Hallazgos de GuardDuty y su contexto

El tipo de un hallazgo sigue un formato: Propósito:RecursoAfectado/FamiliaDeAmenaza.Mecanismo!Artefacto. Por ejemplo, en Recon:IAMUser/TorIPCaller, Recon es el propósito (reconocimiento), IAMUser el tipo de recurso que identifica el hallazgo y TorIPCaller la familia. El propósito alinea con etapas de ataque conocidas (reconocimiento, acceso a credenciales, evasión, impacto) y con tácticas de MITRE ATT&CK.

La severidad es un número del 1 al 10 que agrupa en bandas (baja, media, alta, crítica) y que cada tipo trae por defecto. El campo veces (count) dice cuántas veces se repitió la actividad. Tres cosas distintas: qué vigila el detector, cuánto pesa y cuántas veces ocurrió.

Con varios hallazgos, el orden inicial lo da la severidad, no la hora. Pero es solo un punto de partida: en la tarea 4 verás que la severidad también se contrasta.

Abre la consola. Ejecuta SELECT * FROM hallazgos ORDER BY severidad DESC y mira cuál sube a la primera fila.

El hallazgo más grave habla de credenciales de una instancia usadas desde una dirección fuera de AWS. Antes de escalar, el analista pregunta si esa dirección es conocida. La tabla ips_conocidas es la lista que la empresa mantiene de sus orígenes legítimos.

Ejecuta SELECT * FROM ips_conocidas WHERE ip = '198.51.100.10', que es la ip_remota de ese hallazgo.

La documentación de AWS describe que este tipo de hallazgo puede generarse cuando la red está configurada para que el tráfico salga por una puerta de enlace propia (una VPN, por ejemplo) en vez de por la de AWS, y recomienda, si es el comportamiento esperado, una regla de supresión con el tipo y la dirección. Pero "puede ser" no es "es": alguien con credenciales de esa instancia puede estar usándolas desde la sede sin que sea el uso previsto.

El analista confirma con el responsable de la red y de la instancia, deja la confirmación en el ticket y, solo entonces, propone suprimir con los dos criterios. No se suprime a ciegas.