Saltar al contenido
CLF-C02Sesión 15 · Detección de amenazas

Hazlo tú (20 min)

Lees tu AWS Health Dashboard y las recomendaciones gratuitas de Trusted Advisor. Si tu cuenta tiene el plan de pago, puedes activar GuardDuty, ver hallazgos de ejemplo y desactivarlo.

Costo: $0. Health Dashboard y las comprobaciones gratuitas de Trusted Advisor no cobran. Nunca te suscribas a Shield Advanced: son 3.000 dólares al mes con un año de compromiso. No crees una web ACL de WAF: cobra 5 dólares al mes más cada regla.

Plan gratuito: GuardDuty, Inspector, Security Hub, Macie y Detective solo ofrecen su prueba gratuita en el plan de pago. Si tu cuenta está en el plan gratuito, no la cambies de plan: haz las partes A, B y D. Si la creaste con el registro simplificado, Trusted Advisor puede no estar disponible; entonces haz las partes A y D.

Identidad: estudio-diario, con MFA: su ReadOnlyAccess lee Health Dashboard y Trusted Advisor. Solo refrescar Trusted Advisor y la parte C necesitan el rol laboratorio-escritura.

Parte A · AWS Health Dashboard (como estudio-diario, 5 min).

  1. Entra con estudio-diario y busca Health en la barra de la consola. Se abre AWS Health Dashboard.
  2. En el menú, bajo Your account health, recorre Open and recent issues, Scheduled changes y Other notifications. En una cuenta de práctica suelen estar vacías.
  3. Abre Event log: son los eventos de los últimos 90 días. Si hay alguno, ábrelo y mira la pestaña Affected resources. Si lista recursos, el evento es de tu cuenta; si no, es público.
  4. Busca en el menú la vista de estado general de los servicios (Service health): es la misma para todos los clientes.

Comprueba: sabes decir dónde verías un mantenimiento programado de tu instancia y dónde un incidente general de una Región.

Parte B · AWS Trusted Advisor (como estudio-diario, 7 min).

  1. Busca Trusted Advisor en la consola y abre Recommendations. Mira el resumen por estado: rojo, amarillo, verde.
  2. En el menú, abre Security. Con el plan básico verás unas pocas comprobaciones disponibles y el resto marcadas para planes de soporte superiores.
  3. Abre MFA on Root Account: debe estar en verde desde la Sesión 2. Abre Security Groups - Specific Ports Unrestricted: si quedó algún security group de las Sesiones 6 o 7 con puertos abiertos, aparece aquí.
  4. Abre Service limits y ubica una cuota, como las VPC por Región.
  5. Si los resultados son antiguos o no aparecen, elige Switch role › laboratorio, luego Refresh all checks, y espera unos minutos. Elige Switch back.

Comprueba: sabes qué categorías ves gratis y cuál comprobación te diría que dejaste un puerto abierto. No cambies Preferences ni desactives Trusted Advisor.

Parte C · Opcional: GuardDuty con hallazgos de ejemplo (con el rol, 8 min). Hazla solo si tu cuenta tiene el plan de pago y nunca activaste GuardDuty en esta Región: así entra en la prueba gratuita de 30 días. Si ya lo activaste antes, no hay prueba y cobraría desde el primer minuto: sáltala.

  1. Elige Switch role › laboratorio. Abre GuardDuty, elige Amazon GuardDuty - All features y Get started.
  2. En Welcome to GuardDuty, elige Enable GuardDuty. El rol puede crear el rol vinculado al servicio que GuardDuty necesita.
  3. En el menú, abre Settings y, en Sample findings, elige Generate sample findings.
  4. Abre Findings. Cada hallazgo de ejemplo empieza con [SAMPLE]. Abre uno de minería de criptomonedas (CryptoCurrency) y mira su severidad, el recurso afectado y la acción observada.
  5. Vuelve a Settings. En la sección de suspender, elige Disable GuardDuty y confirma. Suspender detiene el análisis y conserva hallazgos y configuración; deshabilitar los borra para siempre. Aquí quieres borrar.
  6. Elige Switch back.

Aviso: si olvidas el paso 5, la prueba termina a los 30 días y GuardDuty empieza a cobrar sin avisarte. Hazla de corrido.

Limpieza:

  1. Si hiciste la parte C, abre GuardDuty en la misma Región: debe ofrecerte Get started otra vez. Los roles vinculados al servicio quedan en IAM y no cuestan nada.
  2. Comprueba en el menú de arriba que volviste a estudio-diario.
  3. Las partes A y B no crearon recursos.

Parte D · En papel (3 min). Elige el servicio para cada caso:

  1. Bloquear a una IP que hace 5.000 peticiones por minuto a tu API.
  2. Saber si alguna instancia tiene una versión de OpenSSL con un CVE crítico.
  3. Detectar que una instancia se comunica con un servidor conocido de malware.
  4. Encontrar archivos con datos personales en un bucket.
  5. Reunir en un panel los hallazgos de los cuatro anteriores.

Comprueba: WAF (regla basada en tasa), Inspector, GuardDuty, Macie y Security Hub.

185