GuardDuty te avisa: acceso sospechoso desde una IP rara. Vale. ¿Y ahora qué: qué tocó, desde cuándo, qué más hizo? ¿Qué es Amazon Detective? El investigador: junta tus logs de CloudTrail, del tráfico de red y los hallazgos de GuardDuty en un grafo para responder esas preguntas en minutos.
El grafo es la gracia: esta IP habló con esta instancia, que asumió este rol, que abrió estos buckets. Detective mantiene hasta un año de contexto, así que puedes comparar el día del susto con el comportamiento normal, y ver si lo raro empezó ayer… o lleva tres meses pasando.
IP → instancia → rol → buckets, con hasta 1 año de memoria: ¿empezó ayer o lleva meses?
¿Qué ingiere (solo)?
Come de tres fuentes sin que montes nada: CloudTrail, quién llamó a qué API; los logs de flujo de red de tus VPC; y los hallazgos de GuardDuty, incluidos los de Kubernetes. Tú no gestionas ni almacenamiento ni pipelines de datos: solo investigas.
- CloudTrail: quién llamó a qué API
- VPC Flow Logs: quién habló con quién
- Hallazgos de GuardDuty (EKS incluido)
- Cero pipelines que mantener
Ya tienes el trío de respuesta: GuardDuty detecta, Detective investiga, y todo suena en Security Hub. Cómo dejar de guardar claves de AWS en GitHub.
Preguntas frecuentes
¿Cuándo NO necesito Amazon Detective?
Si no tienes GuardDuty encendido, Detective no tiene casos que investigar. El orden correcto de esta serie es: cierra los 10 fallos básicos, enciende GuardDuty, y cuando sus alertas empiecen a hacerte perder tardes, entonces Detective se paga solo.
Sin GuardDuty no hay casos. Orden: 10 fallos → GuardDuty → y cuando investigar te cueste TARDES → Detective.
¿Cuánto cuesta Amazon Detective?
30 días de prueba, y después por datos ingeridos: dos dólares por gigabyte en el primer tramo, por cuenta y región, bajando por volumen. La cifra depende de cuánto ruido genere tu cuenta, y durante la prueba puedes ver el costo proyectado antes de comprometerte.
- 30 días de prueba
- $2/GB ingerido (primer tramo, cuenta/región)
- Baja por tramos de volumen
- En la prueba ves el costo proyectado
¿Qué detalle de Amazon Detective sorprende a casi todos?
Detectar sin investigar es enterarte del robo sin saber qué se llevaron. La alerta es el principio del trabajo, no el final.
Detectar sin investigar = saber del robo sin saber qué se llevaron.