# Amazon GuardDuty

> Un servicio de AWS que vigila la actividad de tu cuenta y avisa si ve señales de ataque.

- Nivel: Intermedio
- Temas: AWS, Seguridad
- URL: https://tidbit.legios.com.ar/es/amazon-guardduty/
- En inglés: [Amazon GuardDuty](https://tidbit.legios.com.ar/amazon-guardduty/)

**Amazon GuardDuty** es un servicio de detección de amenazas para AWS. Apenas lo activás, empieza a leer los registros de actividad que tu cuenta ya genera, como los eventos de CloudTrail (quién llamó a qué API), los VPC flow logs (qué máquinas hablaron con cuáles) y las consultas DNS, y busca patrones que indiquen que algo anda mal. Para arrancar no tenés que instalar agentes ni escribir reglas.

Cuando encuentra algo sospechoso crea un **hallazgo** (finding): un reporte corto con un tipo, una severidad y los recursos involucrados. Por ejemplo, claves de acceso usadas desde un país raro, una instancia de EC2 que habla con un servidor conocido de minería de criptomonedas, malware en un archivo subido a S3, o una seguidilla de pasos chicos que juntos parecen un atacante moviéndose por la cuenta. Combina listas de direcciones IP y dominios maliciosos conocidos con machine learning que aprende qué es normal para vos.

GuardDuty solo detecta; no bloquea. Lo habitual es mandar sus hallazgos a un canal de alertas o a una automatización que reaccione, por ejemplo desactivando una clave filtrada. Complementa, no reemplaza, unos buenos permisos de IAM, AWS WAF delante de las aplicaciones web y AWS Config para revisar configuraciones.

## Una analogía

Un guardia de seguridad que mira toda la noche las cámaras y los registros de credenciales del edificio. No cierra puertas él mismo, pero te llama apenas alguien entra a las 3 de la mañana por una puerta que nadie usa.

## Para quedarse

- Detecta amenazas analizando los logs que tu cuenta de AWS ya genera.
- Cada detección es un hallazgo con tipo, severidad y recursos afectados.
- Usa listas de amenazas conocidas y machine learning sobre tu comportamiento normal.
- Avisa pero no bloquea: la respuesta la decidís o la automatizás vos.

## Para seguir leyendo

- [¿Qué es Amazon GuardDuty? (documentación oficial)](https://docs.aws.amazon.com/es_es/guardduty/latest/ug/what-is-guardduty.html)
- [Página de Amazon GuardDuty](https://aws.amazon.com/es/guardduty/)

## Términos relacionados

- [AWS CloudTrail](https://tidbit.legios.com.ar/es/aws-cloudtrail/): El libro de registro de una cuenta de AWS: quién hizo qué, cuándo y desde dónde.
- [API](https://tidbit.legios.com.ar/es/api/): El menú de cosas que un programa le deja pedir a otro programa.
- [Amazon VPC](https://tidbit.legios.com.ar/es/amazon-vpc/): Tu propio pedazo privado de la red de AWS, con paredes que dibujás vos.
- [DNS](https://tidbit.legios.com.ar/es/dns/): La agenda de internet: convierte nombres como wikipedia.org en direcciones IP.
- [Agente de IA](https://tidbit.legios.com.ar/es/ai-agent/): Un LLM que puede actuar, mirar el resultado y seguir hasta terminar la tarea.
- [Amazon EC2](https://tidbit.legios.com.ar/es/amazon-ec2/): Computadoras virtuales que alquilás por hora, del tamaño que quieras, y después apagás.
- [Servidor](https://tidbit.legios.com.ar/es/server/): Una computadora cuyo trabajo es responder pedidos de otras computadoras, todo el día.
- [Malware y ransomware](https://tidbit.legios.com.ar/es/malware-and-ransomware/): Software hecho para dañarte; el ransomware te bloquea los archivos y cobra por liberarlos.