Shield vs WAF

Criterio	Shield Standard	Shield Advanced	WAF
Protege de	DDoS de red	DDoS de red y web	Inyección SQL, XSS, bots
Capas	3 y 4	3, 4 y 7	7
Activación	Automática	Suscripción	Creas una web ACL
Costo	Gratis	3.000 USD/mes, 1 año	Por web ACL y regla
Extra	Ninguno	SRT y protección de costos	Reglas administradas

Amazon GuardDuty

Qué es: Amazon GuardDuty detecta amenazas de forma continua: analiza la actividad de tu cuenta y avisa con un hallazgo (finding) cuando ve algo malicioso o anómalo.

• Qué analiza: sus fuentes base son los eventos de administración de CloudTrail (Sesión 14), los VPC Flow Logs y los registros DNS. Los VPC Flow Logs registran qué conexiones de red entran y salen de tu VPC: IP, puertos y si se permitieron. Los registros DNS, qué nombres consultaron tus instancias (Sesión 11).
• Sin configurar nada: al activarlo, GuardDuty lee esas fuentes por su cuenta. No necesitas crear un trail ni encender los Flow Logs. Puedes añadir planes de protección para S3, EKS, RDS o Lambda.
• Cómo detecta: con listas de IP y dominios maliciosos (threat intelligence) y modelos de machine learning que aprenden lo normal en tu cuenta. Cada hallazgo trae tipo, severidad y recurso afectado.
• Precio: prueba gratuita de 30 días por Región, la primera vez que lo activas. Después pagas por volumen de eventos analizados.

Analogía: la alarma con sensor de movimiento de una casa, conectada a una central que conoce a los ladrones del barrio. Dónde falla la analogía: la alarma suena, pero no cierra la puerta. GuardDuty solo avisa: para reaccionar, envías el hallazgo a EventBridge (Sesión 12) y una Lambda actúa.

Ejemplo real: a las 3 a. m., una instancia de Estudio Nébula empieza a consultar dominios de minería de criptomonedas. GuardDuty genera un hallazgo de severidad alta. EventBridge lo envía a una Lambda que aísla la instancia y a un tema de SNS que despierta al equipo.

Úsalo cuando: quieras detectar amenazas activas: credenciales robadas usadas desde IP extrañas, minería, instancias que hablan con servidores maliciosos. No lo uses cuando: busques vulnerabilidades en el software (Inspector) o bloquear tráfico (WAF, security groups).