) quan detecta alguna cosa sospitosa. Exemples típics:

Cada hallazgo ve amb un nivell de gravetat (baix, mitjà, alt) perquè prioritzis.

El notable de GuardDuty és com és de fàcil: el actives i comença a vigilar automàticament, sense instal·lar agents als teus servidors, sense configurar regles complexes i sense afectar el rendiment dels teus recursos (analitza logs i metadades, no interfereix amb la teva aplicació). AWS s'encarrega de tota la intel·ligència.

Detectar és el primer pas; després cal reaccionar. Els hallazgos de GuardDuty es poden connectar amb altres serveis per a una resposta automàtica:

Això permet una resposta automàtica a incidents: per exemple, si GuardDuty detecta un servidor compromès minant cripto, una Lambda pot aïllar-lo de la xarxa a l'instant, contenint l'atac abans que un humà ni tan sols llegeixi l'alerta.

Exemple del món real: una startup activa GuardDuty al seu compte. Una matinada, un atacant aconsegueix una clau d'accés filtrada per error en un repositori públic. Intenta utilitzar-la per llançar desenes de servidors cars (per minar cripto). GuardDuty detecta el patró anòmal —«aquestes credencials mai havien llançat tants servidors, i des d'una IP desconeguda»— i genera un hallazgo de gravetat alta. Una automatització revoca la clau i alerta l'equip. L'atac es conté en minuts, evitant una factura enorme i una bretxa de seguretat.

GuardDuty afegeix la capa de detecció d'amenaces actives a la teva seguretat. Recorda les capes que portem:

Cadascuna cobreix alguna cosa diferent. GuardDuty són els «ulls» que vigilen si algú està atacant ara mateix.

• Les regles de compliment (Config) detecten configuracions incorrectes, però no un atacant actuant; per això hi ha la detecció d'amenaces.
• GuardDuty analitza contínuament l'activitat del teu compte (accessos, trànsit de xarxa, DNS) amb intel·ligència (machine learning + llistes d'amenaces) per detectar comportaments maliciosos o sospitosos. Com una alarma intel·ligent amb càmeres que aprèn què és normal.
• Detecta amenaces com credencials compromeses, comunicació amb IPs malicioses, reconeixement, mineria de cripto i exfiltració de dades, generant hallazgos amb nivell de gravetat.
• S'activa amb un clic, sense agents, sense configuració complexa i sense afectar el rendiment: AWS posa tota la intel·ligència.
• Els hallazgos es connecten amb EventBridge + Lambda per a una resposta automàtica a incidents (aïllar un recurs, revocar credencials, alertar).
• Aporta la capa de detecció d'atacs actius a la defensa en profunditat.

Al següent subcapítol veurem com tenir una visió centralitzada de tota la teva seguretat amb Security Hub.