Hallazgos de GuardDuty

Los tipos de hallazgo siguen un formato fijo: ThreatPurpose:ResourceTypeAffected/ThreatFamilyName.DetectionMechanism!Artifact. La primera parte, el propósito de la amenaza, dice la etapa o el tipo de ataque, por ejemplo reconocimiento, acceso no autorizado, sigilo o puerta trasera. La segunda dice qué tipo de recurso es el objetivo, como una instancia o una identidad de IAM. El resto afina la familia y el mecanismo. El último elemento, el artefacto, es opcional.

La gravedad es un número entre 1.0 y 10.0 que GuardDuty reparte en cuatro niveles. La tabla guia_de_severidad trae los rangos de la documentación. Ordenar por gravedad es un buen primer filtro, pero no el único: un hallazgo medio sobre un recurso crítico puede pesar más que uno alto sobre un recurso desechable. Aun así, hay que saber cuál es el más alto.

Usa los rangos de guia_de_severidad y cuenta cuántos hallazgos de hallazgos caen en el nivel alto. No cuentes por el nombre del tipo: cuenta por el número de severidad que trae cada fila, comparado con el rango del nivel.

Un tipo que empieza por Backdoor indica que un recurso parece estar contactando con un servidor de mando y control. La parte final, !DNS, dice que lo vio por las consultas de nombres. Localiza ese tipo en la tabla y lee su recurso afectado. Escríbelo tal como aparece.

GuardDuty trabaja con una copia propia de los eventos de gestión de CloudTrail, los registros de flujo y las consultas DNS: no hace falta activarlos para que los use. Pero GuardDuty no conserva esos registros por ti, y una pista necesita una segunda fuente. Tienes un hallazgo alto de credenciales de un rol usadas desde fuera de AWS. Antes de escalar, el equipo debe decidir qué comprueba.