Hallazgos de un detector gestionado

Los tipos de hallazgo de GuardDuty siguen un formato: propósito de la amenaza, recurso afectado, familia o descripción y, a veces, el mecanismo de detección. En Persistence:IAMUser/AnomalousBehavior, el propósito es la persistencia, el recurso es una identidad de IAM y el mecanismo es el comportamiento anómalo, que detecta un modelo estadístico sobre las llamadas de la cuenta.

Un tipo con AnomalousBehavior no compara contra una lista de amenazas conocidas: avisa de que algo se aparta de lo habitual para esa identidad, y lo habitual puede haber cambiado de forma legítima.

Un hallazgo lleva el recurso afectado y, si hubo llamadas a la API, la dirección remota y las veces que se repitió. El de mayor gravedad del día señala credenciales creadas para una instancia de EC2 que se están usando desde fuera de AWS.

La severidad se lee con cuidado: no es una probabilidad de culpa, es la importancia que el servicio asigna al tipo.

El hallazgo de exfiltración de credenciales de instancia dice que una máquina fuera de AWS intentó llamar a la API con credenciales temporales nacidas en la instancia. La pieza que permite comprobarlo en CloudTrail es la dirección remota, que va en el propio hallazgo.

Un detector ofrece una hipótesis. La propia documentación de GuardDuty recuerda que este tipo puede aparecer también en configuraciones legítimas, por ejemplo cuando el tráfico sale por una puerta de enlace local en lugar de la de la red virtual. Por eso el paso siguiente es comprobar en CloudTrail si las llamadas con esas credenciales temporales desde esa dirección eran esperables.

Sin esa comprobación se corre el riesgo de apagar un servicio sano o, al revés, de archivar un incidente real.